sqlmap自學初探
sqlmap是一個python的滲透測試工具
SQL 注入
**SQL 注入（SQL injection）**利用了網路程式（Web apps）的錯誤輸入。駭客可以透過執行後端資料庫的網路程式，惡意繞過 SQL 指令。
SQL 注入能在未授權的情況下，直接從資料庫訪問資料庫與檢索信息。許多數據洩露肇因於 SQL 注入。
sqlmap githut link:
https://github.com/sqlmapproject/sqlmap
先隨便找了一個網站做滲透測試
第一次測試發現沒有任何可以進行injectable的parameter
不過他建議使用--level 和--risk來增加掃描層級
於是我就照做了
ok我直接拉到10他跟我說level只有[1,5] range於是我用5
在一頓掃描之後大多還是 not injectable
輸出的csv檔也沒有任何結果
不得不說資安防護這網站做的挺好的
參考網站:
https://www.youtube.com/watch?v=UbPWbqTalR4
即將進入廣告，捲動後可繼續閱讀
為什麼會看到廣告
留言0
查看全部
你可能也想看
Google News 追蹤
隨著理財資訊的普及，越來越多台灣人不再將資產侷限於台股，而是將視野拓展到國際市場。特別是美國市場，其豐富的理財選擇，讓不少人開始思考將資金配置於海外市場的可能性。
然而，要參與美國市場並不只是盲目跟隨標的這麼簡單，而是需要策略和方式，尤其對新手而言，除了選股以外還會遇到語言、開戶流程、Ap
嘿，大家新年快樂~ 新年大家都在做什麼呢？
跨年夜的我趕工製作某個外包設計案，在工作告一段落時趕上倒數。
然後和兩個小孩過了一個忙亂的元旦。在深夜時刻，看到朋友傳來的解籤網站，興致勃勃熬夜體驗了一下，覺得非常好玩，或許有人玩過了，但還是想寫上來分享紀錄一下~
本文探討 SQL 注入（SQL Injection）的攻擊原理及其防護措施。透過具體範例，解釋駭客如何利用應用程式漏洞進行資料庫攻擊，並提供有效的防範方法，包括使用參數化查詢、ORM 框架和輸入驗證等技術，確保應用程式的安全性。最後還簡介資料庫分區與分片的概念，讓讀者更全面理解如何管理和保護資料庫。
※ 把record加到table有兩種方式：
VALUES
• SELECT
※ 語法
INSERT INTO VALUES 語法：
Record 代表一組值的集合，每個值對應到表格中的一個欄位（column）。
INSERT INTO 語法用來指定要插入資料的表格。
需要提供一個
你是否曾使用Python進行網上爬蟲、撈取資料、分析，並將結果存進雲端資料庫? 你知道這一切可以全部發生在Google Drive裡嗎?而且，全部都是免費的!
※ 為什麼選擇SQLite？
安裝簡單：SQLite是一個零配置的資料庫，不需要複雜的設定和安裝過程。。
使用SQL語法。
設計選擇多元性（MySQL / SQLite）：適合於小零件資料應用、嵌入式系統、物聯網設備。
※ SQLite四大優點：
執行檔檔案很小：資料庫系統需要的磁碟空
攻擊者的目的，是發展出一種方式，
能夠可靠辨認出特定的數據點，
是否包含於目前算法的訓練數據中，
以此來窺探算法的訓練數據隱私。
有另外一類的研究，叫做數據拷貝，
則是直接觀察算法的輸出，
看看算法輸出是否有過於靠近訓練數據的情形。
這種數據拷貝的觀察，
也轉成另一種成員推論攻擊的形式。
「Prompt hacking」與利用軟件漏洞的傳統駭客方法不同，Prompt hacking 是使用精心設計的提詞工程，並利用大型語言模型（Large Language Models, LLM）中的漏洞，使它們執行意外的操作或透露敏感信息。
Semgrep 是一個功能強大的 SAST 工具，可以幫助開發人員早期發現程式碼中的安全問題，本文介紹如何將 Semgrep 整合到 GitLab Pipeline 以進行 SAST 掃描。
在這個星光閃爍的數據宇宙中，SQL是一把鑰匙，開啟了通往知識寶庫的大門。想像一下，每一條SELECT語句都像是一段魔法咒語，喚醒沉睡在數據庫深處的信息。今天，我們就要一起踏上這段探秘之旅，將揭開SQL基本查詢指令的神秘面紗，學習如何巧妙地與數據對話。
描述我所瞭解的 Web 攻擊技術
何謂網路攻擊？
