DVWA暴力破解

Brute Force 暴力破解

low

1.手工注入 万能密码

admin ’ or ‘1’='1

2.直接bp爆破

welcome to dvwa

Medium

这个跟low差不多 只是增加了mysqli_real_escape_string()函数 这个函数会过滤一些特殊的符号 抵御一部分sql注入

ps:mysqli_real_escape_string()函数的作用是对字符串中的特殊字符进行转义，以防止SQL注入攻击。它将字符串中的特殊字符（如单引号、双引号、反斜杠等）转义为它们的转义序列，从而使其在SQL语句中不被误解为SQL命令的一部分。这样可以确保用户输入的数据不会破坏SQL查询语句的结构，同时保护数据库的安全性。

High

这一关的区别在于token

注：Token是在客户端频繁向服务端请求数据，服务端频繁的去数据库查询用户名和密码并进行对比，判断用户名和密码正确与否，并作出相应提示，在这样的背景下，Token便应运而生。Token是服务端生成的一串字符串，以作客户端进行请求的一个令牌，当第一次登录后，服务器生成一个Token便将此Token返回给客户端，以后客户端只需带上这个Token前来请求数据即可，无需再次带上用户名和密码。Token的目的是为了减轻服务器的压力，减少频繁的查询数据库，使服务器更加健壮。