SQL Injection - SQL注入漏洞

最新推荐文章于 2024-04-21 21:36:18 发布

原创

最新推荐文章于 2024-04-21 21:36:18 发布 · 654 阅读

3 ·

CC 4.0 BY-SA版权

本文介绍了SQL Injection的概念，危害及常见步骤。通过手工注入的思路，展示了如何查看数据库、表、字段和记录，强调了SQL注入的普遍性和危害。同时，提出了利用UNION语句进行注入的可能性，并提醒了防止SQL注入的重要性。

SQL Injection

SQL Injection，即SQL注入，是指攻击者通过注入恶意的SQL命令，破坏SQL查询语句的结构，从而达到执行恶意SQL语句的目的。SQL注入漏洞的危害是巨大的，尽管如此，SQL注入仍是现在最常见的Web漏洞之一。

手工注入思路

自动化的注入神器sqlmap固然好用，但还是要掌握一些手工注入的思路，下面简要介绍手工注入（非盲注）的步骤。

1.判断是否存在注入，注入是字符型还是数字型

2.猜解SQL查询语句中的字段数

3.确定显示的字段顺序

4.获取当前数据库

5.获取数据库中的表

6.获取表中的字段名

7.下载数据

在不知道MySQL数据如何设计的情况下，可以通过元数据库informatio_schema，一步步将整个数据库内容窃取出来。
请登录MySQL数据库，并运行show databases;命令，就可以获取所有数据库列表，如下图所示：
这里写图片描述
图片中标红色的数据库information_schema就是元数据库，里面应用尽有。

我们所说的根就在S