搜索

[11554] 2017-07-17_SQL注入之骚姿势小记

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-07-17_SQL注入之骚姿势小记 S Q L 注 入 之 骚 姿 势 小 记 f o x - s t y l e   F r e e B u f   2 0 1 7 - 0 7 - 1 7 写 在 前 面 写 在 前 面 小 记 一 下 C T F 那 些 日 子 和 D R O P S 队 友 学 到 的 S Q L 注 入 的 骚 姿 势 。 B y   0 1 0 1 、 、 I N 之 骚 之 骚 这 个 我 也 偶 然 发 现 的 ， 也 不 知 前 辈 们 有 没 有 早 已 总 结 好 的 套 路 了 。 w 3 s c h o o l 上 对 i n 操 作 符 的 介 绍 ： h t t p : / / w w w . w 3 s c h o o l . c o m . c n / s q l / s q l _ i n . a s p 对 它 的 描 述 ： I N 操 作 符 允 许 我 们 在 W H E R E 子 句 中 规 定 多 个 值 。 也 就 说 可 以 让 我 们 依 照 一 或 数 个 不 连 续 ( d i s c r e t e ) 的 值 的 限 制 之 内 抓 出 数 据 库 中 的 值 。 举 个 例 子 ： 那 它 是 否 可 用 于 在 过 滤 等 号 和 过 滤 l i k e 的 s q l 注 入 情 况 下 呢 ？ 简 单 句 式 举 例 ：
看 来 是 稳 稳 的 可 以 的 ， 再 组 合 其 他 注 入 句 式 ， 岂 不 有 了 更 不 错 的 注 入 姿 势 。 那 对 i n 的 可 多 个 值 的 特 性 有 没 有 什 么 好 的 用 法 呢 ？ 一 脸 懵 逼 我 的 想 到 千 倍 爆 破 一 句 话 木 马 的 姿 势 ， 在 注 入 g e t 不 到 字 段 时 候 用 它 爆 破 一 下 字 段 也 可 以 很 大 提 高 效 率 呀 （ 好 吧 ， 貌 似 我 异 想 天 开 了 。 ） 。 这 个 特 性 我 先 记 在 小 本 本 上 了 ， 以 后 说 不 定 碰 到 合 适 的 用 处 。 2 、 、 B E T W E E N 之 骚 之 骚 同 样 也 是 偶 然 发 现 ， 不 过 同 样 也 是 偶 然 发 现 ， 不 过 b e t w e e n + a n d 的 中 的 中 a n d 让 人 感 觉 挺 鸡 肋 的 。 在 让 人 感 觉 挺 鸡 肋 的 。 在 w 3 c h o o l 上 对 上 对 b e t w e e n 操 作 符 的 介 绍 ： 传 送 门 操 作 符 的 介 绍 ： 传 送 门 对 它 的 描 述 ： B E T W E E N 操 作 符 在 W H E R E 子 句 中 使 用 ， 作 用 是 选 取 介 于 两 个 值 之 间 的 数 据 范 围 。 也 就 说 让 我 们 可 以 运 用 一 个 范 围 ( r a n g e ) 内 抓 出 数 据 库 中 的 值 。 举 个 例 子 ： 那 它 是 否 也 可 用 于 在 过 滤 等 号 和 过 滤 l i k e 的 s q l 注 入 情 况 下 呢 ？ 看 图 ： 看 到 了 什 么 ？ 纳 尼 ？ 还 怕 单 引 号 被 过 滤 ？ 再 看 个 ：
