什么是脚本攻击
最近脚本攻击好象是很流行的，不过早在很久前就有这个了！脚本攻击严格的说应该是一件艺术而不是漏洞！首先我们先要知道什么是脚本，脚本就是运行在网页服务器上的文本程序，例如：ASP、PHP、CGI、JSP、ISAP等等，脚本的攻击就是利用这些文件的设置和编写时的错误或者疏忽不当，攻击者就可以利用这些来达到自己攻击目的，如果一个服务器存在这些漏洞，那么它的沦陷也是时间的问题！
这些文本文件一般都是要结合数据库来使用的，这些数据库有ACCESS、MSSQL、MYSQL、Oracle等！脚本攻击就是针对这些数据库来配合脚本对一些变量的过滤不严的问题来达到得到用户密码等敏感信息，修改数据库等目的！下面我就针对这些来分别举例说明！
一、跨站脚本的攻击
脚本的跨站（CSS/XSS）就是利用程序对用户提交的变量不严，大多数是利用多媒体标签，前段时间比较流行的flash跨站就是利用的这个，比如我在[FLASH=450,350][/FLASH]之间插入一个我自己作好的一个swf文件，swf文件里我们用geturl里加上javascript:window.open(''就可以让他打开清风安全网的网站，如果这里是一个木马网页，呵呵，，，你就等着中木马吧！还有就是窃取用户的cookie，例如我们利用也就是图片的跨站，在这个里面插入
这段地址即可得到！如果将javascript过滤掉后怎么办？
好，我们在看看下面这段代码：
[upload=swf]uploadImages/200310812145390577.swf?"[/upload]
怎么样，还是能将你的信息得到的，而且还不会弹出对话框！
另外在joekoe论坛程序里还有一个这样的问题，比如你发个帖子里有[DIR][/DIR]就会弹出一个播放器的安装程序，呵呵，如果是一个黑心的站长利用这个来放马，那后果就不用说了吧！
解决办法：现在还没有好的方法解决这个问题，你要做的就是将多媒体的标签删掉！
另附ASP和PHP的跨站代码
php如下
$info = getenv("QUERY_STRING";
if ($info) {
$fp = fopen("test.txt","a";
fwrite($fp,$info."n";
fclose($fp);
}
?
asp如下
二、sql injection
是现在最热门的，也是本文要重点说的！
1、ASP+ACCESS数据库类型的SQL注射
现在的大多数网站是采用的这个组合，但是如果在ASP程序中没有对用户提交的变量充分过滤的话就可能导致管理员密码被猜到，整个网站的信息就会暴漏无移~！
在大多数ASP站点中，我们并不知道其程序代码，靠任何扫描器也不可能发现SQL injection漏洞，这时就要靠手工检测了，由于我们执行SQL语句要用到单引号、分号、逗号、冒号和“--”，所以我们就在可修改的URL后加上以上符号，或在表单中的文本框加上这些符号！比如比较经典的金梅系统漏洞，在movie.aps中有怎么一段代码：
articleid=request("id"
set rs=server.createobject("adodb.recordset"
sql="update learning set hits=hits+1 where articleID="articleid
--------------------------------------------------------------------------------
2 [转帖]脚本安全和利用
rs.open sql,conn,1,3
sql="select * from learning where articleid="articleid
rs.open sql,conn,1,1
articleid未经任何检查便提交了，所以我们就可以自己构造一些SQL语句来提交上去！具体的利用过程请看拙作《SQL注入完整篇》和《SQL注入的补充》的动画教程，这里我就不在重复的说了！
2、ASP+MYSQL数据库类型的利用
MYSQL数据库简单使用和强大的功能一直以来都是网管们的最爱！但是如果是ASP中没有对变量过滤的话，我们就可以来直接的到他的系统管理员权限！
比如动网论坛、BBSXP论坛的SQL版有好几个文件都没有对ID过滤，所以我们只要找到他的存在问题的页面就可以了，
