Web安全学习笔记 SQL注入中

Web安全学习笔记 SQL注入中

繁枝插云欣 ——ICML8

---

1. 权限提升
2. 数据库检测
3. 绕过技巧

---

一.权限提升

1. UDF提权

UDF

User Defined Function，用户自定义函数

是MySQL提供的一个功能

可以通过编写DLL扩展为MySQL添加新函数

扩充其功能

当获得MySQL权限之后

即可通过这种方式上传自定义的扩展文件

从MySQL中执行系统命令

---

二.数据库检测

1. MySQL

sleep sleep(1)

benchmark BENCHMARK(5000000, MD5('test'))

字符串连接

SELECT 'a' 'b'

SELECT CONCAT('some','string')

version

SELECT @@version

SELECT version()

识别用函数

connection_id()

last_insert_id()

row_count()

2. Oracle

字符串连接

'a'||'oracle' --

SELECT CONCAT('some','string')

version

SELECT banner FROM v$version

SELECT banner FROM v$version WHERE rownum=1

3. SQLServer

WAITFOR WAITFOR DELAY '00:00:10';

SERVERNAME SELECT @@SERVERNAME

version SELECT @@version

字符串连接

SELECT 'some'+'string'

常量

@@pack_received

@@rowcount

4. PostgreSQL

sleep pg_sleep(1)

---

三. 绕过技巧

1.编码绕过

大小写

url编码

html编码

十六进制编码

unicode编码

2.注释

// -- -- + -- - # /**/ ;%00

内联注释用的更多

它有一个特性 /!**/

只有MySQL能识别

e.g. index.php?id=-1 /*!UNION*/ /*!SELECT*/ 1,2,3

3.只过滤了一次时

union => ununionion

4.相同功能替换

1. 函数替换

substring / mid / sub

ascii / hex / bin

benchmark / sleep

1. 变量替换

user() / @@user

1. 符号和关键字

and/ &

or / |

5.HTTP参数

1. HTTP参数污染

id=1&id=2&id=3

根据容器不同会有不同的结果

1. HTTP分割注入

6.缓冲区溢出

一些C语言的WAF处理的字符串长度有限
超出某个长度后的payload可能不会被处理

二次注入有长度限制时
通过多句执行的方法
改掉数据库该字段的长度绕过

---