SQL注入完全宝典(二)

1、后台登录框POST错误回显注入

看了一个泰国政府的网站被伊朗的黑客挂页，上面写着：“Your Box 0wn3z By Behrooz Ice-Q7x-Sha2ow-Virangar-Ali Eagle-iman taktaz-Satanic2000”“We Love Iran”“Ashiyane Digital Security Team”这样的话云云。一些中国的傻逼还拿着别人的黑页去zone-h去提交，感觉受不了这么傻逼的事情，就跟着犯了傻逼，捅了人家的PP。

下面我就讲讲怎么捅了他们的PP。

网站服务器ip为：203.154.183.18,上面一共有大约一百多个xx.cad.go.th(泰国政府域名后缀)的网站。包括主域名：www.cad.go.th(www.cad.go.th/webadmin/),我先是看了看上面站的构架，基本上都是一个模板出来的，似乎有点脚本问题，不过不从这边下手。直接访间ip可以看到一个管理后台。

看了看这个后台，上面写着EasyWebTime 8.6，不知道是什么东西。然后我就用一一用户名：admin'or 1=1#密码任意123456登陆，得到如下回显：