sql注入過濾select

A. 部分sql注入總結

本人ctf選手一名，在最近做練習時遇到了一些sql注入的題目，但是sql注入一直是我的弱項之一，所以寫一篇總結記錄一下最近學到的一些sql注入漏洞的利用。

在可以聯合查詢的題目中，一般會將資料庫查詢的數據回顯到首頁面中，這是聯合注入的前提。

適用於有回顯同時資料庫軟體版本是5.0以上的MYSQL資料庫,因為MYSQL會有一個系統資料庫information_schema， information_schema 用於存儲資料庫元數據(關於數據的數據)，例如資料庫名、表名、列的數據類型、訪問許可權等

聯合注入的過程：

判斷注入點可以用and 1=1/and 1=2用於判斷注入點

當注入類型為數字型時返回頁面會不同,但都能正常執行。

sql注入通常為數字型注入和字元型注入：

1、數字型注入

數字型語句：

在這種情況下直接使用and 1=1/and 1=2是都可以正常執行的但是返回的界面是不一樣的

2、字元型注入

字元型語句：

字元型語句輸入我們的輸入會被一對單引號或這雙引號閉合起來。

所以如果我們同樣輸入and 1=1/and 1=2會發現回顯畫面是並無不同的。

在我們傳入and 1=1/and 1=2時語句變為

傳入的東西變成了字元串並不會被當做命令。

所以字元型的測試方法最簡單的就是加上單引號 ' ，出現報錯。

加上注釋符--後正常回顯界面。

這里還有的點就是sql語句的閉合也是有時候不同的，下面是一些常見的

這一步可以用到order by函數，order by 函數是對MySQL中查詢結果按照指定欄位名進行排序，除了指定字 段名還可以指定欄位的欄位進行排序，第一個查詢欄位為1，第二個為2，依次類推，所以可以利用order by就可以判斷列數。

以字元型注入為例：

在列數存在時會正常回顯

但是列數不存在時就會報錯

這步就說明了為什麼是聯合注入了，用到了UNION，UNION的作用是將兩個select查詢結果合並

但是程序在展示數據的時候通常只會取結果集的第一行數據，這就讓聯合注入有了利用的點。

當我們查詢的第一行是不存在的時候就會回顯第二行給我們。

講查詢的數據置為-1，那第一行的數據為空，第二行自然就變為了第一行

在這個基礎上進行注入

可以發現2，3都為可以利用的顯示點。

和前面一樣利用union select，加上group_concat()一次性顯示。

現在非常多的Web程序沒有正常的錯誤回顯，這樣就需要我們利用報錯注入的方式來進行SQL注入了

報錯注入的利用步驟和聯合注入一致，只是利用函數不同。

以updatexml為例。

UpdateXML(xml_target, xpath_expr, new_xml)

xml_target： 需要操作的xml片段

xpath_expr： 需要更新的xml路徑(Xpath格式)

new_xml： 更新後的內容

此函數用來更新選定XML片段的內容，將XML標記的給定片段的單個部分替換為 xml_target 新的XML片段 new_xml ，然後返回更改的XML。xml_target替換的部分 與xpath_expr 用戶提供的XPath表達式匹配。

這個函數當xpath路徑錯誤時就會報錯，而且會將路徑內容返回，這就能在報錯內容中看到我們想要的內容。

而且以~開頭的內容不是xml格式的語法，那就可以用concat函數拼接~使其報錯，當然只要是不符合格式的都可以使其報錯。

[極客大挑戰 2019]HardSQL

登錄界面嘗試注入，測試後發現是單引號字元型注入，且對union和空格進行了過濾，不能用到聯合注入，但是有錯誤信息回顯，說明可以使用報錯注入。

利用updatexml函數的報錯原理進行注入在路徑處利用concat函數拼接~和我們的注入語句

發現xpath錯誤並執行sql語句將錯誤返回。

在進行爆表這一步發現了等號也被過濾，但是可以用到like代替等號。

爆欄位

爆數據

這里就出現了問題flag是不完整的，因為updatexml能查詢字元串的最大長度為32，所以這里要用到left函數和right函數進行讀取

報錯注入有很多函數可以用不止updatexml一種，以下三種也是常用函數：

堆疊注入就是多條語句一同執行。

原理就是mysql_multi_query() 支持多條sql語句同時執行，用;分隔，成堆的執行sql語句。

比如

在許可權足夠的情況下甚至可以對資料庫進行增刪改查。但是堆疊注入的限制是很大的。但是與union聯合執行不同的是它可以同時執行無數條語句而且是任何sql語句。而union執行的語句是有限的。

