最近公司给客户做得一个站让人给注入了，程序源码不归我管，但是我要找出问题所在，然后反馈给那个做的人，这个网站现在是http://www.tjlyxh.com.cn
我试过了wed+wis 阿D pangolin HDSI3 NBSI来测试（简单的测试）,都找不到注入点，或者提示无法注入,但是wed可以爆出一个表的数据库名称，表结构，但是里面的数据显示出来不正确 所以啊 我想请各位大侠们帮忙测试下如何注入，然后告诉我工具和方法，我反馈过去。这几天总是再重复的被注入，然后重复的还原数据库，郁闷坏了
（PS:不要怀疑我是在恶意的入侵别人的站，这个确实是我们公司里做得。请放心注入，过后我会还原数据库的）
我试过了wed+wis 阿D pangolin HDSI3 NBSI来测试（简单的测试）,都找不到注入点，或者提示无法注入,但是wed可以爆出一个表的数据库名称，表结构，但是里面的数据显示出来不正确 所以啊 我想请各位大侠们帮忙测试下如何注入，然后告诉我工具和方法，我反馈过去。这几天总是再重复的被注入，然后重复的还原数据库，郁闷坏了
（PS:不要怀疑我是在恶意的入侵别人的站，这个确实是我们公司里做得。请放心注入，过后我会还原数据库的）
注意很多用js的地方最好换成服务端验证，如客户端禁用js，那么服务端岂不是可以注入了吗
你数据操作 使用参数 然后过滤"'"
aspx那么安全 居然你还被挂马
如果 这样还不行的 话用个笨方法 数据库触发器 来搞定
发现 插入和修改中有 “script” 回滚
CREATE TRIGGER [触发器名]
ON [dbo].[表名]
FOR INSERT, UPDATE
AS
declare @a varchar(255) --存储字段1declare @b varchar(255) --存储字段2declare @c varchar(255) --存储字段3select @a=字段1,@b=字段2,@c=字段3 from inserted
if(@a like '%script%' or @b like '%script%' or @c like '%script%')
begin
ROLLBACK transaction
end
GO
我现在都不能确定你的问题到底是
sql注入,
还是站点被挂马了...
试试
http://topic.csdn.net/u/20081205/09/3dd06076-bcbe-45d4-998c-8999fdbe6fae.html
sp1234大哥，不是我看不懂源码。。源码没给我的说老板只是让我找出如何被注入的原因，也就是让我自己来注入，看怎样才能注入进去。不是我偷懒啊。。（知道的）能用的sql注入软件都试了啊，注入不进去啊，但是确实数据库中存在<script>语句的....还原了也同样存在问题
能不能麻烦您先试试您的方法可以不可以注入，如果注入成功了告诉我好吗。。我不懂怎么用禁用js来达到注入效果啊
嗯，大哥，被你说中了，这个服务器在放我公司的程序之前确实被攻击过（频繁）。但是我在服务器上装了杀毒软件了。。没有查出木马
登录
这个是登录不了的，他说 replace("'","''");了
这个方法实现是？
http://www.cnblogs.com/diction/archive/2007/09/11/889920.html
id为int型，这明显超出了int的范围，sqlserver会报错。
而如果sqlserver由于这种错误而引发其它方面的问题（这就是sqlserver的bug或漏洞了).
指定了数据类型，过滤了单引号和-，就很难注入了，除非是数据库和系统的安全配置有问题