SQL注入漏洞--报错/union/布尔盲注/时间盲注

之前介绍了数据库的基本操作，今天这篇文章就来实操SQL注入。

阅读本文前可以先看一下基本操作，有助于更换理解本文。。。

https://blog.csdn.net/weixin_60885144/article/details/138356410?spm=1001.2014.3001.5502

what

SQL---结构化查询语言---Structured Query Language :关系型数据库的标准语言

sql注入漏洞的产生需要满足以下两个条件

  • 参数用户可控：前端传给后端的参数内容是用户可以控制的

  • 参数被带入数据库查询：传入的参数被拼接到SQL语句中，且被带入数据库中查询

SQL注入漏洞本质：攻击者提交的正常参数能进入数据库中查询，攻击者就能在正常参数后增加新的参数，数据库反馈新的查询，得到关键信息从而实现攻击----这个攻击行为叫拖库攻击

注入与回显

其实SQL注入方法还有很多，也有很多划分，以上介绍的是从挖掘技巧上划分。

1 SQL语句的报错回显

报错注入

2 SQL注入出数据的回显

2.1 内容直接打印在页面上

------Union select  存在回显点  

回显点就是 SQL 查询正常结果显示在页面上位置，有回显点的 SQL 注入叫做回显点注入，正常回显点的回显内容就是数据库中字段的内容，如账号，密码等

盲注就是在sql注入过程中，sql语句执行的选择后，选择的数据不能回显到前端页面。此时，我们需要利用一些方法进行判断或者尝试，这个过程称之为盲注。

2.2 内容显示差异

------布尔盲注  逻辑正确与否会显示不同信息

2.3 显示内容无差别

------时间盲注

闭合符对SQL注入的影响

在解释sql注入原理前介绍闭合符是很有必要的，通过闭合符对于payload(恶意代码)的构造极为重要。

闭合符就是可控参数(id index等)在SQL语句中左右两端的符号，反映了SQL语句所处的环境也决定了payload的构造方法。

常见的闭合符：单引号 双引号 括号 % 无符号等

根据符号的不同可以将SQL注入分为：

整形注入---无闭合符

字符型注入---参数两端多单引号 有时双引号 

SQL注入的本质就是打破原本传递数据区域的边界，插入逻辑代码！！！

搜索型注入---%代表任意数量的任意字符

In注入---用于指定多个可能的值进行匹配，他们通过()包围起来

查询数据库信息函数

  1. SCHEMA()：与DATABASE()函数类似，用于获取当前数据库的名称。

  2. DATABASES()：用于获取所有数据库的列表。

  3. VERSION()：用于获取当前MySQL服务器的版本信息。

  4. USER()：用于获取当前用户的用户名。

  5. CURRENT_USER()：用于获取当前用户的用户名和主机名。

  6. CHARSET()：用于获取当前数据库连接的字符集。

  7. COLLATION()：用于获取当前数据库连接的字符排序规则。

  8. INFORMATION_SCHEMA：MySQL提供了一个名为INFORMATION_SCHEMA的数据库，其中包含了关于数据库、表、列等各种元数据信息的视图和表。你可以使用这些视图和表查询各种数据库信息，例如：

    INFORMATION_SCHEMA.TABLES：用于查询数据库中表的信息。；INFORMATION_SCHEMA.COLUMNS：用于查询表中列的信息。

  9. length()：返回字符串的长度

    substr(str,pos,num) ：截取指定位置指定长度的字符串

    mid(str,pos,num) :截取指定位置指定长度的字符串

    ascii() 查询ascii码中对应的值

    char() 查询字符对应的ascii值

SQL注入的检测与攻击

报错注入---less-5 

检测方法

在 SQL 注入的过程中，若引起SQL语法错误，数据库会抛出错误,网站的 Web 服务器开启了错误回显，因此攻击者就能特意带入错误参数来让网站反馈信息。

攻击方法

攻击者可以通过错误回显将目标数据显示在网页上，这需要搭配一些函数来输出


这里页面提示让我们输入数字当作参数id

？代表参数部分的开始 id是参数名称 1是参数值

跟他照做发现回显了信息，但是没有什么价值。 我们希望他能反馈的是sql语句的报错信息。于是我们就判断这个id参数的类型从而判断闭合符号，如果是字符型那么加个'肯定就显示报错信息。

这里可能不太理解为什么加入'就会报错 

这里给数据库的反馈是 selsect id from 表名 where id='1''

加进来的'被当作了参数闭合符，从而让原本的闭合符一个'没了作用导致语法错误

那么如何让这个被分开的'不会影响语法，那么就把他变为注释

这里我们用--+ (这里的➕在url中代表空格)

