什么是 nvOpzp； AND 1=1 或 (<'">iKO))？

Question

我每天都会多次看到对网站上公共搜索框的查询：

'nvOpzp; AND 1=1 OR (<'">iKO)),

这是怎么回事？

Answer 1

这只是尝试查看代码是否会出错。两种引号，以防另一种没有被转义。要在输出中查找的无意义文本 - 如果找到，则可能存在注入。

也可能是 XSS 测试。

此代码正在寻找三个不同的缺陷：

• 使用前未正确处理数据 - 为 HTML 转义，为 SQL 准备
• 错误显示在屏幕上而不是被记录
• 遵守上述规则是任意的，不是强制性的

一天几次，仅仅因为这个过程是无意识的自动化，范围扫描。这样做的人通常被称为脚本小子——他们实际上什么都不知道，他们只是运行一些预制软件。