黑客游戏SQL注入这一关怎么破
百度百科：
SQL注入攻击是你需要担心的事情，不管你用什么web编程技术，再说所有的web框架都需要担心这个的。你需要遵循几条非常基本的规则：
1）在构造动态SQL语句时，一定要使用类安全（type-safe）的参数加码机制。大多数的数据API，包括ADO和ADO. NET，有这样的支持，允许你指定所提供的参数的确切类型（譬如，字符串，整数，日期等），可以保证这些参数被恰当地escaped/encoded了，来避免黑客利用它们。一定要从始到终地使用这些特性。
例如，在ADO. NET里对动态SQL，你可以象下面这样重写上述的语句，使之安全：
Dim SSN as String = Request.QueryString("SSN")
Dim cmd As new SqlCommand("SELECT au_lname,au_fname FROM authors WHERE au_id = @au_id")
Dim param = new SqlParameter("au_id",SqlDbType.VarChar)
param.Value = SSN
cmd.Parameters.Add(param)
这将防止有人试图偷偷注入另外的SQL表达式（因为ADO. NET知道对au_id的字符串值进行加码），以及避免其他数据问题（譬如不正确地转换数值类型等）。注意，VS 2005内置的TableAdapter/DataSet设计器自动使用这个机制，ASP. NET 2.0数据源控件也是如此。
一个常见的错误知觉（misperception）是，假如你使用了存储过程或ORM，你就完全不受SQL注入攻击之害了。这是不正确的，你还是需要确定在给存储过程传递数据时你很谨慎，或在用ORM来定制一个查询时，你的做法是安全的。
2） 在部署你的应用前，始终要做安全审评（security review）。建立一个正式的安全过程（formal security process），在每次你做更新时，对所有的编码做审评。后面一点特别重要。很多次我听说开发队伍在正式上线（going live）前会做很详细的安全审评，然后在几周或几个月之后他们做一些很小的更新时，他们会跳过安全审评这关，推说，“就是一个小小的更新，我们以后再做编码审评好了”。请始终坚持做安全审评。
3） 千万别把敏感性数据在数据库里以明文存放。我个人的意见是，密码应该总是在单向（one-way)hashed过后再存放，我甚至不喜欢将它们在加密后存放。在默认设置下，ASP. NET 2.0 Membership API 自动为你这么做，还同时实现了安全的SALT 随机化行为（SALT randomization behavior）。如果你决定建立自己的成员数据库，我建议你查看一下我们在这里发表的我们自己的Membership provider的源码。同时也确定对你的数据库里的信用卡和其他的私有数据进行了加密。这样即使你的数据库被人入侵（compromised）了的话，起码你的客户的私有数据不会被人利用。
4）确认你编写了自动化的单元测试，来特别校验你的数据访问层和应用程序不受SQL注入攻击。这么做是非常重要的，有助于捕捉住（catch）“就是一个小小的更新，所有不会有安全问题”的情形带来的疏忽，来提供额外的安全层以避免偶然地引进坏的安全缺陷到你的应用里去。
5）锁定你的数据库的安全，只给访问数据库的web应用功能所需的最低的权限。如果web应用不需要访问某些表，那么确认它没有访问这些表的权限。如果web应用只需要只读的权限从你的account payables表来生成报表，那么确认你禁止它对此表的 insert/update/delete 的权限。
6）很多新手从网上SQL通用防注入系统的程序，在需要防范注入的页面头部用 来防止别人进行手动注入测试（。
可是如果通过SQL注入分析器就可轻松跳过防注入系统并自动分析其注入点。然后只需要几分钟，你的管理员及密码就会被分析出来。
7）对于注入分析器的防范，笔者通过实验，发现了一种简单有效的防范方法。首先我们要知道SQL注入分析器是如何工作的。在操作过程中，发现并不是冲着“admin”管理员去的，而是冲着权限（如flag=1）去的。这样一来，无论你的管理员怎么变都无法逃过检测。
第三步：既然无法逃过检测，那我们就做两个，一个是普通的管理员，一个是防止注入的，为什么这么说呢？笔者想，如果找一个权限最大的制造假象，吸引的检测，而这个里的内容是大于千字以上的中文字符，就会迫使对这个进行分析的时候进入全负荷状态甚至资源耗尽而死机。下面我们就来修改数据库吧。
