什么是 nvOpzp；AND 1=1 或 (<'">iKO))？

Question

我每天都会多次看到网站上公共搜索框的查询：

'nvOpzp; AND 1=1 OR (<'">iKO)),

这里发生了什么？

Answer 1

这只是尝试看看代码是否会出错。两种引号以防另一种没有转义。在输出中查找的无意义文本 - 如果找到，则可能存在注入。

也可能是针对 XSS 的测试。

该代码正在寻找三个不同的缺陷：

• 数据在使用前未得到正确处理 - 针对 HTML 进行转义，为 SQL 做好准备
• 错误显示在屏幕上而不是记录下来
• 遵守上述规则是任意的，而不是强制性的

一天几次，只是因为这个过程是无意识地自动化的，范围扫描。这样做的人通常被称为脚本小子——实际上什么都不知道，他们只是运行一些预制的软件。