SQL注入分類以及聯合查詢回顯注入

很多應用程式都使用資料庫來儲存資訊。sql 命令就是前端應用程式和後端資料庫之間的介面。攻擊者可利用應用程式根據提交的資料動態生成sql 命令的特性，在url 、表單域，或者其他的輸入域中輸入自己的sql 命令，改變sql 命令的操作，將被修改的sql 命令注入到後端資料庫引擎執行。

- 任意查詢使用者資訊

- 任意查詢管理員賬號密碼

- 通過sleep, benchmark 等函式使資料庫阻塞不能正常工作

- 使用資料庫內建的一些函式來執行系統命令

按傳遞引數型別分：

- 例如id = 1 ，數字型注入不需要考慮單引號或者雙引號閉合。用如下方式驗證注入點：

and 1 = 1

and 1 = 2

- 例如name= 'root' ，字元型住入，需要考慮單引號的閉合和注釋問題。用如下方式驗證注入點：

root' and '1' = '1

root' and '1' = '2　　　　　　#用於將原有引號閉合

root' and 1 = 1 --+ 　　　　　　#通過注釋符號，注釋後面的單引號。用於將name = 'root' root後面的 ' 注釋掉就變成了name = 'root' and 1 = 2 --+

root' and 1 = 2 --+ 　　　　　　#注意：-- 在mysql中，要求第二個 - 後面跟乙個空格或控制字元，+可以代替空格

- 回顯正常：通過執行構造的sql 注入語句之後，頁面與原頁面存在差異，但沒有報錯資訊。

- 回顯報錯：通過執行構造的sql 語句之後，頁面報錯，且將報錯資訊顯示百面上

- 布林型盲注：構造sql 語句之後，根據頁面顯示差異來判斷

- 基於時間的盲注：構造sql 語句之後，根據頁面響應時間來判斷

2. select user from users order by user;　　　　//系統預設對users進行排序

order by 1按照第一列排序，order by 2按照第二列排序

沒有第三列因此order by 3報錯

order by判斷正常資料庫查詢有多少列。同理查詢有11列結果。

聯合查詢select 1,2顯示為一行

查詢user_id=1的user和password，並將數字1，2顯示出來

執行union後的語句，結果只顯示1行

上面資料庫查詢已知有11列，分別用數字1到11在頁面中顯示出來

經過之前的注入測試，已知資料庫中存在admin、password兩個字段。因為頁面中顯示了2，3，8，9，10總共五個數字，我們隨意替換五個中的兩個為admin、password欄位，這樣admin、password這兩個欄位的內容就顯示出來。

首先通過order by判斷正常資料庫查詢有多少列，只要查詢結果最終能回顯到頁面上，可以用聯合查詢注入的方法。