从‘-- '序列到行尾。请注意‘-- '(双破折号)注释风格要求第2个破折号后面至少跟一个空格符

这样做看似无用功 因为我们需要的信息还是没有显示，但是我们前面做的工作就是使得后续使用函数时不会出现 -----selsect id from 表名 where id='1 and 函数' 这种错误的语句。

此时是否能更好理解----

SQL注入的本质就是打破原本传递数据区域的边界，插入逻辑代码！！！

 http://192.168.243.133/sqli-labs-php7-master/Less-5/

?id=1' and updatexml(1,concat(0x7e,database(),0x7e),1)--+

---页面成功显示数据库信息为security

这里我们再介绍函数，

a:updatexml（）---对xml文档的修改

updatexml（XML_document，XPath_string，new_value）

三个参数分别代表文档名称 文档路径 替换的新值

-----第一个参数最好为1，乱写不一定好使；第三个参数随便

路径里的concat(0x7e,database(),0x7e)0x4e是~的十六进制，第一个0x4e是为了打破路径格式来语法错误，第二个0x4e是为了显示信息时能有效分辨结束点，可省略。

concat()函数就是做实这个错误路径

b:extractvalue（）---查询

extractvalue（XML_document，xpath_string）

当这两个函数在执行时，如果出现xml文档路径错误就会产生报错----我们的目的就是让文档路径错误然后显示错误信息，这里我们就能写入一些我们想得到的来以’错误‘的形式回显

?id=1' and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e ),1)--+

---显示数据库为security的表名，没有group_concat会提示Subquery returns more than 1 row即返回了多行数据，group_concat() 用于连接多行数据的值为一个字符串

and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users' and table_schema='security'),0x7e ),1)--+

这里得到了users数据表中得到三个字段

注：在语句注入时不要忘记附加上一次得到的数据库的信息，因为一个数据库服务器不只有一个数据库，同样可能不只有一个名为'users'的表

这里就能列举出第一个密码了--这里也是不允许一次显示多行数据

?id=1' and updatexml(1,concat(0x7e,(select password from security.users limit 0,1),0x7e ),1)--+

limit

注：使用 LIMIT 子句来限定 SELECT 语句返回的行的数量 

limit a,b ---a代表从从第a行开始节选，在a行基础上节选a+b行内容(a参数可选，且默认为0)

即limit 1=limit 0,1

union联合注入---less-1

what

在SQL注入中，使用联合查询还可以获取其他表的数据。每个SELECT语句的字段不必完全相同，但它们必须具有一致的列数(字段数)和对应的数据类型。

这里我们判断出id这个参数依然是字符型，闭合符为单引号。

但是用错误注入的方法去请求数据库名称也能显示，按说如果按照错误注入的方法也能得出账号密码，但是本题都告诉我们了，这些显示的账号密码本质都是存储在数据库中的字段对于的值，所以就用这个场景来感受一下union联合注入！

检测方法

若正常的逻辑输入会回显字段内容就判断此处由SQL注入漏洞

order by [number]

order by是mysql中对查询数据进行排序的方法

select * from 表名 order by 列名(或者数字) asc；升序(默认升序)

使用 order by就能轻易发现select语句最大列数即字段数，这是union联合注入成功的关键前提

两图比较 由此确定，在执行sql语句的时候只select了3列

?id=-1'  union select 1,2,3--+ 

 这里为什么要把id设为-1 因为如果原本的语句正常执行了，在页面回显的时候我联合查询的东西就会回显不出来(本题就是还会显示id=1的内容)，所以需要让第一个语句给他执行失败，才能清楚回显点的位置。

图中我们可以判断虽然执行sql语句的时候select了3列，但是只有两个字段内容回显在页面。

所以我们就可以在回显的字段内容改为我们想得到的信息

攻击方法

依次判断类型，字段数，回显点，依次爆库名，表名，字段名，数据

剩下内容与错误注入时的方法一样，不再介绍 

查询表名:union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database()--+ 

查询列名:?id=-1'  union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users' --+

查询数据?id=-1'  union select 1,username,password from security.users limit 1,2 --+

布尔盲注---less-8

检测方法

布尔型变量bool 布尔型变量的值只有 真 （true) 和假 （false）

通常用于无回显点，又不能基于报错来读取数据的盲注中。只能通过构造payload去探测，根据返回差异去推理。

若语句逻辑正确与否能回显不同内容，此处就存在SQL注入漏洞

 攻击方法

同理我们已经判断出参数id为字符型且闭合符'