⒈对表结构进行修改。将管理员的字段的数据类型进行修改，文本型改成最大字段255（其实也够了，如果还想做得再大点，可以选择备注型），密码的字段也进行相同设置。
⒉对表进行修改。设置管理员权限的放在ID1，并输入大量中文字符（最好大于100个字）。
⒊把真正的管理员密码放在ID2后的任何一个位置（如放在ID549上）。
由于SQL注入攻击针对的是应用开发过程中的编程不严密，因而对于绝大多数防火墙来说，这种攻击是“合法”的。问题的解决只有依赖于完善编程。专门针对SQL注入攻击的工具较少，Wpoison对于用asp，php进行的开发有一定帮助。
如何破解电脑报黑客游戏第一关
精英黑客关：
第一关：
if (script1=="007521") {
window.open("r007521-2.html","",blank) }
else {
alert(MM_str) 意思是如果输入007521则跳转到r007521-2.html页面。。否则跳转到MM_str，即"你旁边的人对你说“兄弟，你不会把这地方引爆吧？”显然后者是密码错误才会出现的情况。。所以密码是007521
第二关：
/SCRIPT
script language="JavaScript" type="text/javascript"
!--
function MM_ca11JS() {
password=document.table.html.value
if (password=="521007") {
window.open("r521-3.html","_self") }
else {
alert("其他人对你说“兄弟，这东西要是爆炸了，我们就都成历史了！”")
}
}
//--
/script
用以前的方法不行了。。然后再用r521-3,html也不可以。。。然后大家看input name="Submit" type="button" onclick="MM_callJS('qiying()')" value="确定" /
这段代码。。。。有一个onclick="MM_callJS('qiying()')"函数调用。。因为源文件中没有qiying所以可能是外部调用。。然后就可以找到：script language="JavaScript" type="text/javascript" src="ad.js"/script 把ad.js下载下来，打开就可以找到密码了。。密码8834751
第三关：
找到 ar wd ="%3Cscript%20language%3D%27JavaScript%27%20type%3D%27text/javascript%27%20src%3D%27pws.js%27%3E%3C/script%3E" 很欺骗性，，，还是下载pws.js文件。。。
第四关：
function MM_setTextOfTextfield(objName,x,newText) 关键是这个，newtext是关键词嘛。。呵呵。下一关。。然后就要找MM_setTextOfTextfield这个函数是什么意思。。。然后搜索到input name="Submit" type="button" onclick="MM_setTextOfTextfield('td','','tr')" value="确定" 用tr测试ok了。。
第五关：
查看源代码。细心点可以发现，密码提交那里不一样了。。。这个是flash的。。
这个我也迷茫了。。不过我猜密码有可能在flash源文件里之类的。。。 baidu一下，硕思闪客精灵。。可以还原flash。。。可以从院文件里找到密码883275144474561414
第六关：
还是看源文件。。看到
".-","-...","-.-.","-..",".","..-.",
"--.","....","..",".---","-.-",".-..",
"--","-.","---",".--.","--.-",".-.",
"...","-","..-","...-",".--","-..-",
"-.--","--..",".-","-...","-.-.","-..",
".","..-.","--.","....","..",".---",
"-.-",".-..","--","-.","---",".--.",
"--.-",".-.","...","-","..-","...-",
