[网络数据] 渗透攻防Web篇-深入浅出SQL注入

  

• table_schema 数据库名  
  
• table_name 表名  
  
• column_name 列名
  

  

• table_schema 数据库名  
  
• table_name 表名
  

  

• schema_name 数据库名
  

  

• length(str) ：返回字符串str的长度  
  
• substr(str, pos, len) ：将str从pos位置开始截取len长度的字符进行返回。注意这里的pos位置是从1开始的，不是数组的0开始  
  
• mid(str,pos,len) ：跟上面的一样，截取字符串  
  
• ascii(str) ：返回字符串str的最左面字符的ASCII代码值  
  
• ord(str) ：将字符或布尔类型转成ascll码  
  
• if(a,b,c) ：a为条件，a为true，返回b，否则返回c，如if(1>2,1,0),返回0
  

  

• 整型注入
  例如?id=1，其中id为注入点，类型为int类型。
    
  
• 字符型注入
  例如?id=”1”，其中id为注入点，类型为字符型，要考虑闭合后端sql语句中的引号。
  
  

  

• 盲注  
  
• 
  
     
  
  • 布尔盲注：只能从应用返回中推断语句执行后的布尔值。   
    
     
  
• 
  
     
  
  • 时间盲注：应用没有明确的回显，只能使用特定的时间函数来判断，例如sleep，benchmark等。   
    
     
  
• 报错注入：应用会显示全部或者部分的报错信息  
  
• 堆叠注入：有的应用可以加入 ; 后一次执行多条语句  
  
• 其他
  

// sqli vuln code
Statement statement = con.createStatement();
String sql = "select * from users where username = '" + username + "'";
logger.info(sql);
ResultSet rs = statement.executeQuery(sql);
// fix code 如果要使用原始jdbc，请采用预编译执行
String sql = "select * from users where username = ?";
PreparedStatement st = con.prepareStatement(sql);

select * from users where username = 'admin' #正常sql
select * from users where username = 'admin'' #admin'被带入sql执行导致报错无法显示信息

select * from users where username = 'admin' order by 1-- '

  

• 查看存在数据库
  

  

• 查看当前数据库中的表
  

  

• 查看指定表中字段
  

  

• 利用以上获取信息读取users表中username和password
  

-u 可能存在注入的url链接
-r读取http数据包
--data 指定post数据
--cookie 指定cookie
--headers 指定http头 如采用token认证的情况下
--threads 指定线程数
--dbms 指定后端的数据库
--os 指定后端的操作系统类型
--current-user 当前用户
--users 所有用户
--is-dba 是否是dba
--sql-shell 交互式的sqlshell
-p指定可能存在注入点的参数
--dbs 穷举系统存在的数据库
-D指定数据库
--tables 穷举存在的表
-T指定表
--column 穷举字段
-C指定字段
--dump dump数据

//采用#不会导致sql注入,mybatis会使用预编译执行
@Select("select * from users where username = #{username}")
User findByUserName(@Param("username") String username);
//采用$作为入参可导致sql注入
@Select("select * from users where username = '${username}'")
List<User> findByUserNameVuln01(@Param("username") String username);

//错误写法
<select id="findByUserNameVuln02" parameterType="String" resultMap="User">
select * from users where username like '%${_parameter}%'
</select>
//正确写法
<select id="findByUserNameVuln02" parameterType="String" resultMap="User">
select * from users where username like concat(‘%’,#{_parameter}, ‘%’)
</select>

//错误写法
<select id="findByUserNameVuln03" parameterType="String" resultMap="User">
select * from users
<if test="order != null">
order by ${order} asc
</if>
</select>
//正确写法 id指字段id 此表字段共四个 所以id为1-4
<select id="OrderByUsername" resultMap="User">
select * from users order by id asc limit 1
</select>