DAY5DVWA之SQL注入演练(low)

发现这里报错了&＃xff0c;说我们的sql语句出现了语法错误。

我们可以进行这样一个猜测&＃xff1a;首先它这个id是被两个“&＃39;”包住的。查询语句可能是这样的&＃xff1a;

select firstname,surname from users where id &＃61; &＃39;1&＃39;;

当我们在1之后加一个引号&＃xff0c;则会导致单引号数目不平衡&＃xff0c;那么查询语句会变成这样&＃xff1a;

select firstname,surname from users where id &＃61; &＃39;1&＃39;&＃39;;

可以看到最后一个引号没被闭合&＃xff0c;那我们该怎么办呢&＃xff1f;其实有好多种解决的办法&＃xff0c;下面就简单介绍下。

方法一&＃xff1a;可以在原来的基础上再继续输入一个引号&＃xff0c;也就是“1&＃39;&＃39;”。这时我们看一下查询语句&＃xff1a;

select firstname,surname from users where id &＃61; &＃39;1&＃39;&＃39;&＃39;;

* 在where语句中&＃xff0c;当出现多个字符串的时候&＃xff0c;“&＃61;”将会选择优先级最高的一个&＃xff0c;优先级是从左到右&＃xff0c;依次降低的&＃xff0c;也就是离“&＃61;”最近的一个。

看到了么&＃xff0c;出来的结果还是和user_id&＃61;1一样。

方法二&＃xff1a;使用“#”符号来注释后面的单引号&＃xff0c;到时查询语句将会变成这样&＃xff1a;

select firstname,surname from users where id &＃61; &＃39;1&＃39;#&＃39;;

方法三&＃xff1a;使用“-- ”。这里注意了“-- ”后面有一个空格。在url当中&＃xff0c;我们可以使用“&＃43;”来代替“--”后面的空格。到时查询语句将会变成这样&＃xff1a;

select firstname,surname from users where id &＃61; &＃39;1&＃39;--&＃43;&＃39;;

上面显示出来的结果和输入1时一样。到这里我们就可以确定&＃xff1a;

• 漏洞的参数是“id”。
• 漏洞的类型是字符型。

4、构造payload

好了&＃xff0c;在我们确认漏洞之后&＃xff0c;就可以构造payload了。什么是payload&＃xff1f;说白了就是一段恶意代码&＃xff0c;以便我们能够获得数据库里面的数据。

4.1 分析字段数

分析字段数的话&＃xff0c;也是有两种方法。

方法一&＃xff1a;用order by 语句。

分析字段数的原因是我们之后需要用union select语句来获得我们需要的敏感数据。根据order by知识知道&＃xff0c;要是后面跟着的数字超出了字段数时&＃xff0c;就会报错&＃xff01;通过这个我们可以确定字段数。我们构造的payload如下&＃xff1a;

1&＃39; order by 1#

1&＃39; order by 2#

1&＃39; order by 3#

当输入到3的时候&＃xff0c;发现它报错了&＃xff0c;也就是说字段数为2。

方法二&＃xff1a;直接用union select来猜测字段数。

因为当字段数不对应的时候&＃xff0c;它也是会发生报错的&＃xff01;我们构造以下查询语句&＃xff1a;

1&＃39; union select 1#

1&＃39; union select 1,2#

1&＃39; union select 1,2,3#

可以发现&＃xff0c;当union select 1,2,3的时候报错&＃xff0c;union select 1,2的时候没有报错&＃xff0c;也就是说字段数为2。同时&＃xff0c;我们也注意到&＃xff0c;好像返回的内容中多了三条数据&＃xff0c;这是啥呢&＃xff1f;其实这就是我们union select出来的数据。这样通过查看页面&＃xff0c;我们便可以获得数据库里面的信息了&＃xff01;

4.2 获取信息

字段数为2&＃xff0c;说明数据列有两列。我们可以通过union select语句查出两个数据。好了&＃xff0c;我们来获取所需要的数据库里面的信息吧&＃xff01;

4.2.1 获取当前数据库名&＃xff0c;当前用户名

构造数据库查询语句如下所示&＃xff1a;

1&＃39; union select database(),user()#

解释一下&＃xff0c;database()将会返回当前网站所使用的数据库名字&＃xff0c;user()将会返回进行当前查询的用户名。

好的&＃xff0c;我们可以看到当前使用的数据库为&＃xff1a;dvwa&＃xff0c;当前的用户名&＃xff1a;root&＃64;localhost。

有时候&＃xff0c;后面的select语句会限制输出的行数&＃xff0c;一般来说&＃xff0c;都会让原数据库查询无效&＃xff0c;也就是输入无效的id&＃xff0c;使得原数据库查询不反回结果。如下操作&＃xff1a;

