1、WEB常见漏洞与挖掘技巧研究广东动易网络 吴建亮Jannockwooyun目录 WEB常见漏洞及案例分析 WEB常见漏洞挖掘技巧 新型 WEB防火墙可行性分析 Q/AWEB常见漏洞及案例分析 SQL注入 XSS/CSRF 文件上传 任意文件下载 越权问题 其它SQL注入 产生 SQL注入的主要原因是 SQL语句的 拼接近一个月，我在乌云上提交的 SQL注入类型具体可以看一下：http:/www.wooyun.org/whitehats/JannockSQL注入是最常见，所以也是我在乌云上提交得最多的一种漏洞。而这些注入漏洞中，大部分是完全没有安全意识（防注意识）而造成的。只有少数才是因为编码过
2、滤或比较隐蔽而造成的注入。从另一个角度来说，目前大家对 SQL注入还是不够重视，或者是开发人员对 SQL注入的了解还不够深刻。案例：经典的万能密码网站万能密码相信大家都不陌生。但有没有想到这万能密码会出现在某安全公司的内部网站上？不过安全公司不重视安全，出现低级的安全漏洞，在乌云上也不见少数。第一次发现时，直接是 用户名： admin or =密码：任意 进入后台。报告给官方后，官方的处理方式是直接加一个防火墙了事。（这种情况在乌云遇到过几次，可能是不太重视的原因。）防注与绕过从来就是一对天敌，一个通用的防火墙很难针对任何一处都做到安全，只想跟厂商说一句，防注，参数化难道真那么难？代码过滤一下比加一道防火墙困难么？绕过技巧：在 firebug 下，把用户名的 input 改成 textarea ，为绕过输入特殊字符作准备其实就是回车绕过防火墙规则的检测再次成功进入后台。
