sqlmap指定orderby注入时，如何准确确定字段数及构造payload？

Question

在使用sqlmap进行orderby注入时，如何准确确定字段数并构造有效payload是关键。通常，可先用`-D`指定数据库，通过`--columns`查看表结构。为确定字段数，可尝试以下步骤：以目标URL为基础，添加orderby参数，如`orderby=1`，逐步增加数字直到出现错误或结果不变，此时的最大值即为字段数。构造payload时，可利用union select配合null值测试，例如`1 union select null,null`，根据返回结果调整null数量匹配字段数。sqlmap中，可用`--risk`和`--level`参数提高检测强度，结合`--tamper`规避WAF。注意，测试需获授权，避免非法操作。如何更高效地结合手动与自动化工具完成这一过程？

Answer 1

1. SQL注入测试基础：理解orderby注入的关键

在SQL注入测试中，orderby注入是一种常见的技术，用于确定数据库查询的字段数。这是构造有效payload的基础步骤。为了准确确定字段数，首先需要了解目标URL的结构和响应行为。

• 通过添加`orderby=1`参数到目标URL，逐步增加数字直到出现错误或结果不变。
• 此过程帮助确认数据库查询中涉及的字段总数。

例如，假设目标URL为：

http://example.com/page?id=1

可以尝试以下请求：

http://example.com/page?id=1 order by 1 --

逐步递增order by的值，直到服务器返回错误或无变化。

2. 使用sqlmap自动化检测：提高效率与准确性

sqlmap是一个强大的自动化工具，能够显著简化SQL注入测试的过程。以下是结合sqlmap进行orderby注入测试的常见方法：

1. 指定目标URL并使用`--risk`和`--level`参数提高检测强度。
2. 通过`-D`参数选择目标数据库，并用`--columns`查看表结构。
3. 利用`--tamper`选项规避WAF（Web应用防火墙）。

示例命令：

sqlmap -u "http://example.com/page?id=1" --risk=3 --level=5 --tamper=between

此命令将对目标URL进行全面扫描，并尝试绕过可能存在的防御机制。

3. 手动构造payload：结合union select测试字段数

当自动化工具无法完全满足需求时，手动构造payload是必要的补充手段。以下是一个具体的流程：

步骤	操作	说明
1	`1 union select null`	测试单个null值是否匹配字段数。
2	`1 union select null,null`	增加null数量，观察返回结果的变化。
3	`1 union select null,null,null`	继续调整null数量，直到找到正确的字段数。

通过这种方式，可以精确地确定数据库查询的字段数，并进一步构造有效的payload。

4. 结合手动与自动化工具：优化测试流程

为了更高效地完成orderby注入测试，可以将手动与自动化工具相结合。以下是推荐的流程：

graph TD
    A[启动sqlmap扫描] --> B{检测到注入点？}
    B -- 是 --> C[手动构造payload]
    B -- 否 --> D[调整参数重新扫描]
    C --> E[验证payload有效性]
    E --> F{成功提取数据？}
    F -- 是 --> G[完成测试]
    F -- 否 --> H[优化payload]

此流程图展示了如何在自动化工具的基础上，通过手动干预提升测试效果。关键在于根据sqlmap的输出结果，灵活调整payload结构。

例如，如果sqlmap检测到注入点但未能提取数据，可以通过手动构造payload来弥补不足。结合union select和null值测试，确保payload与数据库查询的字段数完全匹配。