文章目录
- SQL注入简介
- SQL注入基础
- SQL注入分类
- SQL注入流程
SQL注入简介
什么是SQL注入？
SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息，例如查询数据、下载数据、写入webshell、执行系统命令以及绕过登录限制等。
SQL原理图
在客户端，若存在可控参数能配合web页面返回的信息实现一定的操作，如实现无账号登录，窃取管理员账号、密码、关键信息，篡改数据库等操作
测试方法
在发现存在可控参数后，可直接使用sqlmap检测此网站是否存在sql注入，何种类型的sql注入，然后利用其爆库、爆表、爆字段。也可以用BurpsuiteCO2模块 sqlmap插件探测，亦可以通过积累的非法sql参数，利用intruder模块尝试。最后，在简单的sql下，可进行手工注入，使用积累的一些闭合符进行尝试
修复建议
代码层最佳防御sql漏洞方案：采用sql语句预编译和绑定变量，是防御sql注入的最佳方法。
1、SQL提供参数化查询接口，而不是将用户输入变量的值嵌入到SQL语句中，使可控参数局限于设计者设计的功能，而不能进行其他恶意操作
2、对特殊字符，例如空格 、逗号,、单引号'、双引号"、反引号等进行转义处理，或编码转换。
3、判别数据类型要严格，规定为强等于，例如 0和'0'，前者为数字，后者为字符串，不相等。
4、规定数据长度，可在起一定程度的防范
5、网站各数据层编码统一，建议使用UTF8,上下层编码不一致，可能会导致一些过滤被绕过
6、限制网站用户的权限，给与最小权限，可进行正常操作请求即可
7、最小化返回信息，关闭显示错误信息，例如报错注入就是利用网站的报错回显而窃取信息的
SQL注入基础
基础不牢，地动山摇。要进行SQL注入，首先要了解数据库基础知识，从而才可以猜想设计者的思路，及其构筑的SQL，更进一步的窃取信息
information_schema
在mysql5 版本以后，mysql默认在数据库中存放在一个叫 infomation_schema的数据库， 这个库里面有很多表 重点是这三个表columns 、tables、schemata
| table_name | content |
|---|---|
| schemata | 所有数据库名 |
| tables | 所有表名 |
| columns | 所有列名 |
系统函数
以下是常用的几个系统函数
| 函数 | function |
|---|---|
| version() | MySQL版本 |
| user() | 数据库用户名 |
| database() | 数据库名 |
| @@datadir | 数据库路径 |
| @@version_compile_os | 操作系统版本 |
字符串连接函数
concat
concat(str1,str2,...)
直接连接，无间隔符。可添加间隔符，如以下添加：
concat(str1,':',str2)
concat_ws
concat_ws(separator,str1,str2,...)
第一个参数为间隔符，后跟要连接的字符串列名
group_concat
group_concat(str1,str2,...)
连接一个组的所有字符串，并以逗号分隔每一条数据
sql注释符
| 注释符 | 含义 |
|---|---|
# | 单行注释 注意与url中的#区分常编码为%23 |
--空格 | 单行注释,注意为短线短线空格 |
/*（）*/ | 多行注释 至少存在俩处的注入 |
/**/ | 常用来作为空格 |
逻辑运算&字符优先级
万能密码
' or 1=1#为什么可以直接登录
and
前后条件都为真时为真
or
前后有条件为真时为真
注意: and优先级高于or
判别sql注入点
控制可控参数，根据页面回显的内容判别是否存在注入点，例如以下是一些假设id参数可控进行的情况下判别网站是否存在注入点的测试语句
id =1 and 1=1
id = 1 and 1=2
id = 1 or 1=1
id = '1' or '1'='1'
id=" 1 "or "1"="1"
回显是指页面有数据 信息返回
无回显是指 根据输入的语句 页面没有任何变化,或者没有数据库中的内容显示
到网页中.
思考：以下如何判别注入点，在无回显的情况下
sql注入原理
SQL注入漏洞的产生需要满足以下两个条件
- 参数用户可控：从前端传给后端的参数内容是用户可以控制的
- 参数带入数据库查询：传入的参数拼接到SQL语句，且带入数据库查询。
一般的代码为：
$id=$_GET['id'];
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
此处考虑两个点，一个是闭合前面你的 '另一个是处理后面的 '。
一般采用两种思路，闭合后面的引号或者注释掉，注释掉采用--+ 、 #、%23
一般用于尝试的语句
–+可以用#替换，url提交过程中Url编码后的#为%23
or 1=1--+
'or 1=1--+
"or 1=1--+
)or 1=1--+
')or 1=1--+
") or 1=1--+
"))or 1=1--+
以上仅是部分基础知识，后续会穿插基础知识
SQL注入分类
基于获取信息方式不同的分类
- UNION query SQLinjection（可联合查询注入）
- Stacked queries SQL injection（可多语句查询注入）堆叠查询
- Boolean-based blind SQL injection（布尔型注入）
- Error-based SQL injection（报错型注入）
- Time-based blind SQL injection（基于时间延迟注入）
基于请求方式的分类
- GET注入
GET请求的参数是放在URL里的，GET请求的URL传参有长度限制 中文需要URL编码 - POST注入
POST请求参数是放在请求body里的，长度没有限制 - COOKIE注入
cookie 参数放在请求头信息，提交的时候 服务器会从请求头获取 - HTTP注入
http请求中，header有可利用参数
基于数据类型的分类
- int 整型
select * from users where id=1
- sting 字符型
select * from users where username='admin'
- like 搜索型
select * from news where title like '%标题%'
基于程度和顺序的注入
一阶注射
二阶注射
基于布尔SQL盲注
•基于时间的SQL盲注
•基于报错的SQL盲注
一阶注射是指输入的注射语句对WEB直接产生了影响，出现了结果；二阶注入类似存储型XSS，是指输入提交的语句，无法直接对WEB应用程序产生影响，通过其它的辅助间接的对WEB产生危害，这样的就被称为是二阶注入.
SQL注入流程
常规注入流程
1、寻找注入点，可以通过 web 扫描工具实现
2、通过注入点，尝试获得关于连接数据库用户名、数据库名称、连接数据库用
户权限、操作系统信息、数据库版本等相关信息。
3、猜解关键数据库表及其重要字段与内容（常见如存放管理员账户的表名、字
段名等信息），还可以获取数据库的root账号 密码—思路
4、可以通过获得的用户信息，寻找后台登录。
5、利用后台或了解的进一步信息。
参考文章
SQL原理
SQL天书MadeByLcamry-2016-7