靶场科普 | SHECMS渗透实战

发表时间:2021-10-18 14:54

本文由“东塔网络安全学院”总结归纳


靶场介绍:

SHECMS渗透实战

靶场科普 | SHECMS渗透实战


今天,给大家介绍一下“东塔攻防世界”其中的一个靶场:“SHECMS渗透实战”。

一、实验介绍

1.SHECMS v1.7

SHECMS商城系统是将商品展示、在线购物、订单管理、支付管理、文章管理、客户咨询反馈等功能相结合,并提供了简易的操作、实用的功能,快速让用户建立个性化的网上商店,为用户提供了一个低成本、高效率的网上商城建设方案。

靶场科普 | SHECMS渗透实战


二、实验目的

1.掌握SQL注入的原理以及利用过程

2. 根据SHECMS系统的复现,掌握SQL注入


三、实验步骤

1.启动靶场,查看实验环境;

2.使用百度搜索shecms前台sql注入漏洞;

3.使用联合注入,爆出库名和表名及字段内容。


四、防御方法

1.构造的sql语句时使用参数化形式而不使用拼接方式能够可靠地避免sql注入,主流的数据库和语言都支持参数化形式;
2.拼接加对输入进行单引号和sql关键字过滤的方法也能在一定程度上防护sql注入;
3.采用sql语句预编译和绑定变量;
4.严格检查参数的数据类型,还有可以使用一些安全函数,来防止sql注入;