还 稳 稳 的 支 持 十 六 进 制 绕 过 姿 势 。 这 个 姿 势 下 换 个 语 句 ： s e l e c t p a s s w o r d   f r o m   u s e r s   w h e r e   p a s s w o r d   b e t w e e n   ‘ a ’   a n d ’ d ’ ， 再 配 合 个 脚 本 ， 这 样 岂 不 是 能 够 直 接 跑 p a s s w o r d 了 ？ 不 就 又 g e t 到 一 个 盲 注 入 姿 势 ？ 还 是 那 句 话 ， 由 于 a n d 的 限 制 ， 用 起 来 就 很 鸡 肋 。 3 、 、 O R D E R B Y 之 骚 之 骚 这 个 是 利 用 o r d e r b y 的 排 序 的 姿 势 进 行 盲 注 。 利 用 条 件 就 是 要 有 对 应 注 入 出 数 据 同 一 行 的 其 他 字 段 的 回 显 （ 例 如 ： 想 注 入 出 p a s s w o r d ， w e b 端 要 有 u s e r n a m e 或 者 i d 或 者 … … 的 回 显 ） 。 简 单 示 例 ， 假 如 要 通 过 注 入 得 到 a b c d e 用 户 密 码 ， w e b 页 面 有 个 u s e r n a m e 回 显 ， 那 么 就 可 以 尝 试 这 个 姿 势 ： 通 过 o r d e r b y 3 对 查 询 到 的 第 三 个 字 段 p a s s w o r d 进 行 排 序 ， 改 变 s e l e c t 的 第 三 字 段 位 置 的 内 容 ， 如 ： a a 时 候 w e b 页 面 显 示 u s e r n a m e 为 t e s t ， a b 时 候 还 是 显 示 为 t e s t ， a c 时 候 变 成 了 a b c d e ， 就 证 明 p a s s w o r d 前 两 个 字 符 为 a b ， 然 后 依 次 再 往 后 猜 测 … … 这 个 姿 势 再 结 合 个 脚 本 岂 不 美 滋 滋 。 4 、 列 名 构 造 之 骚 、 列 名 构 造 之 骚 注 入 中 有 时 候 会 遇 到 列 名 被 w a f 的 套 路 ， 万 里 之 行 只 差 出 数 据 了 ， 尴 尬 不 已 。 在 这 时 候 ， 尝 试 自 行 构 造 一 个 列 名 也 是 很 不 错 的 选 择 。 从 它 ： 到 它 ：
不 就 新 构 出 了 列 名 ？ 再 对 它 做 个 别 名 然 后 就 可 以 不 用 列 名 注 入 出 数 据 了 ： 5 、 临 时 变 量 之 骚 、 临 时 变 量 之 骚 临 时 变 量 是 什 么 想 必 大 家 都 知 道 ， 这 个 姿 势 呢 ～ 需 要 临 时 变 量 结 合 临 时 变 量 是 什 么 想 必 大 家 都 知 道 ， 这 个 姿 势 呢 ～ 需 要 临 时 变 量 结 合 i n t o 语 法 来 进 行 利 用 ， 看 个 简 单 例 子 ： 语 法 来 进 行 利 用 ， 看 个 简 单 例 子 ： 用 i n t o 对 临 时 变 量 @ a 赋 值 ， 再 去 查 询 @ a 是 可 以 得 到 赋 值 内 容 的 。 注 入 的 时 候 怎 么 用 呢 ？ 看 起 来 很 好 利 用 的 样 子 ， 其 实 放 到 w e b 网 站 上 就 很 鸡 肋 了 。 同 一 注 入 点 先 w e b 请 求 进 行 i n t o 的 临 时 变 量 赋 值 ， 再 w e b 请 求 进 行 临 时 变 量 查 询 时 候 ， 会 发 现 它 是 行 不 通 的 。 在 第 一 个 w e b 连 接 结 束 时 候 ， 临 时 变 量 释 放 掉 了 ， 第 二 次 w e b 请 求 查
