sql - 是否可以通过 ping 网站获得一些有用的信息？

Question

我发现一个网站只是在ping其他网页，有一个输入网站地址的输入，并将结果作为一个段落输出到屏幕上，我提到这个输入无效，所以我试着ping 本身，例如，当前网站的地址；和 id (site; id) 和输出是

uid=1000(ubuntu) gid=1000(ubuntu) groups=1000(ubuntu),27(sudo),1001(rvm)

但我不知道这是什么意思，也许还有更多有用的东西，从网页接收任何数据，是否可以对这些输入进行 SQL 注入(inject)？

Answer 1

我不认为这是 sql 注入(inject)。我相信你偶然发现了remote code execution , 比 sql injection 更好;)(您看到的输出是 id 中的 bash 命令的结果)，因为输出表明它是一个 ubuntu 服务器。您可以尝试一些 linux 命令并在服务器上收集更多信息。

注意:利用这些漏洞大多是非法的。除非网站管理员/维护者允许。

并回答你的问题。如果您有 remote code execution，绝对可以在同一网站上收集更多信息(如果你有 rce 你几乎可以做任何事情)。或者如果您想在其他网站上收集信息。我建议做一些基本的信息收集，比如 whois 等等。