NBSI中文意思是指:牛B死或者非常牛、超级厉害的!同时它是一款网站漏洞检测工具的名称，ASP注入漏洞检测工具，特别在SQL Server注入检测方面有极高的准确率
- 外文名称 NBSI
- 类型 网站漏洞检测工具的名称
NBSI是什么?和如何利用NBS名风I破解帐号
NBSI中文意思是指:牛B死或者非常牛、超级厉害的!
同时它是一款由VB语言编写的网站漏洞检测工具的名称，ASP注来自入漏洞检测工具，特别在SQL Server注入360百科检测方面有极高的准确率。
"工欲善其事，必先利其器"，今天的主角就是NBSI2，(NBSI是网站漏洞检测工具，ASP注入漏洞检测工具，特别在SQL Server注入检测方面有极高的准确率)该工具由NB联盟小竹开发的一款价值1000或耐雨RMB的超级SQL注入分析器，网上有最新NBSI2商业破解版本下载，(建议大家下载这个版衡支务班朝养本，功能比较完善).。首先简单介绍下SQL I买存振但春响个们皇土njection， 小知识:"SQL injection可以说是一种漏洞，胜弱究每提承苏坐仍她也可以说成是一种攻击方法，程序中的变量处理不当，
对用户提交的数据过滤不足，都可能产生这个漏洞，而攻击原理就是利用用户提交或可修改的数据，把想要的SQL语句插入到系统实际SQL语句中，轻则获得敏感的信息，重则控制服务器。
SQL injection并不紧紧局限在Mssql数据库中，Access、Mysql、Oracl获青重量艺停谁色光整客e、Sybase都可以进行SQL injection攻击。 在大多数ASP站点中，我们并不知道其充土写程序代码，靠任何扫描器也不决问讨照留能可能发现SQL injection漏洞，这时就要靠手工检测了，由于我们执行SQL语句要用到单引号、分号、逗号、冒号和"--"，所以我们就在可修改的URL后加上以上符号汉，或在表单中的文本框加上这些符号 "。
首先前个要确定是不是存在漏洞，,我们在这个地址后面加个单引号，提交看到了什么?(如图)
聪明的你一定知道网站是采用SQL SERVER数据库的。当然有些网站是把单引号过滤掉的，这样你用单引号测试是测试不到注入点的，那么我介即们就应该用经典的1=1，2=宣此点船右矛载雷设封2测试法了，简单的说就是在它地址后面加and 1=1和and 2=2提交后和原地址的区别来判断，
可以注入的表现是加上烟and 1=1后和原地址基本相同，加上and 2=2后提示BOF倒渐架或EOF(程序没做任何判断时)、或提示找不到记录(判断亲苗命降置杆了rs.eof时)、或显示内容为空(程序加了教on error resume n培初ext)，了解了原理和判断方法以后就Let's go。
拿起NBSI2开工，如图
然后点击猜解表名，会出来很多网站的表名，然后在已经猜解出来的表名里两慢斯距镇航进井点USER，然后点猜解列表，会出现一些列表然后选择userid和password点击右边的自动猜解出来的是网站会员的帐号和密码，然后用猜解出来的帐号和密码登陆电影网站，当然猜解出来的是全站的帐号和密码，如图
需要自己慢慢去筛选，有点麻烦(如果那位大虾能轻松筛选出来，本菜鸟特别感谢)你要把钻石会员或者黄金会员的帐号登陆才有比较高的权限，现在你就能免费的观看和下载他网上的任何电影了，是不是觉的很爽啊!
当然如果你不满足于只拿到他网站的帐号和密码，还想拿到网站的Webshell，那你要做的工作就是用NBSI2猜解出管理员帐号和密码，这里猜解管理员帐号和密码的方法和步骤和上面的大致一样，不同的是要选择admin(当然也不排除管理员更改了表名)表名进行猜解，找到管理页面(找管理页面的工具很多，当然NBSI2也自带这样的功能，这里笔者向大家推荐 小榕的WIS.EXE这个工具，这个工具是CMD下进行的，成功率很高)并登陆进行管理，这样你就能为自己建个永久会员了，当然还可以删除他站上的任何东西，(这样的行为是被人强烈鄙视的，我们的目的只是为了学习和研究，不是为了破坏，废话多了)当然你还可以用NBSI2自带的一个功能，就是点右上角的哪个工具选择 NB CMOMANED开启网站服务器的Telnet 和建立自己的帐号，还可以开他的3389终端，这里就不做详细的介绍了，如果你有兴趣的话请参考
SQL Injection的教程(SQL Injection教程你可以到电脑报黑客营来找我发表的教程，我的ID为yution，当然你也可以到华夏黑客同盟找到)。
4:总结
其实我们这次入侵利用的就是SQL Injiection这个漏洞，首先利用网站程序漏洞结合注入利器NBSI拿到会员帐号和管理员帐号，从而拿到整个网站的Webshell，然后再开启Telnet和3389进而拿下他网站服务器。最后提醒一些程序员和网管:SQL注入漏洞可谓是"千里之堤，溃于蚁穴"，这种漏洞在网上极为普遍，通常是由于程序员对注入不了解，或者程序过滤不严格，或者某个参数忘记检查导致，一不小心就可能因为某个参数导致整个服务器沦陷。
