在 SQL 注入中获取数据库名称

Question

我正在一些培训网页上研究 SQLInjection（所以我不知道后端是什么）。我正在尝试下一次注入以获得 de DB 类型。

(1) http://url/?departamento=1 union select user()

通过这种方式，如果数据库是MySQL，我应该可以得到一些结果。但是，我没有看到任何结果。如果我改成这个新的注入，数据返回正确，所以DB是MySQL（即使我可以看到这个新注入的DB名称）：

(2) http://url/?departamento=1 union select 1,user()

然而，如果我再次将注入更改为其中之一，结果就会改变。

(3) http://url/?departamento=1 union select 1,2,user() (I don't see any data)
(4) http://url/?departamento=1 union select user(),2 (Here I don't see the DB name)

我不明白为什么要添加（在第 2 个 select 语句中）更多列以查看数据。为什么会这样？

谢谢！

Answer 1

假设后端是 Java，代码正在做类似的事情：

// 1 union select 1,user()
String query = "select a, b, c from someTable where departamento = " 
             + request.getParameter("departamento"); // the injection is here
try (Statement stmt = con.createStatement()) {
  try (Result rs = stmt.executeQuery()) {
    while (rs.next()) {
      int a = rs.getInt(1); // column "a"
      String b = rs.getString(2); // column "b"
      Date c = rs.getDate(3); // column "c"
      System.out.println("a: " + a + ", b: " + b + ", " c: " + c);
    }
  }
}

要使注入起作用，您需要生成有效的 SQL 语句。

您的联合必须具有与源查询相同的列数
您的列类型必须匹配；第一个子查询中的列类型必须与第二个子查询中的列类型相同（某些数据库可能因此导致查询失败）。
您的条件（“1”）必须与过滤器的右侧匹配（departemento）
可能特定于 Java（以及此示例），要使循环正常工作，您需要能够将列转换为其目标类型。如果第 1 列是一个数字，那么如果您的联合产生一个不可转换为数字的字符串，您可能永远无法显示其内容。

在 SQL 注入中获取数据库名称

Getting DB name in SQLInjection

mysql

sql

database

sql-injection