1.猜测数据库长度

 id=1' and length(database())=8--+  ==== id=0' or length(database())=8--+

爆破数据库名称长度试试二分法结合><很快就能得到

 2.爆破数据库名称

所谓爆破名称也只能是一个个字母猜，上一步确定了8位意味着要重复八次

substr() 函数

返回字符串的一部分。-----substr(string,start,length)

可以用ascii码/字符结合二分法猜，效果都一样---都是慢慢慢

?id=0' or ascii(substr(database(),1,1))>100--+  true
?id=0' or ascii(substr(database(),1,1))>120--+  false
?id=0' or ascii(substr(database(),1,1))=115--+  true

----

?id=1' and substr(database(),1,1='s')--+

所以我们可以借助burp suit去暴力破解

 我们就一个个爆破吧，我这是载入清单，内容为字母大小写+数字(我们本身也不知道数据库名由什么构成，保险起见也可以加一些符号)，发现s为数据库名称的第一个的正确字符，且不区分大小写。

虽然知道八位，但是也不能八位一起爆，要不然急速炸弹下来排列了十亿的可能性

3.猜测表的数量

?id=1' and (select count(table_name) from information_schema.tables where table_schema=database())=4--+

4.爆破表的名称

?id=1' and substr((select table_name from information_schema.tables where table_schema='security' limit 0,1),1,1)='e'--+ 

---在记录所有表名信息的表中，找数据库名称为‘security’的，且只返回一行，并且验证第一个字母是什么。  长度不爆了，慢慢试，超过长度自然任何情况都报错

5.猜测字段的数量

?id=1' and (select count(column_name) from information_schema.columns where table_schema='security' and table_name='emails')=2--+

 6.爆破字段的内容

?id=1' and substr((select column_name from information_schema.columns where table_schema='security' and table_name='emails' limit 0,1),1,1)='i'--+ 

7.猜测字段内容的数量

?id=1' and (select count('email_id'/id) from security.emails)=8--+

8.爆破字段具体内容

 

id=1' and substr((select email_id from security.emails limit 0,1),1,1)='d'--+ 

其实我们也没必要去猜测数量/长度我们用burp suit可以把字段内容的显示的第n行/第n个字母作为payload进行爆破  （邮箱地址别忘了. @）

拼接---dumb@dhakkan.com

时间盲注---less-9

what

通过判定响应时间是否延长来证明SQL注入漏洞是否存在。与布尔SQL攻击获取信息过程一致，对于没有信息回显时的选择，时间盲注通过if函数来造成差异。

检测方法

?id=1' and sleep(3)--+  ----若网站延迟3s返回信息则证明存在此处存在SQL注入漏洞

这里不仅是验证是否存在注入点同时也判断参数id的闭合符

if (判别式，true，flase)

 这一关不仅没有回显，就连正确错误的语句都没办法在页面信息中区分，因为查询结果仅仅用于应用程序的内部处理逻辑，并不影响页面的输出内容。 所以之前的sql注入方法都不行，只能通过查询数据库的延迟时间长短来判断逻辑语句的正确性。

3s==3000ms 成功验证此处存在SQL注入漏洞

攻击方法

虽然页面没有任何信息变化，但是我们看左上角标签页在加载状态，且3s后就正常运行，说明数据库长度为8，执行了sleep(3)

---获取信息方法与布尔盲注一样，不再演示

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.xdnf.cn/news/1410204.html

如若内容造成侵权/违法违规/事实不符，请联系一条长河网进行投诉反馈，一经查实，立即删除！

相关文章

【目标检测】DEtection TRansformer (DETR)

【目标检测】DEtection TRansformer (DETR)

一、前言 论文&#xff1a; End-to-End Object Detection with Transformers 作者&#xff1a; Facebook AI 代码&#xff1a; DEtection TRansformer (DETR) 特点&#xff1a; 无proposal&#xff08;R-CNN系列&#xff09;、无anchor&#xff08;YOLO系列&#xff09;、无NM…
阅读更多...
从一到无穷大 #25 DataFusion：可嵌入，可扩展的模块化工业级计算引擎实现

从一到无穷大 #25 DataFusion：可嵌入，可扩展的模块化工业级计算引擎实现

本作品采用知识共享署名-非商业性使用-相同方式共享 4.0 国际许可协议进行许可。 本作品 (李兆龙 博文, 由 李兆龙 创作)&#xff0c;由 李兆龙 确认&#xff0c;转载请注明版权。 文章目录 引言架构总览与可扩展性Catalog and Data SourcesFront End逻辑计划与逻辑计划优化器…
阅读更多...
美国零售媒体（广告业）指南：快速增长、不断扩展的业态和新兴机遇

