1.MYSQL 注射的产生.
漏洞产生原因 : 程序执行中未对敏感字符进行过滤,使得攻击者传入恶意字符串与结构化数据查询语句合并,并且执行恶意代码.

咱们先创造一个没有过滤的程序. 因为我机器上没有PHP,所以我就是用 JAVA了,我会详细注释.

代码
数据库:

create database if not exists `test`;

USE `test`;

/*数据表 `account` 的表结构*/

DROP TABLE IF EXISTS `account`;

CREATE TABLE `account` (
`accountId` bigint(20) NOT NULL auto_increment,
`accountName` varchar(32) default NULL,
`accountPass` varchar(32) default NULL,
PRIMARY KEY  (`accountId`)
) ENGINE=InnoDB DEFAULT CHARSET=latin1;

虽然腾讯有时候做事不地道，但是其开发的有些软件还是不错的，比如集成在qq上的棘突软件，用怪了，有时候截图经常按热键，可惜qq没打开无法使用，还得另找spx一类的软件，麻烦，下面就让我们把qq的截图功能提取出来，随时随地的利用吧


第一步：打开QQ的安装目录，如“C:\Tencent\QQ”，找到QQ的安装目录下的CameraDll.dll文件，这个文件就是与QQ截图有关的文件，将其复制到“C:\QQ截图”文件夹下（可复制到任意位置）。

第二步：打开记事本，输入以下内容：
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\Folder\shell\QQ]
@=”QQ截图”
[HKEY_CLASSES_ROOT\Folder\shell\QQ\command]
@=”Rundll32.exe C:\\QQ截图\\CameraDll.dll,CameraSubArea”
另存为“QQ截图.reg”，双击运行，将其导入注册表，这时右击任务栏左边的“开始”按钮，在出现的右键菜单中选择“QQ截图”命令，就可以调出QQ截图工具了。

今天看一个项目代码，文件不多，不过每个文件中都N多注入，一个一个看实在太累，索性花了点时间，弄了个正则表达式，搜索出来，然后再将安全的筛选出去。省了不少时间的说。

1.查找select、update、delete语句


查询语句,对于没有条件判断的基本不存在注入问题，因而仅搜索此语句即可
例子：
select * from user where

2.简单的数字型注入


能找到select、update delete三种语句，5种格式的整形注入，如：
直接变量传入
select * from guess where id=$subject_id
update guess set is_valid=0 where id=$subject_id
delete from guess where id=$subject_id
=与变量之间存在空格

现在U盘已经很普及了，几十元就可以买到1G的，而且很多手机功能也带U盘功能了，所以想从别人的电脑里面复制出一些文件，那是非常简单的事情，这样对电脑里面资料就有很大的威胁，其实在Vista系统中就不用担心这个问题，我们可以通过设置来限制系统对USB存储设备的访问，比如禁用所有的USB存储设备、让系统只能使用指定的U盘等。下面我们就来介绍一下设置的过程。

1、把自己的U盘先插入到Vista系统中，让系统可以正常使用U盘，接着进入“控制面板”，双击“设备管理器”，在里面展开“便携设备”，可以看见里面有你的U盘。

2、在上面点击鼠标右键来选择“属性”，在弹出的“属性”窗口中点击“详细信息”标签，然后在设备“属性”下拉框中选择“硬件 ID”，下面的“值”中会出现字符串，这个就是你的U盘的硬件ID，把它复制出来保存好。注意：并非所有的U盘等设备都能找到这个硬件ID。

3、我们还需要复制“通用串行总线控制器”中“USB大容量存储设备”的硬件ID，在“设备管理器”中展开“通用串行总线控制器”列表，找到“USB大容量存储设备”，在它的“属性”窗口中点击“详细信息”标签，复制出它的硬件ID也保存一下。

4、找出U盘的硬件ID后就可以通过组策略来实现了限制设置了。按下快捷键“Win+R”来打开“运行”对话框，输入“gpedit.msc” 来调出组策略窗口，依次展开“计算机配置→管理模板→系统→设备安装→设备安装限制”，双击右侧的“禁止安装未由其他策略设置描述的设备”，在弹出的窗口 中选择“已启用”，再点击 “确定”按钮，设置它可以来禁止策略没描述的USB设备。

Windows系统目录是Windows操作系统的重要目录，当我们访问这个目录时，系统会提示你这个目录的重要性，如果需要进入，只需要单击“显示文件”就可以大摇大摆地走进去了。如果我们给Windows目录增加一个进入口令，只有那些口令输入正确的人才能进入，这样，你的Windows目录不是安全多了，而且一些不愿让别人看到的文档也可以放到里面。

　　给Windows目录加口令，我们需要借助Windows目录中一个特殊文件：超文本模板文件folder.htt。另外我们再编写一个HTML文档用来进行口令输入错误时的提示。

　　下面，我们先来修改一下folder.htt，用记事本打开Windows目录中的folder.htt文档（注意它是一个隐藏文件，如果你在Windows目录中找不到它，可以在我的电脑窗口中单击“查看”菜单中的“文件夹选项...”，再单击“查看”标签，在高级设置中选中“显示所有文件”就可以了。），在文档内容最后的语句前面加入如下VBSCRIPT代码：

＜Script language="vbscript"＞
function kouling()
　　dim pass<BR>  
　　pass=Prompt("对不起，这是重要的系统目录，请您正确输入管理口令才能进入：","")
　　if pass="abc" then dedecms.com
　　else<BR>　　Alert "对不起，您的口令错误！"
　　Navigate "file://C:\Program Files\error.html"
　　end if
　　end function
　　kouling()
＜/script＞