-1&＃39; union select database(),user()#

这样就只会返回我们需要的数据了。

类似的函数还有&＃xff1a;version() 获取当前数据库版本,&＃64;&＃64;version_compile_os获取当前操作系统。

-1&＃39; union select version(),&＃64;&＃64;version_compile_os#

* 数据库版本高于5.0就可以爆库了&＃xff0c;下面会具体讲解。

4.2.2 获取当前的用户表

根据上面的信息&＃xff0c;我们知道当前数据库名为dvwa&＃xff0c;可是还不够呀&＃xff0c;表名是什么&＃xff1f;内容又是什么&＃xff1f;是不是打算放弃了&＃xff1f;先吃根辣条冷静一下吧。

想想看&＃xff0c;当你有不懂的字会怎么办呢&＃xff1f;不要动不动就去百度&＃xff0c;除了问度娘&＃xff0c;还能怎么做呢&＃xff1f;对了&＃xff0c;查字典。那么mysql有没有类似于字典的东西呢&＃xff1f;答案是肯定的&＃xff0c;就是information_schema&＃xff0c;这是一个包含了mysql数据库所有信息的“字典”&＃xff0c;本质上还是一个database&＃xff0c;存放着其他各个数据的信息。

在information_schema里&＃xff0c;有一个表tables。有一个columns……是不是有点感觉了&＃xff1f; tables这个表存放的是关于数据库中所有表的信息&＃xff0c;里面有个字段叫table_name&＃xff0c;还有个字段叫做table_schema。其中table_name是表名&＃xff0c;table_schema表示的是这个表所在的数据库。对于columns&＃xff0c;它有column_name&＃xff0c;table_schema&＃xff0c;table_name。回想一下&＃xff0c;我们拥有的信息是数据库名。也就是说我们可以构造这样的payload来从数据库里获取一些东西。

好的&＃xff0c;构造的查询语句如下&＃xff1a;

-1&＃39; union select table_name,2 from information_schema.tables where table_schema&＃61; &＃39;dvwa&＃39;#

爆出来两个表&＃xff0c;对那个感兴趣呢&＃xff1f;&＃xff1f;&＃xff1f;当然是users表啦&＃xff01;不是说还有一个columns表么&＃xff1f;所以我们还需要table_name以及table_schema来查column_name。这次我们构造的payload如下&＃xff1a;

-1&＃39; union select column_name,2 from information_schema.columns where table_schema&＃61; &＃39;dvwa&＃39; and table_name&＃61; &＃39;users&＃39;#

这里简单说一下&＃xff0c;倘若不指定数据库名为&＃39;dvwa&＃39;&＃xff0c;若是其他数据里面也存在users表的话&＃xff0c;则会出现很多混淆的数据。当然&＃xff0c;在这里直接使用下面的语句也是可以成功的。

-1&＃39; union select column_name,2 from information_schema.columns where table_name&＃61;&＃39;users&＃39;#

跟上一条结果一样吧&＃xff1f;

又来了&＃xff0c;这么多数据&＃xff0c;选哪个呢&＃xff1f;&＃xff1f;&＃xff1f;废话&＃xff0c;当然是user&＃xff0c;password啦。我们再次修改payload&＃xff1a;

-1&＃39; union select user,password from users#

Binggo&＃xff01;我们爆出所有的用户名和密码值&＃xff01;等等&＃xff0c;这密码好像有点奇葩&＃xff0c;数一数&＃xff0c;32位&＃xff01;好吧&＃xff0c;是经过md5加密的。好不容易爆出管理员账号和密码&＃xff0c;但是密码却加密&＃xff0c;这就没有办法了吗&＃xff1f;不一定&＃xff01;我们需要找一些破解md5值的网站来进行破解&＃xff01;直接百度“CMD5”&＃xff0c;然后选择一个网站进去破解就可以了。

我们选择admin这个来进行破解&＃xff0c;md5密文为&＃xff1a;21232f297a57a5a743894a0e4a801fc3。

可以看到密码已经被破解出来了&＃xff0c;密码是“admin”,好的&＃xff0c;我们来验证一下&＃xff01;

看&＃xff0c;这个时候我们已经成功登陆了&＃xff01;

好的&＃xff0c;简单的SQL注入就说到这儿了&＃xff0c;下次我们将进行DVWA里面的中级SQL注入。