美国零售媒体（广告业）指南：快速增长、不断扩展的业态和新兴机遇

Guide to retail media: Rapid growth, expanding formats, and emerging opportunities --- 零售媒体如何通过CTV和其他合作伙伴关系向上发展 原文作者&#xff1a;Sara Lebow | 2024年2月16日 整理编辑&#xff1a;数字化营销工兵 I 2024年5月2日 ​​​​​​​ &#…
阅读更多...
Agent AI智能体：如何借助机器学习引领科技新潮流

Agent AI智能体：如何借助机器学习引领科技新潮流

文章目录 &#x1f4d1;前言一、Agent AI智能体的基本概念二、Agent AI智能体的技术进步2.1 机器学习技术2.2 自适应技术2.3 分布式计算与云计算 三、Agent AI智能体的知识积累3.1 知识图谱3.2 迁移学习 四、Agent AI智能体的挑战与机遇4.1 挑战4.2 机遇 小结 &#x1f4d1;前言…
阅读更多...
python学习笔记B-15：序列结构之字典--字典的创建与删除

python学习笔记B-15：序列结构之字典--字典的创建与删除

字典的创建与删除方法&#xff1a; import random #第1种创建方式 d {10:"cat", 20:"dog", 30:"monkey"} print(d) #第2种创建方式 lst1 [10,20,30] lst2["cat","dog","monkey"] d zip(lst1,lst2) print(dict…
阅读更多...
DRF解析器源码分析

DRF解析器源码分析

DRF解析器源码分析 1 解析器 解析请求者发来的数据&#xff08;JSON&#xff09; 使用 request.data 获取请求体中的数据。 这个 reqeust.data 的数据怎么来的呢&#xff1f;其实在drf内部是由解析器&#xff0c;根据请求者传入的数据格式 请求头来进行处理。 drf默认的解…
阅读更多...
还在愁自己该学什么编程？适龄标准来啦（6到14岁的同学看过来哦）

还在愁自己该学什么编程？适龄标准来啦（6到14岁的同学看过来哦）

文章目录 前言一、6岁以下1.推荐2.软件 二、6至10岁1.推荐2.软件&#xff08;1&#xff09;6-8:Nemo编程——Scratch图形化编程&#xff08;2&#xff09;8-10岁&#xff1a;Scratch编程——Python编程 三、10岁以后1.推荐2.软件&#xff08;1&#xff09;Python&#xff08;2&…
阅读更多...
【二等奖水平论文】2024五一数学建模C题22页保奖论文+22页matlab和13页python完整建模代码、可视图表+分解结果等（后续会更新）

【二等奖水平论文】2024五一数学建模C题22页保奖论文+22页matlab和13页python完整建模代码、可视图表+分解结果等（后续会更新）

一定要点击文末的卡片&#xff0c;那是资料获取的入口&#xff01; 问题分析 2.1 问题一分析 对于问题一&#xff0c;干扰信号分析&#xff0c;分析干扰信号并识别干扰信号的时间区间。首先对数据集进行数据清洗&#xff0c;判断其异常值以及缺失值。利用matlab的find函数判…
阅读更多...
力扣刷题第0天：只出现一次的数字

力扣刷题第0天：只出现一次的数字

目录 第一部分:题目描述 ​第二部分:题目分析 第三部分:解决方法 3.1思路1: 双指针暴力求解 3.2 思路2&#xff1a;异或运算 第四部分:总结收获 第一部分:题目描述 第二部分:题目分析 由图片分析可得&#xff0c;该题目对算法时间复杂度有一定的要求时间复杂度为O(N)&a…
阅读更多...
Linux的Shell脚本详解

Linux的Shell脚本详解

本文目录 一、什么是 Shell 脚本文件 &#xff1f;二、编写Shell脚本1. 基本规则2. shell 变量&#xff08;1&#xff09;创建变量&#xff08;2&#xff09;引用变量&#xff08;3&#xff09;删除变量&#xff08;4&#xff09;从键盘读取变量&#xff08;5&#xff09;特殊变…
阅读更多...
《QT实用小工具·五十二》文本或窗口炫酷有趣的滚动条——果冻条

