快捷導(dǎo)航

簡(jiǎn)單聊聊SQL注入的原理以及一般步驟

更新時(shí)間：2022年02月21日 09:16:02 作者：iamblackcat

所謂SQL注入式攻擊,就是攻擊者把SQL命令插入到Web表單的輸入域或頁(yè)面請(qǐng)求的查詢字符串,欺騙服務(wù)器執(zhí)行惡意的SQL命令,下面這篇文章主要給大家介紹了關(guān)于SQL注入的原理以及一般步驟的相關(guān)資料,需要的朋友可以參考下

原理

SQL注入是一種攻擊方式，在這種攻擊方式中，惡意代碼被插入到字符串中，然后該字符串傳遞到SQL Server的實(shí)例以進(jìn)行分析和執(zhí)行。任何構(gòu)成SQL語(yǔ)句的過(guò)程都應(yīng)進(jìn)行注入檢查，因?yàn)镾QL Server將執(zhí)行其接收到的所有語(yǔ)法有效的查詢。

（摘自微軟 SQL注入，但要注意的是，SQL注入并不限于SQL Server，幾乎任何數(shù)據(jù)庫(kù)引擎都存在這個(gè)問(wèn)題）

一般利用步驟

1.判斷注入點(diǎn)

判斷注入點(diǎn)有方面的含義，一是找到可能存在注入的位置，二十判斷該處能否進(jìn)行注入。在靶場(chǎng)環(huán)境下，我們已經(jīng)知道，GET的參數(shù)id是與數(shù)據(jù)庫(kù)進(jìn)行交互的點(diǎn)，接下來(lái)判斷能夠進(jìn)行注入。

id為1，成功查詢，回顯正常

id為1'，數(shù)據(jù)庫(kù)報(bào)錯(cuò)，由報(bào)錯(cuò)信息猜測(cè)閉合方式為單引號(hào)

id為1' --+，成功查詢，回顯正常，印證猜測(cè)，

id分別為1' and 1=1 --+和1' and 1=2--+，通過(guò)回顯情況，進(jìn)一步判斷能否注入

1=1為永真，當(dāng)1成功查詢，若1=1也成功查詢，則頁(yè)面返回正常，1=2為永假，因此若1=2得到執(zhí)行，則頁(yè)面必返回不正常。通過(guò)對(duì)比二者返回結(jié)果，可知改點(diǎn)能否進(jìn)行注入。

2.判斷查詢字段數(shù)

為了將我們想要的結(jié)果能夠顯示在頁(yè)面上，我們需要用到聯(lián)合查詢，聯(lián)合查詢的條件之一是必須保證前后查詢語(yǔ)句的字段數(shù)相等，因此，我們需要判斷查詢的字段數(shù)。

一般采用order by或union select如下：

order by 大于3的數(shù)時(shí)頁(yè)面返回不正常，小于等于3時(shí)返回正常，得知原查詢語(yǔ)句的字段數(shù)為3?；?/p>

當(dāng)我們聯(lián)合查詢4列時(shí)，得到了查詢語(yǔ)句由不同的列的錯(cuò)誤，查詢3列時(shí)：

成功查詢，得原查詢語(yǔ)句只有三列。

3.查數(shù)據(jù)庫(kù)名、版本號(hào)、用戶名等信息

union聯(lián)合查詢的規(guī)則是當(dāng)前一個(gè)查詢失敗時(shí)執(zhí)行第二個(gè)查詢，前面我們知道了查詢有三個(gè)字段，接下來(lái)將傳入id為0，判斷是三個(gè)字段的回顯位置。

再由數(shù)據(jù)庫(kù)內(nèi)置的version()、database()、user()查詢出版本號(hào)、數(shù)據(jù)庫(kù)當(dāng)前名和當(dāng)前用戶。

4.查詢表名

前面我們查詢得知，當(dāng)前數(shù)據(jù)庫(kù)版本為5.5.53，在MySQL5.5后版本都內(nèi)置了數(shù)據(jù)庫(kù)information_schema。它存儲(chǔ)了數(shù)據(jù)庫(kù)中所有的表名、字段名等信息。從而可以構(gòu)造查詢語(yǔ)句，獲取表名。

payload：?id=0' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=database()),3--+