Mysql注入笔记
最新回答
杯别
2026-10-22 19:40:44
Mysql注入笔记主要包括以下内容：
基本注入技巧：
- 利用注释符：如#、/*和，进行干扰式注入，以绕过某些过滤机制。
- 过滤空格注入：可通过/**/、或+等字符代替空格，同时注意特殊字符如%0c、%09等，以绕过空格过滤。
数据查询和操作：
- 多条数据显示：通过concat, group_concat, concat_ws等函数实现多条数据的合并显示。
- 获取系统或用户信息：使用相关函数如system_user, user等。
- 读取本地文件：利用load_file函数读取服务器上的文件。
- 获取数据库路径：通过变量如@@datadir等获取数据库存储路径。
常见注入语句：
- 猜字段数：通过注入语句猜测数据库表中的字段数量。
- 查看基本信息：如数据库版本、当前用户等。
- 数据库和表名查询：通过注入语句查询数据库和表名。
- 权限判断：判断当前用户是否具有特定权限。
文件读写操作：
- 读取和写入文件：在不同版本的MySQL中，方法各异。如mysql3.x和4.x/5.x版本的load_data infile和load_file函数。
insert和update注入：
- 利用报错注入或结合XSS和CSRF获取敏感信息。
报错注入和盲注技术：
- 报错注入：通过触发数据库错误，暴露敏感信息。
- 盲注技术：通过ASCII码和正则表达式，在不直接返回结果的情况下，逐步猜测数据库内容。
时间盲注：
- 利用时间差异进行测试，通过观察响应时间的差异，判断数据库内容。
利用数据库版本特性：
- 如information_schema库的使用，以及自定义函数的加载。
总结：Mysql注入是一种攻击手段，通过构造特殊的SQL语句，绕过应用程序的安全措施，直接对数据库进行查询和操作。了解并掌握这些注入技巧和常见语句，对于防范SQL注入攻击具有重要意义。同时，开发者应加强对输入数据的验证和过滤，避免SQL注入漏洞的产生。
热门标签