《QT实用小工具·五十二》文本或窗口炫酷有趣的滚动条——果冻条

1、概述 源码放在文章末尾 该项目实现了文本或窗口纤细的滚动条——果冻条 一个可以像弓弦一样拉出来&#xff0c;并且来回弹动的普通滚动条。 思路为此&#xff0c;但发现实际效果更像条状果冻&#xff0c;并且略有谐音&#xff0c; 故&#xff0c;称之为——“果冻条”&am…
阅读更多...
C/C++开发环境配置

C/C++开发环境配置

配置C/C开发环境 1.下载和配置MinGW-w64 编译器套件 下载地址&#xff1a;https://sourceforge.net/projects/mingw-w64/files/mingw-w64/mingw-w64-release/ 下载后解压并放至你容易管理的路径下&#xff08;我是将其放在了D盘的一个software的文件中管理&#xff09; 2.…
阅读更多...
IBM FlashSystem 5300入门级全闪存存储平台解读

IBM FlashSystem 5300入门级全闪存存储平台解读

IBM FlashSystem 5300作为一款面向入门级市场的全闪存存储平台&#xff0c;其发布标志着IBM在满足不同规模企业对于高性能、高性价比存储解决方案需求方面迈出了重要一步。以下是从技术角度出发&#xff0c;结合市场对比进行的客观分析&#xff1a; 技术亮点解析 高性能与高密度…
阅读更多...
C语言 | Leetcode C语言题解之第64题最小路径和

C语言 | Leetcode C语言题解之第64题最小路径和

题目&#xff1a; 题解&#xff1a; int minPathSum(int** grid, int gridSize, int* gridColSize) {int rows gridSize, columns gridColSize[0];if (rows 0 || columns 0) {return 0;}int dp[rows][columns];dp[0][0] grid[0][0];for (int i 1; i < rows; i) {dp[i…
阅读更多...
启发式搜索算法1 - 最佳优先搜索算法

启发式搜索算法1 - 最佳优先搜索算法

启发式搜索算法有什么优势&#xff1f; 对于复杂问题的盲目搜索&#xff0c;常用广度优先搜索和深度优先搜索这两种盲目搜索算法&#xff0c;极大极小值和Alpha-beta剪枝算法是在盲目搜索过程中&#xff0c;通过剪枝避开一些不可能的结果&#xff0c;从而提高效率。 如果搜索…
阅读更多...
实习面试之算法准备：数学题

实习面试之算法准备：数学题

目录 1 技巧2 例题2.1 Nim 游戏2.2 石子游戏2.3 灯泡开关 1 技巧 稍加思考&#xff0c;找到规律 2 例题 2.1 Nim 游戏 你和你的朋友&#xff0c;两个人一起玩 Nim 游戏&#xff1a; 桌子上有一堆石头。 你们轮流进行自己的回合&#xff0c; 你作为先手 。 每一回合&#xf…
阅读更多...
查询每个部门工资最高的员工 sql

查询每个部门工资最高的员工 sql

在线运行sql语句 CREATE TABLE dept (dno INT PRIMARY KEY AUTO_INCREMENT,dname VARCHAR(50) NOT NULL,dlocal VARCHAR(100) ); CREATE TABLE employee (eno INT PRIMARY KEY AUTO_INCREMENT,ename VARCHAR(50) NOT NULL,egender CHAR(2),deptno INT NOT NULL,ejob VARCHAR(5…
阅读更多...
KindEditor 漏洞：历史与现状

KindEditor 漏洞：历史与现状

零基础入门学习路线 视频配套资料&国内外网安书籍、文档 网络安全面试题 KindEditor 是一款开源的富文本编辑器&#xff0c;曾广泛应用于各种网站和 CMS 系统。 然而&#xff0c;它也曾曝出多个安全漏洞&#xff0c;对使用它的网站造成安全风险。 历史漏洞&#xff1a; 文…
阅读更多...
ROS实操：通信机制的实现

ROS实操：通信机制的实现

最近闲来无事&#xff0c;打算重温了一下ROS方面的相关知识。先前的学习都是一带而过&#xff0c;发现差不多都忘了&#xff0c;学习的不够深入。因此&#xff0c;在重温的同时&#xff0c;写下了这篇关于ROS通信实操的学习博客。 上一篇博客的链接为&#xff1a;ROS架构的学习…
阅读更多...
Android 开发部分基础工具使用

Android 开发部分基础工具使用

c调试 在NDK调试的时候&#xff0c;如果找不到 符号的话&#xff0c;我们可以在调试配置中添加符号地址的全路径一直到根目录&#xff1a;&#xff0c;xxx/armeabi-v7a&#xff1a; You must point the symbol search paths at the obj/local/ directory. This is also not a …
阅读更多...
最新文章

Copyright @ 2022~2023