收录日期:2018/07/18 14:47:43 时间:2016/05/21 14:12:49 标签:ASP.NET
网址:http://wdf.inows.com

有人曾经破解,使用“阿缸”这个用户名登陆,我不知道他为什么可以使用我的用户名登陆,请高手利用ASP.Net的漏洞利用“阿缸”这个用户名进行登录并留言。
然后请告诉我究竟是什么原因可以破解,谢谢!
windows都有漏洞!
破解的可能行有多种啊:
1.猜密码
2.暴力破解密码;
3.Windows漏洞
4.IIS漏洞
5.SQL Server漏洞
6.留言本程序本身漏洞;
...............
sql="select * from reg where username='"+user_name.Text+"' and pwd='"+pwd.Text+"'";
之前要判断吧~
username       阿缸
password::     19781014
网址改为:http://wdf.inows.com/guestbook
sql语句如果用户名和密码判断一起判断那么可以可以输入用户名后,密码输入一个sql语句就进入了,黑客书上写的有
mythutest,你是怎么找到我的密码的?请告诉我啊!
welcome to here 
csdn is very good
破解的可能行有多种啊:
1.猜密码
2.暴力破解密码;
3.Windows漏洞
4.IIS漏洞
5.SQL Server漏洞
6.留言本程序本身漏洞;

up
你的数据库是access的吧,判断是否是管理员是靠用户名是否为阿缸,密码我用[' or '],中括号里的就可以进来进行管理留言了。
好象这样的登陆随便的密码都可以登陆。
密码要过滤一些字符比如:'
否则:sql="select * from uers where username='"+user_name.Text+"' and pwd='"+pwd.Text+"'";
如果 pwd='' or 1=1 那么sql会变的无效,记不太清了,好象是这样。
是啊我就用这个进去了。
没有处理好'的问题,还是建议不要写成sql="select * from uers where username='"+user_name.Text+"' and pwd='"+pwd.Text+"'";


sql="select * from uers where username=@a and pwd=@b;
cmd.Paramters("@",……)

这种
我的用户密码都是先对密码进行转换才比较的
谢谢各位兄弟的支持,散分散分!