小迪-day14(注入类型之提交注入)

1、参数提交注入

1.1 明确参数类型

数字，字符，搜索，JSON等

1.2 明确提交方式

GET, POST,COOKIE,REQUEST，HTTP头等

可能有些网站是以Request的方式接受参数，所以GET和POST都行

注入的地方可能在User-Agent、cookie上，关键是看是否带入数据库查询。

1.3 如何去闭合sql

sql语句干扰符号: ‘ ,” , ) , } % 等，具体需看写法

'  "  将sql字符串包裹，可以相应使用' "  去闭合原sql语句，使插入的sql语句生效
% 出现在like  模糊查询
(  )	可能出现在insert等语句中

1.4 注入中注释的使用

–+ 在get请求方式放在url中可以使用，相当于sql中的注释，–+相当于 – （–空格），可以使后面的sql语句被注释

# 也可当作注释使用，post中不用 （–+），用#注释后面的sql语句

2、参数字符型注入测试

sqlilabs -- less5、6

2.1 less5

$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

SQL执行的语句是采用了 ‘ 单引号闭合,

我们要是直接使用?id=1 and 1=1相当于执行的是SELECT * FROM users WHERE id='1 and 1=1' LIMIT 0,1;是不会有任何的反应。

正确写法：

?id=1' and '1'='1
?id=1' and '1'='2

或者：

?id=1' and 1=1 --+
?id=1' and 1=2 --+
--+ 将后面的sql语句进行注释

使用 order by 3 查询出字段数为3

2.2 less 6

源码：

$id = '"'.$id.'"';
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";

换成了双引号闭合

3、POST数据提交注入测试

sqlilabs less11

3.1 less11

源码：

@$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";

为了实验方便，回显sql语句：

如图：

在bp中抓包

测试：

发现可以注入

查询字段：

发现字段数只有俩列

查询回显字段：

发现第一个字段显示用户名，第二个显示密码

要回显出字段，首先应该令前一个查询条件为假，这样union之后才会显示第二天select语句结果。
或者使用limit 1,1 显示出第二条数据，如下图：

回显出数据库名，和mysql版本号：

查询出用户，操作系统

然后就可以使用

information_schema.tables  		查询表名称
information_schema.columns		查询表中字段
information_schema.schemata		查询数据库名称

查询所有数据库(group_concat())：

查询security下的表：

查询users下面的字段：

查询username、password字段的数据：

4、JSON注入

	JSON注入是指应用程序所解析的JSON数据来源于不可信赖的数据源，程序没有对这些不可信赖的数据进行验证、过滤，如果应用程序使用未经验证的输入构造 JSON，则可以更改 JSON 数据的语义。在相对理想的情况下，攻击者可能会插入无关的元素，导致应用程序在解析 JSON数据时抛出异常。
	
	在JSON中是根据引号（“）、冒号（:）、逗号（,）、花括号（{}）来区分各字符的意义的。如果向JSON中注入恶意字符，那么JSON将解析失败。
	
JSON注入和XML注入、SQL注入一样，都需要对影响语句的内容进行转义，如双引号、花括号等。

和SQL注入一样（只是传入的形式变了），插入注入语句。但要注意一点是对影响json语句的要进行转义，如双引号、花括号等。

注入方式：如果是数字的可以不加 ‘ 闭合， 如果是字符的话，加上引号闭合

JSON格式： 使用双引号 “ “ 键值对形式

{
	"username": "admin",
	"password": "admin"
}

当需要表示一组值时，JSON 不但能够提高可读性，而且可以减少复杂性。

值的数组 形式：

{ "programmers": [
  { "firstName": "Brett", "lastName":"McLaughlin", "email": 			      "brett@newInstance.com" },
  { "firstName": "Jason", "lastName":"Hunter", "email": "jason@servlets.com" },
  { "firstName": "Elliotte", "lastName":"Harold", "email": "elharo@macfaq.com" }
 ],
"authors": [
  { "firstName": "Isaac", "lastName": "Asimov", "genre": "science fiction" },
  { "firstName": "Tad", "lastName": "Williams", "genre": "fantasy" },
  { "firstName": "Frank", "lastName": "Peretti", "genre": "christian fiction" }
 ],
"musicians": [
  { "firstName": "Eric", "lastName": "Clapton", "instrument": "guitar" },
  { "firstName": "Sergei", "lastName": "Rachmaninoff", "instrument": "piano" }
 ]
}

5、COOKIE数据提交注入测试

sqlilabs less 20

网站传递参数的方式：

参数类型	含义
get型	一般访问网页的行为
cookie型 （不是请求方式）	伴随着所有访问网页的行为
post型	上传文件，登陆

cookie注入原理：对get传递来的参数进行了过滤，但是忽略了cookie也可以传递参数。

【cookie注入的原理在于更改本地的cookie，从而利用cookie来提交非法语句。】

条件	含义
条件1	程序对get和post方式提交的数据进行了过滤，但未对cookie提交的数据库进行过滤
条件2	条件1的基础上还需要程序对提交数据获取方式是直接request(“xxx”)的方式，未指明使用request对象的具体方法进行获取，也就是说用request这个方法的时候获取的参数可以是是在URL后面的参数也可以是cookie里面的参数这里没有做筛选，之后的原理就像我们的sql注入一样了

通过分析源码可知，当我们使用正确的用户名密码登录成功后，就会产生一个cookie值（记录了username值），再次登录后就会携带这个cookie值，通过cookie查询用户名，但是源码对cookie存在 sql 注入

源码cookie查询语句：

$sql="SELECT * FROM users WHERE username='$cookee' LIMIT 0,1";

使用正确用户名、密码登录

成功登录后，抓取到一个数据包携带cookie

查询到字段数为3

修改cookie参数
Cookie: uname=admin' and 1=2 union select database(),user(),version() #

6、HTTP头部参数数据注入测试

sqlilabs less 18

分析源码，可以看到，源码对

$uagent = $_SERVER['HTTP_USER_AGENT'];
$IP = $_SERVER['REMOTE_ADDR'];
...
$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";

UA,和ip没有进行限制，可以进行注入。

也就是说我们通过修改http的头部信息可以达到SQL注入的效果。

登录之后，修改UA数值为：fuck 可得

那我们将 user-agent 修改为注入语句呢？
将 user-agent 修改为

'and extractvalue(1,concat(0x7e,(select @@version),0x7e)) and '1'='1

可以看到我们已经得到了版本号。