DSQLTools的使用介绍--实验报告

     发布这文章主要是记录自己的学习过程，也给跟我一样的小白一个分享。

    http://erange.heetian.com/     在线学习的好地方。。。

    同时附上视频：http://v.youku.com/v_show/id_XNzYxNjU4NjM2.html

   工具使用看视频

   以下注意看红色标注：图和文字。。。

web应用安全 >  实验十：DSQLTools的使用介绍 返回

进入实验机    结束实验并释放实验机

• 实验指导书

实验任务：

任务一已完成

任务二已完成

任务三已完成

关闭全部

实验简介

• 实验所属系列：Web应用安全
• 实验对象：本科/专科信息安全专业
• 相关课程及专业：信息网络安全概论、网络攻击与防御技术、计算机网络
• 实验时数（学分）：2学时
• 实验类别：实践实验类

预备知识

本实验要求实验者具备如下的相关知识。

1.SQL注入

      SQL注入：利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的能力，这是SQL注入的标准释义。

      注入方式有GET注入，POST注入，COOKIE注入，HTTP HEADER注入等方式，其中DSQLTools利用的是GET注入方式。简单来说它的目标是网址中含有id=xxx类似的动态页面。

2.DSQLTools介绍

      自创的注入引擎,能检测更多存在注入的连接。使用多线程技术,检测速度飞快，对"MSSQL显错模式"、"MSSQL不显错模式"、"Access"等数 据库都有很好注入检测能力,内集"跨库查询"、"注入点扫描"、"管理入口检测"、"目录查看"、"CMD命令"、"木马上传"、"注册表读取"、"旁注 /上传"、"WebShell管理"、"Cookies修改"于一身的综合注入工具包。

实验目的

通过该实验了解DSQLTools工具的使用方法。

实验环境

服务器：Windows 2003。IP:10.1.1.223

客户端：WindowsXP。IP地址随机分配。

辅助工具：

DSQLTools：http://tools.heetian.com/tools/DSQLTools.zip

实验步骤一

注入检测

首先，扫描注入点。

      打开下载的工具包，输入测试站点http://10.1.1.223/show.asp?id=68

下面开始检测表段，字段和内容          

      密码竟然是明文存储，那么我们知道了用户名是admin，密码是admin123，那么如何登录呢？

任务一

啊D注入工具可以注入的网址不包括下列哪项：  【单选题】  回答正确！亲，一次通过，你最棒了！获得合氏币：+2 

【A】admin.asp 【B】news.asp?id=88 【C】show.asp?id=99 【D】info.asp?name=xiaowang

**注入点是要带参数的，要传递参数进行数据库查询。（对参数过滤不严就产生了注入点）

实验步骤二

切换到管理入口检测，轻松查到后台地址，右击用IE打开

      登录后就可以执行管理功能了。

任务二

下面哪个网址不可能是登陆界面：  【单选题】  回答正确！亲，一次通过，你最棒了！获得合氏币：+2 

【A】admin.asp 【B】admin/home.asp 【C】admin/login.asp 【D】admin/logout.asp

**选项D 的logout.asp的意思是登出。

实验步骤三

“相关工具”的使用    

      例子中的数据库是Access类型，无法使用DSQLTools的“相关工具”，请同学自行寻找或者搭建其他测试站点，进行“相关工具”的使用测试。

      注意：此教程仅仅为了介绍这个工具的简单使用方式，目的是为了对自己搭建的网站做黑盒测试，本案例中的网站页面为编者自己写的，请同学们也尝试自行搭建测试站点，千万不要对他人的网站进行测试。如若使用他人网站做测试，造成的一切后果，本编者概不负责。

任务三

啊D可以注入什么类型的数据库：  【单选题】  回答正确！亲，一次通过，你最棒了！获得合氏币：+2 

【A】MSSQL 【B】MYSQL 【C】ORACLE 【D】SQLITE

** 这个任务需要mssql数据库   

一般情况下：

                     sa 是系统权限，执行dos命令要sa权限。

                     db权限就能列目录了。

实验报告要求

对实验结果进行分析，完成思考题目，总结实验的心得体会，并提出实验的改进意见。

分析与思考

1）为什么会出现SQL注入？如何能避免SQL注入，请从编码角度，数据库配置方面分析。
2）本工具只能对微软的数据库进行测试，且仅对GET方式有效。请尝试“DoMain明小子”或者“Sqlmap”等工具，测试其他注入方式。务必自行搭建测试环境，可参考使用https://github.com/Audi-1/sqli-labs。
3）请有开发经验的同学，使用注入工具对自己做过的MIS系统做测试，看看是否存在注入漏洞，并且对于今后的MIS系统开发，获得了什么经验。
4）请同学查看服务器上面的源码文件，找出注入点，并且尝试修改来避免注入的发生。