[強網杯 2019]隨便注

判斷完注入類型後嘗試聯合注入，發現select被過濾，且正則不區分大小寫過濾。

那麼就用堆疊注入，使用show就可以不用select了。

接下去獲取表信息和欄位信息

那一串數字十分可疑大概率flag就在裡面，查看一下

這里的表名要加上反單引號，是資料庫的引用符。

發現flag，但是沒辦法直接讀取。再讀取words，發現裡面有個id欄位，猜測資料庫語句為

結合1'or 1=1#可以讀取全部數據可以利用改名的方法把修改1919810931114514為words，flag修改為id，就可以把flag讀取了。

最終payload：

盲注需要掌握的幾個函數

在網頁屏蔽了錯誤信息時就只能通過網頁返回True或者False判斷，本質上是一種暴力破解，這就是布爾盲注的利用點。

首先，判斷注入點和注入類型是一樣的。

但是盲注沒有判斷列數這一步和判斷顯示位這兩步，這是和可回顯注入的不同。

判斷完注入類型後就要判斷資料庫的長度，這里就用到了length函數。

以[WUSTCTF2020]顏值成績查詢為例

輸入參數後，發現url處有個get傳入的stunum

然後用到length函數測試是否有注入點。

發現頁面有明顯變化

將傳入變為

頁面回顯此學生不存在

那麼就可以得出資料庫名長度為3

測試發現過濾了空格

然後就是要查資料庫名了，這里有兩種方法

一、只用substr函數，直接對比

這種方法在寫腳本時可以用於直接遍歷。

二、加上ascii函數

這個payload在寫腳本時直接遍歷同樣可以，也可用於二分法查找，二分法速度更快。

接下來的步驟就和聯合注入一樣，只不過使用substr函數一個一個截取字元逐個判斷。但是這種盲注手工一個一個注十分麻煩所以要用到腳本。

直接遍歷腳本

二分法腳本

時間盲注用於代碼存在sql注入漏洞，然而頁面既不會回顯數據，也不會回顯錯誤信息

語句執行後也不提示真假，我們不能通過頁面的內容來判斷

所以有布爾盲注就必有時間盲注，但有時間盲注不一定有布爾盲注

時間盲注主要是利用sleep函數讓網頁的響應時間不同從而實現注入。

sql-lab-less8：

無論輸入什麼都只會回顯一個you are in...，這就是時間盲注的特點。

當正常輸入?id=1時時間為11毫秒

判斷為單引號字元型注入後，插入sleep語句

明顯發現響應時間為3053毫秒。

利用時間的不同就可以利用腳本跑出資料庫，後續步驟和布爾盲注一致。

爆庫

爆表

爆欄位

腳本

在進行SQL注入時,發現union,and,or被完全過濾掉了,就可以考慮使用異或注入

什麼是異或呢

異或是一種邏輯運算，運演算法則簡言之就是：兩個條件相同（同真或同假）即為假（0），兩個條件不同即為真（1），null與任何條件做異或運算都為null，如果從數學的角度理解就是，空集與任何集合的交集都為空

即 1^1=0,0^0=0,1^0=1

利用這個原理可以在union，and，or都被過濾的情況下實現注入

[極客大挑戰 2019]FinalSQL

給了五個選項但是都沒什麼用，在點擊後都會在url處出現?id。

而且union，and，or都被過濾

測試發現?id=1^1會報錯

但是?id=1^0會返回?id=1的頁面，這就是前面說的原理，當1^0時是等於1的所以返回?id=1的頁面。

根據原理寫出payload，進而寫出腳本。

爆庫

爆表

爆欄位

據此可以寫出基於異或的布爾盲注腳本

實驗推薦：課程:SQL注入初級(合天網安實驗室)