看这段代码：rs.open "select * from news where newsid=" cstr(request("newsid"),conn,1,1
比如我们提交：
;exec master.dbo.xp_cmdshell 'net user xuehan ilovexuehan /add';--
;exec master.dbo.xp_cmdshell 'net localgroup administrators xuehan /add';--
看到了吗？我们已经在系统中田加了一个xuehan 密码是ilovexuehan的管理员帐号，以下的事情你就自己来做吧，呵呵，，，不用我来教了吧！！！
如果过滤了分号和单引号怎么办？呵呵，我们只要将我们的命令形式转换一下，比如我们转换成十六进制或者别的形式就可以继续注入了，还有就是他如果过滤了xp_cmdshell 我们也可以解决，我们可以写成xp'+'_cmd'+'shell形式，如果他将xp_cmdshell 扩展删掉，我们可以通过xplog70.dll文件来恢复，呵呵，，，具体自己查找下数据库的知识，当然我们也可以用别的扩展！所以说SQL injection不仅仅是一门技术，更要有灵活的头脑和扎实的数据库知识，特别是对SQL语言的掌握程度，如果不会SQL语言，你永远都是生搬硬套，遇到障碍就过不去了！
3、PHP+MYSQL数据库类型
PHP+MYSQL一直以来都认为是最安全的组合，不过一些文件没有过滤单引号、反斜线等，我们也可以来进行注入，不过在最新的php安装程序里的php.ini文件默认都是对这些过滤掉的，所以很大情况下我们是无法对进行注入的，不过也有许多牛人们可以饶过这个限制的！由于我的PHP和MYSQL不是太懂，所以就不能来具体举例来说明了，大家要是有兴趣可以去找写资料来看！！！
需要从根本上解决解决SQL Injection问题。还得从程序本身入手。过滤不能单纯的过滤URL所提交的参数，在表单里的也要过滤，value=后面的可以修改的数据，修改后可以提交到服务器，总之对所有的表单提交的数据以及用户可能对HTML源文件进行修改来控制的所有来自Web服务器外部的数据进行过滤或转换，对单引号、双引号、分号“--”还有对数字键上面的所有特殊字符进行过滤，还有QUERY_STRING环境变量。在服务器上删除一些危险的扩展存储过程，比如xp_cmdshell。有条件装个IDS更好，不敢说无坚不摧，但至少可以阻挡大部分攻击者。
三、一些别的脚本攻击
有些程序没有对cookie或者session进行过滤和检查，就造成了用户可以非法修改提交页面，自己提交修改数据，比如像海阳顶端网木马的以前版本对session没有过滤，我们就可以饶过密码的验证来到达真正的页面，还有就是post提交的问题，像leadbbs的2.77版本就是没有充分的过滤，我们就可以把管理员的密码修改成自己的密码！
还有一个脚本的攻击例子，在Discuz! 2.0 论坛里，因为个人属性缺乏必要的安全确认，所以很容易诱使其他会员自动修改其个人属性内容，特别是注册邮件信息，这关系着登陆密码的修改。
比如我们发个帖子，写上
诱使会员点击这个页面后，就会自动修改该会员注册的email地址为crack.x.h2163.com。当然为了隐蔽性，可以更新后自动关闭，然后调用另外一个假地址。
当然我们也可以利用这个漏洞进行欺骗、隐藏来诱惑管理员来修改我们为管理员等等！大家自己去学习吧！
看了这么多枯燥的东西下面我们再来看看另外一个好玩的漏洞，在百渡里搜索”传奇留言薄“找几个免费的留言本进去，找到他的登陆页面，我找到的一个是：
我们再来看看下面这个连接：
哈，怎么我们就闯入后台了！！！
什么原因，自己去琢磨吧！
后记：脚本的攻击可以说是防不胜防的，我们所要做的只能是提高编写程序的严谨态度，人为的因素在脚本攻击中是最重要的！
声明：本文提到的漏洞都有一定的攻击性，我们的目的是探讨技术，搞破坏的是小人！所造成的一切后果于作者无关！由于作者水平有限，文中难免有错误之处，欢迎指出！
游戏脚本制作网站地址和教程
按键精灵简单脚本制作教程 看到有人求按键的脚本制作教程。正好无聊，就做了一个简单的教程放上来吧。
