SQL盲注的时候怎么判断数据库类型,求大佬补充

请先 登录 后评论

2 个回答

斑驳

MSSQL:xxx' and 'a'+'b' = 'ab
MYSQL:@@版本 和 版本() 均可用,以及length函数,substr函数
ORACLE:xxx' and 'a'||'b'='ab

弱鸡的我就知道三个主流的,其他的如db2、mongodb等等不太常见的咋判断- -

请先 登录 后评论
Bing

1、目前站点一般的也就这三种,但应深挖,有时WAF会拦得你无法从一两个方法来判别;故建议还是仔细认真地梳理一下这三类的一些基本语法,基本的即可,从中亦可看出区别,例如各种运算、基本函数语法、预设默认函数语法等,比如求ascii的语法区别。



2、对于其他的关系型数据库,MySQL、Oracle、PostgreSQL、Microsoft SQL Server、Microsoft Access、SQLite、Firebird、Sybase、SAP MaxDB、DB2,可以先看下SQLMAP是怎么区分的。


3、对于非关系型数据库,大概了解下基本语法吧。

请先 登录 后评论