SQL 注入攻击中基于 DNS 的数据检索
密码学与安全
2013-03-14 v1 数据库
网络与互联网体系结构
摘要
本文描述了一种高级 SQL 注入技术，其中 DNS 解析过程被利用来检索恶意 SQL 查询结果。产生的 DNS 请求由攻击者本人在受控的远程名称服务器上拦截，以提取有价值的数据。开源 SQL 注入工具 sqlmap 已被调整以自动化此任务。通过这些修改，攻击者能够使用该技术进行快速且低调的数据检索，特别是在其他标准方法失效的情况下。
引用
@article{arxiv.1303.3047,
title = {Data Retrieval over DNS in SQL Injection Attacks},
author = {Miroslav Stampar},
journal= {arXiv preprint arXiv:1303.3047},
year = {2013}
}
备注
7 pages, 3 figures, 1 table. Presented at PHDays 2012 security conference, Moscow, Russia