询 是 找 不 到 不 到 它 的 。 还 有 个 实 用 的 小 利 用 ： 想 到 了 什 么 ？ 是 不 是 可 以 用 来 o r d e r b y 进 行 表 的 列 数 判 断 ？ 这 样 一 来 ， 能 用 它 的 情 况 现 有 三 种 场 景 ： 一 个 就 是 存 在 堆 叠 注 入 时 候 ， 另 一 个 就 是 同 w e b 页 面 两 个 注 入 漏 洞 时 候 ， 再 一 个 就 是 当 o r d e r b y 被 w a f 后 用 来 判 断 字 段 数 目 时 候 。 6 、 运 算 符 之 骚 、 运 算 符 之 骚 话 说 s q l 也 是 世 界 上 最 好 的 语 言 … … 在 运 算 符 上 的 弱 类 型 不 仅 仅 是 p h p 的 专 利 。 举 个 例 子 ： 反 正 你 键 盘 上 数 学 运 算 符 都 有 这 个 特 性 。 用 常 用 的 ^ 举 例 下 s q l 注 入 时 候 的 姿 势 及 原 因 ， 先 看 下 表 的 结 构 ： 看 好 哟 , u s e r n a m e 和 p a s s w o r d 是 v a r c h a r 型 。 下 面 用 的 查 询 语 句 是 这 样 的 ： s e l e c t *   f r o m   u s e r s   w h e r e   u s e r n a m e   =   ‘ 一 个 字 符 串 ’ ， 然 而 在 w h e r e 子 句 后 面 再 加 上 运 算 符 ， 再 看 产 生 了 什 么 ：
第 一 个 给 u s e r n a m e = ’ ’ ^ 1 ， ’ ’ ^ 1 的 结 果 是 数 字 1 ， 相 当 于 u s e r n a m e = 1 ， 什 么 都 没 查 询 出 来 ， 还 丢 出 来 5 个 警 告 。 第 二 个 给 u s e r n a m e = ’ ’ ^ 0 ， ’ ’ ^ 0 的 结 果 是 数 字 0 ， 相 当 于 u s e r n a m e = 0 ， 然 后 出 来 了 表 中 所 有 数 据 。 下 面 向 数 据 库 插 入 第 五 条 数 据 ， u s e r n a m e 为 1 d e f g h ： 再 用 刚 才 的 语 句 进 行 查 询 ： 再 插 入 个 u s e r n a m e 为 e f 1 g h i 的 字 段 ， 进 行 查 询 ：
说 明 了 什 么 ？ 在 应 该 传 入 字 符 串 型 的 地 方 传 入 数 字 型 参 数 后 ， s e l e c t 查 询 时 进 行 了 类 型 转 换 ： 数 据 库 中 该 字 段 首 字 母 非 数 字 的 都 被 传 入 0 的 时 候 查 询 出 来 ， 该 字 段 首 字 母 是 1 的 会 被 传 入 1 的 时 候 查 询 出 来 。 理 解 了 上 面 所 说 那 就 应 该 理 解 这 个 注 入 姿 势 了 ： 7 、 大 、 大 / 小 于 号 之 骚 小 于 号 之 骚 这 个 估 计 大 多 数 都 遇 到 过 过 ， 举 个 例 子 ： 这 个 估 计 大 多 数 都 遇 到 过 过 ， 举 个 例 子 ：
这 样 估 计 都 明 白 了 ， 一 个 可 以 放 在 盲 注 语 句 中 盲 打 的 套 路 ， 在 过 滤 严 格 无 法 盲 注 的 情 况 下 ， 同 样 可 以 放 在 w h e r e 子 句 后 面 进 行 爆 破 ： 总 结 总 结 C T F 中 的 S Q L 注 入 就 是 一 个 b y p a s s 与 w a f 的 斗 争 历 程 。 一 个 的 常 用 函 数 ， 一 个 的 常 用 套 路 ， 经 过 多 个 之 间 巧 妙 的 组 合 ， 总 会 出 来 b y p a s s 的 更 好 更 优 美 的 姿 势 。 * 本 文 作 者 ： 本 文 作 者 ： 0 1 0 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理