B. SQL注入 當or、and等常用字元被過濾(less-25)

當常用字元被注釋無法使用時，通常採取以下方法（可自行搜索sql注入繞開過濾等）：

如：Or、OR、oR等

如：通過hex、urlencode、url等編碼
舉例：如果or被過濾時，我們可以採用url編碼（其相當於把ascii編碼的0x給替換成%，比如o的ascii為0x6f，url編碼就是%6f），這個時候我們可以試試%6fr，即把o換成url編碼，也可以全換，也可以大小寫的換，如果沒被過濾就成功了，（如果%被過濾了的話…）
【註：這個可以積極的去使用，比如測試時and被注釋，使用&&替換也失敗，這個時候不妨試試%26%26（&的url編碼）】

如： /* */ （這個不止可以應對字母被注釋）
舉例：某個過濾器能夠過濾的字元如下——「select 」、」from 」、」limit 」等，注意這些字元最後面都有一個空格，這個時候我們就能通過內聯注釋來繞過這個過濾器，如：

【註：這個注釋甚至可以穿插在關鍵字當中，例如被過濾了or，我們可以把 order by 改成 o/**/rder by ，參考的資料上是這么說，但本人試了沒成功，不知是否依舊實用】

比如or被過濾了，我們可以往裡面加or，即注入：oorr，這個時候裡面的or就被刪去了，剩下的組成新字元，也就是or，是個很好用的繞過方法，像這種類似的還有很多，需要我們去思考

如：&&、||
舉例：

如盲注時經常用到比較，這時候要是比較符號被注釋了不能用平常的方法了，所以需要用某些函數如 greatest() 【 greatest(n1,n2,n3,...) 函數返回輸入參數(n1,n2,n3,...)的最大值】、least()等，比如語句： select * from users where id=1 and ascii(substr(database(),0,1))>64 就可以替換成 select * from users where id=1 and greatest(ascii(substr(database(),0,1)),64)=64
【註：當or被注釋時，像order by這種含有相關字元的語句也同樣無法使用，這個時候如果改變大小寫也無用時，可以使用上述的內聯注釋 /**/ ，或者用別的編碼形式，如果不行的話，那就只能放棄使用order by，可以嘗試使用group by語句等】

C. 如何過濾SQL注入

如何過濾SQL注入
替換單引號，即把所有單獨出現的單引號改成兩個單引號，防止攻擊者修改SQL命令的含義。再來看前面的例子，「SELECT * from Users WHERE login = ''' or ''1''=''1' AND password = ''' or ''1''=''1'」顯然會得到與「SELECT * from Users WHERE login = '' or '1'='1' AND password = '' or '1'='1'」不同的結果。

D. 【web安全】怎麼進行sql注入

1.POST注入，通用防注入一般限制get，但是有時候不限制post或者限制的很少，這時候你就可以試下post注入，比如登錄框、搜索框、投票框這類的。另外，在asp中post已被發揚光大，程序員喜歡用receive來接受數據，這就造成了很多時候get傳遞的參數通過post/cookie也能傳遞，這時如果恰好防注入程序只限制了get，因此post注入不解釋
2.cookie注入，原理同post注入，繞過相當多通用防注入
3.二次注入，第一次注入的數據可能不會有效，但是如果將來能在某個頁面裡面被程序處理呢?注入來了……
4.csrf，適合後台地址已知並且存在已知0day，可以試試用csrf劫持管理員來進行操作（這招其實不屬於sql注入了）
5.打碎關鍵字，比如過濾select，我可以用sel/**/ect來繞過，這招多見於mysql
6.有時候也可以sELeCT這樣大小寫混淆繞過
7.用chr對sql語句編碼進行繞過
8.如果等於號不好使，可以試試大於號或者小於號，如果and不好使可以試試or，這樣等價替換
9.多來幾個關鍵字確定是什麼防注入程序，直接猜測源碼或者根據報錯關鍵字（如"非法操作，ip地址已被記錄"）把源碼搞下來研究
10.記錄注入者ip和語句並寫入文件或資料庫，然而資料庫恰好是asp的，插馬秒殺

