xiaodisec day027

本文涉及的产品
密钥管理服务KMS,1000个密钥,100个凭据,1个月
简介: 本文档介绍了SQL注入的不同类型,包括数字型、字符型、搜索型、编码型和加密型,强调了在注入时对数据格式和闭包的考虑。提到了SQLMap工具的进阶使用,如利用tamper目录中的base64encode.py进行编码注入。同时,讨论了宽字符绕过技巧,如利用中文字符来避免PHP的addslash函数对攻击的阻止。

27day 还是 sql

知识点

数据类型注入: 数字型,字符型,搜索型,加密型

开始

数字型

数字型是 0-9

字符型

字符型是 a-z 等
在接收 sql 时,格式可能时单引号内包变量
需要考虑到闭包

搜索型

加入通配符入* . ?等

编码型

数据以编码值传递
在注入时需要编码后提交,后端对其进行解码,尝试执行

加密型

数据以密文发送,涉及加密方面的内容
如 base64 加密,一般考虑解出明文再操作,即整体加密,对部分明文加密再拼接可能会影响密文结果

格式型

如 JSON 等格式

sqlmap 进阶使用

在 tamper 目录中 base64encode.py 可用 base64 编码尝试注入

宽字符绕过

php 中的 addslash 函数会添加反斜杠,如 simple\' order by 使后面的攻击失效
\是一个字节,
中文是两个字节,使用中文将反斜杠出现的位置占用即可阻止反斜杠出现

相关文章
|
4月前
|
安全 中间件 应用服务中间件
xiaodisec day032
`#day32` 讲解了文件上传漏洞,重点在绕过过滤策略,如使用`.user.ini`避开点号过滤。讨论了利用解析漏洞,将数字IP转换为字符串。网站的图片裁剪功能被利用来隐藏后门,因JPEG与PNG处理差异,形成二次渲染。手动插入木马困难,推荐脚本自动化。在线靶场演示不稳定,但CTF目标是理解概念而非单纯解题。`.htaccess`涉及Apache解析配置,不适用于Nginx。结合包含漏洞,中间件解析漏洞是关键。若过滤严格,可通过变量赋值拼接木马实现免杀。
|
4月前
|
Java 中间件 测试技术
xiaodisec day023
Day23 Python 知识讲解聚焦于`pyc`反编译和`SSTI`(模板注入)。`pyc`是跨平台的编译结果,常在CTF中出现。`SSTI`发生在Web应用,当错误处理不当,允许注入代码执行,404页面可能是切入点。实战中判断SSTI和建站语言(如Python)需观察回显和使用工具如fofa。黑盒测试SSTI颇具挑战。
|
4月前
|
SQL 关系型数据库 MySQL
xiaodisec day025
了解 SQL 注入攻击,关注 MySQL、MSSQL 和 PostgreSQL 的高权限注入。利用 `loadfile` 和 `outfile` 函数在 MySQL 中读写文件,常见目标包括配置文件。获取路径方法包括报错显示、phpinfo 和字典攻击。注意 `secure-file-priv` 配置限制,但在某些环境下可突破。开启慢日志记录,植入后门,通过 PHP 执行。实战中,观察地址和输入框判断注入点,根据报错信息推测数据库类型。若无回显,尝试猜测注入点。
|
4月前
|
JavaScript 安全 前端开发
xiaodisec day22
探索前端安全:JavaScript中的变量与函数暴露可能引发命令执行风险。利用Wappalyzer等工具检测JS使用,寻找如`/static/js/app.js`等线索。Node.js框架安全学习,借助Vulhub漏洞环境(GitHub可得)与Docker进行安全测试。
|
4月前
|
开发框架 安全 Java
xiaodisec day031
`#day31` 文件上传漏洞探讨:涉及 CMS 中的文件上传,通常需配合抓包工具。绕过前台验证和 MIME 验证(如变造 `content-type`),利用大小写或.php伪装上传。当.php被过滤时,可试用短标签`<= 'php代码'>`。若过滤括号,则可能无法构造有效payload。文件头过滤常用于防止非正常文件上传,而.user.ini文件能包含后门代码实现命令执行。同时,修改`user-agent`为PHP木马以尝试通过日志记录通道触发。总结:上传漏洞利用策略多变,关键在于识别并绕过安全防护措施。
|
4月前
|
SQL 监控 Java
xiaodisec day028
Day 28探讨了SQL注入,关注点在于提交方式的注入。PHP、Spring Boot和Flask中的GET、POST、COOKIE数据提交都可能引发安全问题。后端处理数据时,如记录IP、根据UA显示页面或文件上传可能导致SQL注入。使用sqlmap工具进行黑盒测试,通过修改数据包或指定POST数据来探测注入点。实战中,CMS系统记录IP访问可能产生注入风险,可以利用工具如Seay代码审计系统进行监控和检查。
|
4月前
|
SQL 缓存 NoSQL
xiaodisec day026
`day26`探讨了Oracle与MongoDB的SQL注入,强调手动注入技巧。尽管`sqlmap`工具不支持NoSQL,它提供了一些选项,如清除缓存(--purge)、查看当前数据库(--current-db)和数据转储(--dump)。通过-r参数可以利用保存在TXT文件中的数据包进行测试,文件内星号(*)标记注入点,例如`username=admin*`。Metasploit Framework(MSF)未详述。
|
4月前
|
SQL 数据库
xiaodisec day029
在Day 29的学习中,聚焦SQL注入的查询方式,特别是盲注技术。当查询结果不直接回显时,需采用不同策略。盲注包括逻辑判断和基于延时、报错的判断。通过逻辑判断,如使用`left()`函数猜测数据库名。基于延时的方法利用`sleep()`函数观察响应时间变化。报错注入依赖服务器错误信息的回显。实际操作中,可利用工具进行检测,因为手动注入在某些场景下效率较低。
|
4月前
|
存储 小程序 Shell
xiaodisec day010
## Day10 概要 涉及小程序的抓包封包工具,如AppInfoScanner用于反编译;提及阿里云OSS存储服务;安卓修改大师用于源码修改与打包;通过反编译内外提取数据,包括网址和IP;讨论了xposed和frida模块破解安卓壳;提到了apk资源提取器以及Progress Telerik Fiddler作为Web调试工具,特别适合小程序抓包。
|
4月前
|
前端开发 JavaScript 测试技术
xiaodisec day016
Day16 概要:讨论了前端JS验证和PHP验证的区别,JS验证易被浏览器禁用,而PHP验证是黑盒。重点讲解了AJAX登录状态回显,通过抓包响应判断登录成功。购物案例分析了四种价格处理方式,强调前端价格可被篡改,后端应严格校验数量或直接获取数据库价格以确保安全。