下边我就来带大家做一个相对比较简单的挂机自动打怪脚本，当然这个制作比较粗糙，大家知道是怎么一会事就行了。过程中将会把常用的几个脚本命令编辑方法介绍给大家。
1、运行按键精灵。在主界面上点选“新建”进入脚本编辑
2、在界面左边的命令类型里选择鼠标命令。常用的就是前2个。假设游戏中人物为中心坐标500，500。我每次选取怪物前需点选角色自己。那么如图，鼠标移动到 那里可以下拉选择一个坐标插入命令。（这个坐标可以直接在游戏里截取也可以自己设置。如何在游戏里抓点，后边会介绍到。）然后鼠标动作下拉菜单里选择左键单击==插入命令。
3、如果手动输入坐标点的话，可以先插入鼠标移动到x=0 y=0。然后在脚本区直接修改。2种修改方式。一是在源文件中修改，一种是在普通里双击命令修改，如图
4、假设游戏的寻怪快捷键为F1。那么找到键盘命令。这里常用的2种命令，一是按键，二是按键组合。只要把鼠标点在下图中空白处，然后在键盘上按下需要编辑的键，就可以自动记录了。
5、上一步已经按了自动寻怪了。下一步该进行攻击了。假设攻击的快捷键是ctrl+1。这就用到按键组合的命令了。插入ctrl+1的命令脚本。这里需要注意的是，默认是执行命令脚本时，按下ctrl+1后只弹开ctrl键。如图：
6、我们需要手动输入弹开1键的命令。点选源文件，我们可以看到按下1键和弹起ctrl键的命令分别是keypress 49,1 和 keyup 17,1 组合一下就得到弹起1键的命令为keyup 49,1。这里要注意的是逗号要用半角输入。
7、一套连贯的攻击完毕。下边需要对自动吃药的脚本进行编辑。在这个命令里我们主要是依靠对颜色的辨别来完成的。在控制命令里选择需要的点和颜色进行编辑。（点和颜色用抓点功能直接在游戏里抓取）下边插入的这个命令解读为若点796，638的颜色为黑色时则如何，否则如何。什么意思呢？假设游戏人物HP条50%处的点为796，638。那么如果血掉到50%以下，这个点的颜色就应该是黑的了。这时我就要吃HP药水了。
8、从上图B点可以看出，这条命令无法单独使用。我们需要插入吃药的脚本命令。先在其他命令中选择延时100毫秒插入，然后插入游戏中HP药水的快捷键F2。这里说一下延时的用处。延时的设置是因为如果连续运行多条脚本命令时，机器可以能反映不过来而当掉，所以基本每条单独的命令都会插入适当的延时。
9、若需要设置吃MP药水，则同上步骤。若需在游戏中喊话，则可在其他命令中选择文本输入命令。记着输入完文本还需设置回车命令将文本发送出去。
10、关于抓点。脚本编辑界面上方直接点选抓点功能，然后切入游戏，将鼠标放到需要抓的点上，按抓点快捷键就可以将鼠标点的坐标和颜色抓取下来了。
11、脚本编辑完毕，我们还需对脚本的启动、停止热键，以及对脚本的描述做出修改。热键直接点在右边编辑窗口需要修改的地方，然后点下鼠标就可以修改了。热键点完空白地方直接在键盘上按一下就可以了。注意脚本循环里一定要选择循环到按中止键为止。
12、OK，全部编辑完毕，保存脚本退出。返回按键精灵主界面。现在已经可以看到我们自己制作的脚本了。
2016最新python入门到精通视频教程下载地址
《Python3爬虫入门到精通课程视频【附软件与资料】【34课时】--崔庆才》百度网盘资源免费下载
链接:
?pwd=zxcv 提取码:zxcv
Python3爬虫入门到精通课程视频【附软件与资料】【34课时】--崔庆才|章节5： 分布式篇|章节4： 框架篇|章节3： 实战篇|章节2： 基础篇|章节1： 环境配置|Python3爬虫课程资料代码.zip|2018-Python3网络爬虫开发实战-崔庆才.pdf|课时06：Python爬虫常用库的安装.zip|课时05：Python多版本共存配置.zip|课时04：MySQL的安装.zip|课时03：Redis环境配置.zip|课时02：MongoDB环境配置.zip|课时01：Python3+Pip环境配置.zip|课时13：Selenium详解.zip
有没有asp的视频教程下载呀,谁能给我个地址,谢谢!
这个网址有很多asp视频教程免费下载，非常全面，在地址栏输入就可以。发不了外链，就麻烦你输入了。希望对你有帮助！
悟空浏览器刷视频脚本怎么下载
可以在手机自带浏览器输入悟空浏览器下载，也可以在软件应用商店下载
0条大神的评论