E. 什麼是sql注入，怎麼防止注入

sql注入其實就是在這些不安全控制項內輸入sql或其他資料庫的一些語句，從而達到欺騙伺服器執行惡意到嗎影響到資料庫的數據。防止sql注入，可以在接受不安全空間的內容時過濾掉接受字元串內的「'」，那麼他不再是一條sql語句，而是一個類似sql語句的zifuc，執行後也不會對資料庫有破壞。

如：

username = request("username") //獲取用戶名 這里是通過URL傳值獲取的。

password = request("password") //獲取密碼 也是通過URL傳值獲取的。

sql="select * from userlist where username = '" & username & "' and password = '" & password & "'"--------如果某個人知道某個用戶名是admin,常常有人網站的管理員用戶名就是admin,這是密碼可以選用'or 1 or ',

那麼sql="select * from userlist where username = 'admin' and password = '' or 1 or ''"，顯然1是恆真的，那麼驗證密碼就通過了。

防止的方式比較多，比如可以限制username,password中出現"'"這些字元，一般網站都是只允許數字，字元，下劃線的組合，這可以通過javascript驗證。也可以採取用存儲過程代替sql拼接，等等。

F. %201=1-- sql注入怎麼過濾

你舉出的這個例子是最常見的注入方式了，原因就是在字元串拼接sql的時候如果有--，那麼之後的SQL語句即當做注釋進行處理，即便代碼或存儲過程執行，也是不會報錯並能順利執行之前的語句的。
有2個好用的建議
1 把外部的參數，如果包含-- 則統統替換為 - - 即中間加入空格；這樣最多報錯，但不會被執行成功
2 如果是代碼字元串拼接，建議即便是number型的，在做sql的時候仍然加'' 例如select * from a where b = '"+haha+"'(b欄位為數值型)，這樣對外部的參數進行處理，將所有的單引號統統替換為雙引號，即可解決。其中意義在於不讓後續的參數拼接形成 '' or 1=1-- and.........之類的局面

G. SQL注入之GET型（select）

0x01：測試分析

我們進行測試這里是否存在SQL注入漏洞

輸入'

點擊go後

報錯了，說明很大可能存在SQL注入漏洞了。

0x02：爆欄位（欄位就是這個數據表中的列）

-1 order by 1#

-1 order by 2#

........

-1 order by 7#

-1 order by 8#

所以可以判斷出來，一共有7個列。

0x03：爆資料庫名

-1 union select 1,database(),user(),4,5,6,7 #

當前資料庫名為bwapp

0x04：爆表（即獲取當前資料庫有哪些表）

-1 union select 1,group_concat(table_name),3,4,5,6,7 from information_schema.tables where table_schema=database() #

經判斷，當前查詢方式有限制 limit 0,1

可以通過group_concat() 查詢

當前資料庫有，五張表，分別是

blog,heroes,movies,users,visitors

0x05：獲取後台賬戶用戶名和密碼

-- 查users表的列名

-1 union select 1,group_concat(column_name),3,4,5,6,7 from information_schema.columns where table_name='users'#

users表中有9列，分別是

id,login,password,email,secret,activation_code,activated,reset_code,admin

-- 查login和password的內容

-1 union select 1,group_concat(login),group_concat(password),4,5,6,7 from users#

獲得兩個賬戶 A.I.M.和 bee

密碼需要先解密

md5解密地址：cmd5.com

H. 求助，關於SQL注入如何繞過SELECT語句的過濾

1,：轉換個別字母大小寫，無效

2：輸入SESELECTLECT之類的語句來代替SELECT，無效

3：用轉義的URL編碼來代替SELECT（不知道這么表述對不對，就是%後面跟上16進制的ascii碼……），無效

4：用/**/來隔開SELECT中的各個字母，無效