看【ChatGPT】能否正确解答【Web安全渗透测试】同学的问题

背景

本周在《Web安全渗透测试》课程的QQ群中，有同学提问了一个关于网上一个关于SQL注入漏洞讲解案例的问题，如图：

很明显，这是个错误案例。

如果是一个没有老师或前辈指导的情况下，询问ChatGPT能否帮忙解决这个问题呢？

浅探ChatGPT的安全能力

注：基于GPT 3.5。

开门见山，直接问是否能成功注入，答案是存在的：

再重复问一遍，态度很坚定，如果是没有相关基础的同学看到话、估摸着就拿来当结论了…：

再质疑一遍，就动摇了，但也没有找到问题的关键点所在，只是觉得会校验有效的user参数值：

没办法了，只能直接问关键点，这个ChatGPT是知道的：

关联上述语句，再问一遍，结果还是说or优先级高于and，还是有问题：

再追问一遍，就纠正过来了即and优先级高于or，但结论还是不对的，因为它理解表中存在user为abc和pass为12345的行就会返回表中所有行，真实是只会返回一行：

这次加个前提条件即不存在对应的用户名和密码再问题一遍，直接给出错误答案。。。：

针对错误点再次提出疑问，虽然对错误点进行了纠正，但还是存在错误（没有abc用户名不返回任何行）：

回过头来再问，会纠正一些，但不多。。。：

再细问具体不存在用户名和密码的场景，终于给出了正确的不会返回任何行的答案。。。：

最后给出的结论终于正确了，但还不够全面：

至此，相信也再次印证了ChatGPT一本正经地胡说八道的现象了，同时也相信GPT4的能力会比3.5强很多，后续有机会再更新下4相关的能力表现。

小结

综上所述，可以得出一些在Web安全渗透测试中使用ChatGPT的建议：

• ChatGPT有时候就是在一本正经地胡说八道，不能全信！
• ChatGPT会根据用户的提问来纠正自己的一些已有结论
• ChatGPT能辅助我们学习Web安全渗透测试相关知识，但不能依赖它来学习，因为有些结论是未经过任何正确验证的！
• 网络安全的核心竞争力强大、可替代性很弱，学习掌握相关技能可有效抵御ChatGPT等的冲击，无需焦虑！

最后！

为提高自身核心竞争力、让ChatGPT成为自己竞争力的垫脚石，就在此推荐大实战课程《Web安全渗透测试》，课程优势如下：

• 当前全网Web漏洞类型覆盖最多的教程，远多于ChatGPT所罗列的10种Web漏洞类型！
• 每个Web漏洞类型均有实战案例，以实战为核心，从实战中加深对漏洞攻防的理解，正是ChatGPT建议中提到的通过实践和练习的方式来进行学习的理念！
• 系统化的Web安全漏洞攻防知识体系，对各类Web漏洞根据漏洞原理及本质进行的分类归纳，更加方便大家理解和掌握Web安全渗透测试的整个全景图！
• 从基础必备知识如Web基础、编程语言及工具使用等开始讲解，跟ChatGPT提到的学习路径完全一致，适合零基础和想系统化学习Web安全渗透测试的同学们！
• 课程讲师来自互联网大厂，作为攻击队多次参加国家级网络安全攻防演练，拥有丰富的渗透测试攻防经验，在课程中将最实用/前沿的知识系统化地教授大家！