".--","-..-","-.--","--.."," ",".-.-.-",
"--..--","..--..","---...","-....-","!") 当场晕倒。。
爬起来继续看下面的代码
for(i=0;i 3;i++){
ot += morse;}
这个for（i=0；i3;i++）看来是只要前三组。其他的没用
over。。 结果是可以下个墙纸。。。呜呼。。
PS：不过硕思闪客精灵这个东西挺好用的。。嘿嘿`
心理医生关：
第一关:
通过身份查询得知他是1969年出生，今天正好是他的生日。
首先就猜了一个:19690605，结果不对。回过头去一看，原来人家说的今天是06年03月17日。于是重新猜：19690605。过。
第二关：
只知道：第二道门的警卫平时酷爱音乐，尤其崇拜那些世界著名音乐大师。他前不久刚买了一套今年发行的CD，是为了纪念某位音乐大师的诞辰而发行的。
去谷歌了一下，是莫扎特诞辰。于是输入姓名，不对，然后输入其出生年月：17560127过关。
第三关：
这道门的密码将会非常长。 不过全科研中心的人都知道Ion博士是个懒人。另外，他前不久听到Ion博士通过快速通道时，嘴里嘟囔着“T+M”。
指挥中心给你们传回了Ion博士的个人资料：
职员号：1457889
电话：8832751
手机：44474561414
一看博士是懒人，又什么T+M的，觉得是电话（T）和手机（M），于是得到密码：883275144474561414。过关。
第四关
前方就是控制中心！走近了以后你们才发现，原来想要进入控制中心也需要输入密码。
指挥中心传回的信息是，该密码由某位技术人员设定，据说他宣称该密码没人能破解得了，也绝对猜不出来。
记得某人曾经说过有一关是空密码，试一下，又过。
第五关
指挥中心给你们的信息是，由于安全主机非常重要，所以肯定不会用生日一类的数字做密码
该技术人员曾经说过他设置的密码即使黑客破解出来了也不会知道。
指挥中心目前只知道该密码为6-8位。
蹊跷之事：估计那句话的意思就是密码它本身有点意思。输入六个星号，不对，输入八个。OK了。
第六关：
输入管理员密码来暂停监控程序，终于可以暂停监控程序了！但是管理员密码究竟是什么呢？这么多道关卡层层保护着安全中心，想来那管理员密码一定更难猜了，最重要的是，竟然一点相关信息都没有！
随便猜，都猜成：admin
结果劳资也下了一壁纸~
黑客需要学什么？
黑客需要学习的东西有很多，底层的有编程语言，操作系统原理，计算机硬件原理，编译原理，网络协议，cpu指令集，再往上一层，应用程序的编写，服务器的配置，各类软件的操作，等等。黑客有很多分支，有擅长编码写程序的，有擅长找程序漏洞的，有擅长逆向破解的，还有喜欢编写木马病毒的，对于新手而言，需要选择一个分支深入下去，到最后彻底精通这个领域，一招鲜吃遍天，先学一门精通后再横向扩展到其他领域

编程语言的话建议先学脚本语言，例如浏览器端的就学javascript，服务器端的就是php,asp,jsp等，经常有新手朋友问我黑客那么多领域，我该学那个比较好，从目前市场前景来看，学网络安全更有竞争力，首先随着互联网+，和移动互联网的快速发展，网络安全已经是个不得不重视的事情，而且从学习难度和就业薪资来说网络安全也比开发领域要好，网络安全又可以细分为web安全，移动安全，物联网安全，无线安全，区块链甚之汽车安全，所以你只要再其中选择一个细分领域然后精通后再扩展到其他领域就行，就像我自己就是学web安全出身的
对于想学web安全的朋友该如何学习呢？首先你要理解web是如何运作的，要知道浏览器是如何吧你的请求发送给服务器的，浏览器之间是通过那种协议运作的，这就需要你懂HTML（超文本编辑语言）css，javascript，也要懂服务器端的php语言，如果这些基础的东西你都不懂，就是会利用一些现成的漏洞工具进行一些复制黏贴类的操作对于你没有一点好处，如果漏洞被修复你就什么也做不了，一名真正的黑客是可以独自发现漏洞并可以修复漏洞的
成为黑客的道路是漫长的，只有耐得住寂寞的人才可以到达梦想的河畔，如果你在成为黑客的路上遇到困难想要放弃的时候，你可以通过一些其他的方式来鼓舞自己,学习是一件反人性的事情，遇到困难如果一时解决不了，不妨先放一放，过段时间随着你知识的积累可能就自然而然的明白了，当大家想要放松的时候不妨找些黑客题材的电影来看下，这里我推荐一部德语片，我是谁，没有绝对安全的系统，他会告诉你，这个世界上最大的漏洞是人
0条大神的评论