sql注入学习笔记（一）

一.数字型注入和联合查询
1.数字型注入的关键在于找到输入的参数点，然后通过±*/等运算判断参数附近没有引号包裹，在通过一些通用的攻击手段，获取数据库敏感信息。
例如以下PHP源码：$res =mysqli_query($conn,"SELECT title,content FROM wp_news WHERE id =".$_GET['id']);
注意：代码和命令对于SQL语句不区分大小写

通过GET输入id查询敏感信息，若?id=1与?id=3-2返回的结果相同，则为数字型注入，访问?id=1 union select user,pwd from wp_user 就会显示第一行的内容，但有时我们所需要的内容在第二行，但由于PHP的特性只显示第一行的内容，这时，只需要在最后加上limit 1,1（查询第一条记录的后一条记录）。
又如，id=-1或一个很大的值，使第一行的记录无法被查询到，结果只有一行的记录了。
那么又该如何知道数据表的字段名pwd和表名wp_user？其实MySQL默认自带一个数据库information_schema，MySQL的所有数据库名，表名，字段名都可以查到。例如：?id=-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema=database(),其中table_name字段是information_schema库的tables表的表名字段，表中还有数据库名字段table_schema、而database()返回的是当前数据库的名称，group_concat是用“，”联合多行记录的函数。

2.字符型注入和布尔盲注
例如以下PHP源码：$res =mysqli_query($conn,"SELECT title,content FROM wp_news WHERE id =".$_GET['id']."'");
在GET参数输入的地方包裹了单引号，变成字符串，在MySQL中查询：SELCET title， content FROM wp_news WHERE id= '1'
在MySQL中，等号两边如果类型不一致就会强制类型转换，当数字与字符串比较时，字符串会转换成数字进行比较。字符串1与数字1相等，字符串1a被强制转换成1，a强制转换成0。
对于这种类型通常用单引号（%27）闭合前一个单引号，用#（%23）注释后一个单引号：?id=2%27%23
此时MySQL语句：SELECTtitle， content FROM wp_news WHERE id =‘1’#’
除了注释还可以用单引号闭合后面的单引号，如?id=1’and’1
那么如何通过布尔盲注推测数据，对于数据库中的数据不是一个字符，就利用MySQL自带的函数进行数据截取，如substring(),mid(),substr()
如：SELECT title，content FROM wp_news WHERE id =‘1’ AND (SELECT MID ((SELECT concat(user,0x7e,pwd)FROM wp_user),1,1))=‘a’ 截取第一位是否为a，以此类推，即可得到相应数据。
时间盲注：同时还可以通过sleep()函数，利用if条件函数或and，or函数的短路特性和SQL执行的时间判断SQL攻击的结果。

3.报错注入：当触发SQL语句错误时，即可在页面看到错误信息，updatexml在执行时，第二个参数应为合法的xpath路径，否则会在引发报错的同时将传入的参数进行输出，利用这个特征，针对存在报错显示的例子，将我们需要的信息传入updatexml函数的第二个参数，访问?id=1’ or updatexml(1,concat(0x7e,(select pwd from wp_user)),1)%23
堆叠注入：当目标开启多语句执行的时候，可以采用多语句执行的方式修改数据库的任意结构和数据，如：?id=1%27;delete%20%20from%20wp_files;%23