SQL注入之POST注入和HEAD注入

POST注入：

以POST传递数据的SQL注入

前面我们所讲的联合查询注入，是以GET传递数据的注入，是因为我们的传参能直接在URL栏里面进行控制

POST注入和GET注入的区别：

传参方式不同 

        1、GET传参可以在URL框，而POST必须要表单

        2、GET传参有URL编码

我们进入靶场，在要查询的位置上面输入我们想要查询的东西，然后打开Burp，浏览器的代理也打开，然后抓包

 在id=1的后面直接加上 and 1=1，我们看页面回显是这样的

在id=1的后面加上 and 1=2 ，页面回显是这样的

所以我们可以初步断定，这个地方是存在SQL注入的，只不过这个地方需要抓包才能进行判断 

 接下来就是查询字段数，查询回显点，然后在回显点上面查询库名，表名和字段名了

在id=1后面加上  order by 1/and 1=2 union select 1,2我们查出来存在两个字段，一和二都是回显点

 抓包，在id=1的后面输入and 1=2 union select 1,database()，出现库名

 接下来就是表名字段名了，这个直接在id=1的后面拼接上查询表名字段名的语句就好了，and 1=2 union select 1,table_name from information_schema.tables where table_schema=database()，想要查其他的库名，记得在后面加上limit 0,1，在这里呢，我们是没有限制只输出一行的，一般情况下，网页只会输出最上面的一行 查询字段名的话就是 and 1=2 union select 1,column_name from information_schema.columns where table_schema=database() and table_name='users'，这个users就是我们查询出来的表名，不固定 

 想要查询具体数据的话，就是 and 1=2 union select 1,表名from 字段名，跟GET注入的区别也不大，其他要注意的就是闭合问题，单引号、单引号括号，双引号、双引号括号。这些比较常见的，利用这个闭合之后，再注释掉后面原本的引号就好了，例如：' and 1=2 -- we 、')and 1=2 -- qwe 、"and 1=2 # 、") and 1=2 #，想要查询数据，在and 1=2 的地方输入查询的语句就好了

SQLmap跑POST的方法：

1、--from 自动定位POST传参法

python sqlmap.py -u "网址" --delay=1 --form

2、-r 抓包法（推荐）

先利用burp抓个包，将抓到的这个数据包复制下来，将这个数据包放到SQLmap的目录里面，随便叫他什么名字，1.txt什么的，你想跑哪个东西，就在他后面加一个*号

 python sqlmap.py  -r 绝对路径，如果是在SQLmap的目录下，直接写python sqlmap.py -r 1.txt  这个1.txt是文件名

跑不出来就在后面加一个 --level 3 --risk 2 ，如果还跑不出来的话，建议直接手搓

HEAD注入：

HEAD是什么呢，Head就是下图中框中的部分

这些都是Head，Head注入就是在这些地方进行注入，比如说直接在User-Agent后面直接写一个and 1=2 ，然后页面发生了变化，这样就是表示存在SQL注入

Head注入：

数据库保存了你的Head信息，而数据库保存了你的信息之后，是不会跟你说的，记录了你的IP是不会跟你讲的，所以说它没有回显，而没有回显想拿到数据，有以下方法

1、盲注法(这个后面再说)

2、报错法（让数据库报错，然后显示出来）

数据库报错是分等级的

有些致命性的错误是会在页面上显示出来的（路径错误）

需要用到的报错函数：

updatexml()    更新XML文件内容

updatexml(目标xml内容,xml文档路径,更新的内容)，例如：updatexml('a',C:/1.xml,'b'),这个意思就说把C盘里的1.xml里的a替换为b，如果我们将这个C:/1.xml改为database()呢，是不是就把库名得到了呢，直接改是得不到库名的，因为这样是不报错的，我们需要加一些特殊字符来让他报错，比如~、！等，例如：updatexml('~',database(),'~')，这样就能把库名得到了

concat()  拼接，作用如下图

 如果我们选中admin库，再使用concat这个函数来知道库名的话，就是下图这样

利用updatexml()函数和concat()函数来得到库名就是下图所示，SQL语句为select updatexml('a',concat('~',database()),'b')，可以看到通过报错得到了库名

 报错注入只能输出字符串，所以直接报表名是不行的，这里我们可以利用子查询来得到表名。子查询就是优先执行的部分，例如select updatexml('a',concat('~',(select table_name from information_schema.tables where table_schema=database())),'b')，就会优先执行红色的部分，select table_name from information_schema.tables where table_schema=database()，这个执行出来的部分是表格，因为库里面不是只有一个表，所以我们需要在后面加一个limit，最终语句如下，select updatexml('a',concat('~',(select table_name from information_schema.tables where table_schema=database() limit 0,1)),'b')，可以在图中看到，通过报错得到了表名

 当然，其实有一个函数更加省事，group_concat()，这个函数的作用是多行数据一起输出，用法和concat()一样，语句是这样的：select updatexml('a',concat('~',(select group_concat(table_name) from information_schema.tables where table_schema=database() limit 0,1)),'b')，可以看到它一口气输出了好几个表，因为页面的输出是有限的，表比较少的时候可以全部看到，但是如果表比较多的话，是不可能一次性全拿出来的，所以这个函数可以少用

 常见Head头：

User-Agent、Referer、IP

网站是不会记录所有人的IP的，所以Head注入最好配合成功登陆

进入靶场，输入账号密码之后，在User-Agent后面添加SQL语句，一般情况下都需要闭合，我们利用单引号来闭合原本的引号，然后在注释掉，我们直接输入'and updatexml('a',concat('~',database()),'b') # 后发现没有库名爆出来，我们查看源码发现是因为往数据库记录这个UA信息的时候，是记录了两个字段信息的，所以我们需要再加一个字段信息之后才能够将库名爆出来，所以语句要改为'and updatexml('a',concat('~',database()),'b'),1) #，这样就可以将库名爆出来了

 现在需要表名，就只需要利用子查询来爆出表名和字段名就好了

 如果在UA这个Head头上面没有测出来，可以在Referer、IP这些后面测，如果测完都没有，可以再加一个X-Forwarded-for，例如：X-Forwarded-for:'and updatexml('a',concat('~',database()),'b'),1) #，直接加在数据包的下方就好了

一般情况下，你访问一个网站，这个网站会记录你的IP，一般记录IP有两种方法。

一、记录通信IP

二、使用代理（在你使用了CDN的情况下，CDN就是，如果你去访问百度、其实你没有直接访问百度，而是访问了CDN的缓存数据，当你访问的东西没有在CDN的缓存数据里面，CDN才会去访问百度）而你使用了代理，跟百度通信的只有CDN，没有你，那么这个时候就出现了X-Forwarded-for：透明代理（被访问者知道是谁在访问）

X-Forwarded-for：127.0.0.1