入侵测试第三步：注入攻击

　　很多网站对于注入防范做得都很不到位，注入攻击可以让网站暴露出自己的数据库信息以至于暴露数据库表中的管理员账号和密码。

　　重新登录Tomcat的管理界面，点击“Context （Admin）”这个链接，列出了WEB目录下的一些文件和目录的名称，现在就可以对Tomcat的Context进行管理，例如查看、增加、删除Context。

　　回到Tomcat的管理界，我发现了一个上传文件的组件，并且网站还有一个论坛。于是，我编写了一个input.jsp文件，并将它当作一般的Web 应用程序，通过上传的组件上传到对方的WEB目录里。打开input.jsp这个页面，网页对查询窗体不会做任何输入验证，但是对用户名称的窗体则会。将数据填入窗体，来测试一下网页的漏洞，例子如下：

　　（1）将<script. language="javascript">alert(document.cookie)</script>填入搜索字段，以便用XSS 来显示进程的cookie。

　　（2）将<iframe. src=http://jakarta.apache.org></iframe>填入搜索字段来示范HTML 注入攻击。

　　通过这些方法，我得到了一些论坛的用户信息，当然，这些都是针对JSP做的一些测试，以验证Web应用程序中的所有输入字段。有了用户信息，却没有密码，怎么办？在登录时，我发现了一个8888端口，这会是个什么服务呢？

　　专家支招：在网页连接数据库的设计中，网页设计人员要加入对一些敏感符号的审核机制，屏蔽一些在数据库中有作用的符号，这可以在很大程度上成功防御注入攻击。