[Tryhackme]Command Injection&&SQL Injection writeup

前言

RCE命令执行(可看前面发布的ctfshow的靶场)已打,ctfshow给的命令执行比较直接一点,相对于Thm打一遍再次巩固基础 自己现在的实力还是很菜

Foreign friends please use Google Translate plugin to translate this article for better viewing

room:https://tryhackme.com/room/oscommandinjection

笔记

了解RCE漏洞

任务三命令注入

任务四修复命令注入

下一关 Windows

拿flag

Ok 开下一章节

SQL注入

room：https://tryhackme.com/room/sqlinjectionlm

SQL（结构化查询语言）注入，通常称为 SQLi，是对 Web 应用程序数据库服务器的攻击，导致执行恶意查询。当 Web 应用程序使用未经正确验证的用户输入与数据库进行通信时，攻击者有可能窃取、删除或更改私人数据和客户数据，并攻击 Web 应用程序身份验证方法以获取私有数据。或客户区。这就是为什么 SQLi 不仅是最古老的 Web 应用程序漏洞之一，而且也可能是最具破坏性的。

在这个房间中，您将了解什么是数据库、什么是SQL以及一些基本的 SQL 命令、如何检测 SQL 漏洞、如何利用 SQLi 漏洞以及作为开发人员如何保护自己免受 SQL 注入。

下一关检索语句

SQL命令带;

Lab1 sql注入不太想打 建议观看https://www.youtube.com/watch?v=UaJJ5c967ls

详细测试已略过,这里直接打payload

下一关根据提示测试做

下一关按照提示打payload

下一关开始暴库 暴表

一个一个测密码是4961

下一章节

最后一关

------本文已结束，感谢您的阅读------