张小白的渗透之路(六)——SQL注入的思路、流程及SQL的CONCAT系列函数、Information_schema数据库讲解

前言

关于SQL注入理论的内容，小白之前的博客有写，有兴趣的可以去看一看哦~SQL注入原理详解

实践

在SQL注入测试界面的url输入

？id=1

结果页面无变化，说明有可能存在注入点

下面让我们继续以这个例子来更深入的理解一下SQL注入的思路。
比方说我现在想获取的是数据库当中某一个用户的密码，那么我们该怎么做呢？
1.查看网页源代码分析
这个原理篇有讲就不废话了，分析的目的就是为了查看是否存在注入漏洞。
2.通过测试性的方式我们注入代码,（这里注意，？不要打成中文的）

？id=1' and 1=1--+

?id=1' and 1=2--+

看上面两个图：首先我们在输入的开头添加一个 ’ 起到闭合代码的作用。然后我们添加判断语句and 1=1或者1=2,如果前者能够正常访问，后者访问不正常（因为and 1=2恒假，所以访问不到正确的网页），那么我们就可以确定，存在注入漏洞。

3.在验证了漏洞确实存在之后，因为现在发现的数字型的注入（id=x），所以我们通过order by子句（将数据通过某一列从小到大排列，如果是字母就是abcd……）来测试有多少行数据。
4.我们假设猜有4行数据（这个猜测完全是随机的）

发现报错：在从句中没有发现字段4
5.那么我们再往下尝试

发现访问正常，那么我们就可以确定，现在ID这一项是有3个值。

6.既然发现了有3个值，那么我们尝试通过联合查询来获取一些敏感信息。

?id=1 'and 1=2 union select 1,user(),database()--+

使用这条命令我们可以爆出服务端MYSQL当前的用户名，当前的数据库名，可以利用数据库名进一步获取表名。（因为UNION 结果集中的列名总是等于 UNION 中第一个 SELECT 语句中的列名。所以Union前面的查询我们用1=2给取消掉）

7.下面我们知道了数据库名，那么下一步肯定就是要获取数据库的表名。
我们尝试输入代码

？id=1 'and 1=2 union select 1,2,group_concat(tables_name) from information_schema.tables where table_schema=database()--+

发现爆出了两个表名
8.接下来我们再利用information_schema数据库查询列名。
注入代码

?id=1 'and 1=2 union select 1,group_concat(name),group_concat(pass) from users --+

最终我们获取到了我们需要的数据，下面的一行代码就是我们要的密码啦，是MD5加密之后的

值得一提的函数用法：
CONCAT()函数
concat()函数用于将多个字符串连接成一个字符串。
如下是一个表名为info的表

id	name
1	litbai

a.语法及使用特点
concat(str1,str2,……)
返回结果为连接参数产生的字符串。如果有任何一个参数为NULL，则返回值为NULL，可以有一个或者多个参数。

b.使用示例

select concat('id',',','name') as zhang from info limit 1;

返回结果为(注意返回结果中的,也是拼接的字符串哦)

zhang
1 ,litbai

select concat(‘id’,‘zhang’,name)；返回结果为

concat(‘id’,‘zhang’,‘name’)
null

CONCAT_WS()函数
当我们想指定参数之间的分隔符时，我们可以使用concat_ws()参数
a.语法及使用特点
concat_ws(separator,str1,str2，……)
concat_ws即 concat with separator，即带有分隔符的concat
分隔符可以是一个字符串也可以是其他参数，如果分隔符为null，那结果肯定也为null。函数会忽略任何分隔符参数后面的null值，但是concat_ws()不会忽略任何空字符串。（然而会忽略所有的null）

b.使用示例

select concat_ws('~',id,name) as zhang from info limit 1;

返回结果

zhang
1~litbai

select concat_ws(’~’,‘id’,‘null’,‘name’);
返回结果

concat_ws(’~’,‘job’,‘null’,‘age’)
job~age

GROUP_CONCAT()函数
group_concat函数返回一个字符串结果，该结果由分组中的值连接组合而成。
例如一个info表的数据如下:

select name,id,job from info where name in ('lit','bai');

name	id	job
lit	1	teacher
lit	2	worker
bai	34	code monkey
bai	46	cleaner

a.语法及其特点

group_concat([distinct]expr[,expr…]
[order by {unsigned_integer | col_name | formula}[asc | desc] [,col…]]
[spearator str_val])

在mysql中，你可以得到表达式结合体的连结值。
通过使用distinct可以排除重复值。如果希望对结果中的值进行排序，可以使用oder by子句。
separator是一个字符串的值，他被用于插入到结果值，默认为一个逗号，可以通过使用separator“”完全的移除这个值

b.使用示例

select name ,group_concat(id) from info where name in('lit','bai') group by name

name	group_concat(id)
bai	34,46
lit	1,2

select name,group_concat(distinct id oder by id desc separator'~') from info where name in ('lit','bai') group by name

name	group_concat(distinct id oder by id desc separator’~’)
bai	46~34
lit	2~1

select name,group_concat(concat_ws(',','id','job') order by id desc separator'.')from info where name in ('lit','bai') group by name;

name	group_concat(concat_ws(’,’,‘id’,‘job’) order by id desc separator ‘.’)
bai	46,cleaner.34,code monkey
lit	2,worker.1,teacher

group by()函数与order by()函数
group by 从大到小排序
order by() 从小到大排序
order by() desc 从大到校排序

值得一提的数据库用法
information_schema可以理解为师所有数据库的汇总，
比如我要
查询所有数据库
select * from information_schema;
查询litbai库当中的所有表名
select groupconcat(table_name) from information_schema.tables where table_schema=‘litbai’;