駭客透過各種系統漏洞或惡意程式，搭配許多技術和工具進行攻擊。目標是要在企業或個人電腦網路中損害、取得控制權或存取重要的文件和系統。
例如：
XSS（Cross-Site Scripting，跨站腳本攻擊/跨網站指令碼）：指網路罪犯透過存在安全
※ 基本操作：SQL 語法，SELECT, WHERE, CREATE, UPDATE, DELETE。
SELECT：從資料庫中或資料表中指定要選擇的欄位中取得資料，稱之為查詢 (query)。
※ 語法：要由兩部分構成，第一部分是要 "拿什麼" 資料 (若有多項用逗號隔開)；第二部分則為
隨著理財資訊的普及，越來越多台灣人不再將資產侷限於台股，而是將視野拓展到國際市場。特別是美國市場，其豐富的理財選擇，讓不少人開始思考將資金配置於海外市場的可能性。
然而，要參與美國市場並不只是盲目跟隨標的這麼簡單，而是需要策略和方式，尤其對新手而言，除了選股以外還會遇到語言、開戶流程、Ap
嘿，大家新年快樂~ 新年大家都在做什麼呢？
跨年夜的我趕工製作某個外包設計案，在工作告一段落時趕上倒數。
然後和兩個小孩過了一個忙亂的元旦。在深夜時刻，看到朋友傳來的解籤網站，興致勃勃熬夜體驗了一下，覺得非常好玩，或許有人玩過了，但還是想寫上來分享紀錄一下~
本文探討 SQL 注入（SQL Injection）的攻擊原理及其防護措施。透過具體範例，解釋駭客如何利用應用程式漏洞進行資料庫攻擊，並提供有效的防範方法，包括使用參數化查詢、ORM 框架和輸入驗證等技術，確保應用程式的安全性。最後還簡介資料庫分區與分片的概念，讓讀者更全面理解如何管理和保護資料庫。
※ 把record加到table有兩種方式：
VALUES
• SELECT
※ 語法
INSERT INTO VALUES 語法：
Record 代表一組值的集合，每個值對應到表格中的一個欄位（column）。
INSERT INTO 語法用來指定要插入資料的表格。
需要提供一個
你是否曾使用Python進行網上爬蟲、撈取資料、分析，並將結果存進雲端資料庫? 你知道這一切可以全部發生在Google Drive裡嗎?而且，全部都是免費的!
※ 為什麼選擇SQLite？
安裝簡單：SQLite是一個零配置的資料庫，不需要複雜的設定和安裝過程。。
使用SQL語法。
設計選擇多元性（MySQL / SQLite）：適合於小零件資料應用、嵌入式系統、物聯網設備。
※ SQLite四大優點：
執行檔檔案很小：資料庫系統需要的磁碟空
攻擊者的目的，是發展出一種方式，
能夠可靠辨認出特定的數據點，
是否包含於目前算法的訓練數據中，
以此來窺探算法的訓練數據隱私。
有另外一類的研究，叫做數據拷貝，
則是直接觀察算法的輸出，
看看算法輸出是否有過於靠近訓練數據的情形。
這種數據拷貝的觀察，
也轉成另一種成員推論攻擊的形式。
「Prompt hacking」與利用軟件漏洞的傳統駭客方法不同，Prompt hacking 是使用精心設計的提詞工程，並利用大型語言模型（Large Language Models, LLM）中的漏洞，使它們執行意外的操作或透露敏感信息。
Semgrep 是一個功能強大的 SAST 工具，可以幫助開發人員早期發現程式碼中的安全問題，本文介紹如何將 Semgrep 整合到 GitLab Pipeline 以進行 SAST 掃描。
在這個星光閃爍的數據宇宙中，SQL是一把鑰匙，開啟了通往知識寶庫的大門。想像一下，每一條SELECT語句都像是一段魔法咒語，喚醒沉睡在數據庫深處的信息。今天，我們就要一起踏上這段探秘之旅，將揭開SQL基本查詢指令的神秘面紗，學習如何巧妙地與數據對話。
描述我所瞭解的 Web 攻擊技術
何謂網路攻擊？
駭客透過各種系統漏洞或惡意程式，搭配許多技術和工具進行攻擊。目標是要在企業或個人電腦網路中損害、取得控制權或存取重要的文件和系統。
例如：
XSS（Cross-Site Scripting，跨站腳本攻擊/跨網站指令碼）：指網路罪犯透過存在安全
※ 基本操作：SQL 語法，SELECT, WHERE, CREATE, UPDATE, DELETE。
SELECT：從資料庫中或資料表中指定要選擇的欄位中取得資料，稱之為查詢 (query)。
※ 語法：要由兩部分構成，第一部分是要 "拿什麼" 資料 (若有多項用逗號隔開)；第二部分則為