实战篇——SQL注入sqli-labs-master靶场实战一
实战篇——SQL注入sqli-labs-master靶场实战(1)
SQL注入的原理
没有对用户的输入进行合法性判断或过滤，而是直接将其拼接至SQL查询语句当中作为命令执行，从而导致非法操作。
SQL注入的检测
也就是闭合方式的判断，根据报错信息的不同情况可以分为3类——(1)有报错信息 (2)无报错信息，但语法错误和语法正确可区分 (3)无报错信息，语法错误和语法正确不可区分。
(此处参考了https://blog.csdn.net/weixin_46634468/article/details/120480080?spm=1001.2014.3001.5506)
(1) 有报错信息
这是最理想的情况，直接跟上转义字符\即可。
当闭合字符遇到转义字符时，会被转义，那么缺少闭合字符的语句就不完整了，就会报错。
因此转义字符后面跟着的字符就是闭合字符，如果没有就是数字型。
Less-1:单引号闭合
Less-2:数字型
Less-3:单引号加括号闭合
Less-4:双引号加括号闭合
(2) 无报错信息，但语法错误和语法正确可区分
首先尝试：
?id=1'
?id=1"
都报错就是数字型。单引号报错，双引号不报错：
继续尝试：
?id=1'#
不报错就是单引号闭合，报错就是单引号加括号闭合。单引号不报错，双引号报错：
继续尝试：
?id=1"#
不报错就是双引号闭合，报错就是双引号加括号闭合。
事实上语法正确又可以分为两类——查询结果非空和查询结果为空，上述判断方法针对的是语法错误和查询结果非空可区分的情形，而针对语法错误和查询结果为空可区分的情形只需将1改为-1即可。
单引号报错，双引号不报错
单引号加注释符不报错，判断为单引号闭合。
(3) 无报错信息，语法错误和语法正确不可区分
也就是回显内容和输入内容无关(时间盲注)，这种情况可以通过and sleep(5)#这样的方式根据响应时间判断。
正常情况：
延时响应：
据此判断为单引号闭合。
SQL注入的利用：
(1) 联合注入
有显示位首选联合注入。
1.通过order by判断字段数为3
2.通过union select 1,2,3判断显示位为2和3
3.爆库(group_concat)
4.爆表(group_concat)
5.爆字段(group_concat)
6.爆数据(group_concat+concat_ws)
(2) 报错注入
无显示位但有报错信息首选报错注入。
报错注入一般需要使用特定的函数，下面介绍三个可用于报错注入的函数。
(此处参考了https://blog.csdn.net/l2872253606/article/details/124423275)
1. extractvalue
EXTRACTVALUE (XML_document, XPath_string);
第一个参数：XML_document是String格式，为XML文档对象的名称；
第二个参数：XPath_string (Xpath格式的字符串)；返回内容：若Xpath正确则返回目标XML查询的结果，否则返回Xpath错误内容
在Xpath中，插入~和^等特殊字符是非法的，会报错，利用concat函数可以解析SQL语句。
?id=1' and extractvalue('a',concat('~',database(),'~'))#
具体的爆库爆表爆字段爆数据的过程和联合注入没啥区别，唯一需要注意的是报错回显的内容最多只有32位，因此当字符串过长时需要使用substr、mid等截取函数。
2. updatexml
UPDATEXML (XML_document, XPath_string, new_value);
第一个参数：XML_document是String格式，为XML文档对象的名称；
第二个参数：XPath_string (Xpath格式的字符串)；
第三个参数：new_value，String格式，替换查找到的符合条件的数据；
返回内容：若Xpath正确则返回更改对象名称，否则返回Xpath错误内容
?id=1' and updatexml('a',concat('~',database(),'~'),'a')#
其实和extractvalue函数没啥区别
3. floor
当group by与rand一起使用时，如果临时表中没有该主键，rand会再计算一次并将第二次计算结果插入临时表，导致主键重复报错
?id=1' and (select 1 from (select count(*),concat(database(),floor(rand(0)*2))x from information_schema.schemata group by x)a limit 0,1)#
需要注意的是利用floor进行报错注入不能使用group_concat函数(原因我也不清楚)，只能使用limit子句一个一个查询。
(3) 布尔盲注
如果既没有显示位也没有报错信息，但查询结果非空和查询结果为空可区分，那么可以使用布尔盲注。
?id=1' and boolean_expression#
?id=-1' or boolean_expression#
手工盲注过程比较繁琐，可以考虑使用相关工具，下面利用Burpsuite进行布尔盲注。
先判断库的数量为9
再判断每个库名的长度(非手工盲注不需要这一步)
最后判断每个库的名称
可见第一个库的名称是information_schema......
后续爆表爆字段爆数据的过程就不再演示了，和爆库的过程基本一致。
(4) 时间盲注
如果既没有显示位也没有报错信息，甚至连查询结果非空和查询结果为空都不可区分，那就只好用时间盲注了。
?id=1' and if(boolean_expression,sleep(5),1)#
根据响应时间，判断库的数量为9。
利用时间盲注爆库爆表爆字段爆数据的过程就不再演示了，和布尔盲注基本一致。
