HW基本的sql流量分析和wireshark 的基本使用
前言
HW初级的主要任务就是看监控（流量） 这个时候就需要我们 了解各种漏洞流量数据包的信息
还有就是我们守护的是内网环境 所以很多的攻击都是 sql注入 和 webshell上传 （我们不管对面是怎么拿到网站的最高权限的 我们是需要指出它是什么攻击 利用了什么工具）
1、wireshark的基本使用
这些展示的是什么数据
Frame :帧信息 因为http是网络层 网络层的传输就是帧
Ethernet 以太网模式 主要展示的是原mac地址和目标的mac
这样是不是就知道攻击者的 ip 了呀 但这个是代理ip 不是真实的ip 可以理解为sqlmap会为真实者搞一个随机的ip 并且我们知道攻击者在同一个网段 因为内网下 185 是访问不到的 所以一眼就知道185要么是网关 要么就是个假ip
最后一个每个首字母合起来就是http
请求数据包啊就是
2、sqlmap注入时的流量特征
用的靶场是pikachu
--data是post提交的内容 -u是目标网站
找到注入点
第一特点就 流量走的很快 
这边提示注入成功了
这些都是sql注入的类型模式
并且可以明显的看出是post类型的注入
那如果攻击者不用这个ua头
当sqlmap不使用特点的ua头
不使用sqlmap ua头的命令是 --random-agent
这边为了验证上边的猜想我们 设置一个随机的ua头 和代理（攻击者可以要攻击内网的时候会设置一个假的内网地址来迷惑我们这些猴子）
先清一下缓存
基本用法
这次我们试一下get注入和post有什么区别 
有个知识点就是 工具为什么开代理 ： 1、为了隐藏自己 （这里这个sqlmap就是这个）2、为了工具的抓包本地调试 3、内网勾出
清除一下wireshark重新搞一下
开始注入
发现get注入的特点也很明显就是 请求头很长啊
ua头变了怎么识别啊 ？ 1、工具的速度是很快的 2、这个ua头很假啊 看看正常的ua
他这个win连你妹的编号都没有啊
总结：
1、先看sqlmap有没有在ua头出现 sqlmap伪造的ua头其实是很假
2、非常规流量 ：同一个窗口 同一长度的流量出现多次
3、非常规字符 select union
4、get请求头很长 post的内容很特殊
了解一下sql注入的类型
bool型注入的流量特征
这个就是 b 什么是布尔型 ？ 布尔就是true和flase 就是利用回显正确和错误进行猜字段（数据库名 表名 列名）
1 and substr((select password from admin where id=1),limit 0,1,1)substr 就是可以查询数据库的字段 一个字母一个字母的查询 limit 0,1 0是索引表示第一页 后边的 1 表示第一行 最后的 1 表示一个字母
怎么找出对方正在干的进度 ： bool就是找对错 既然这样我们就根据长度进行找
1388是响应时正确的显示包 我们就找1388前的
看一下370
正在测试还没有开始爆破 继续向下找
看了一会这个是爆破的找的很快没啥规律加入是 470
筛选 ：http && frame.len == 470
所以这个bool型的特点 ：
1、会有 and 123=123 或 and 223=299 这样的判断正错回显的语句
2、很明显的 substr 等语句
error型
通过报错回显的方法判断注入的准确性
发现是在爆破数据库 GTTD_SUBSET 通过拼接恶意构造的字符串，触发函数执行以探测数据库信息
MID是截取字符串
上边这个语句是在 爆破这个scheme_name表有多少个字段
怎么分析呢
找OK 看报错带出来的数据
缺点就是每次只能带出一条数据 并且固定长度为 543 596
识别 请求头有明显的 error_based_injection
union 联合查询
现在sqlmap的语句不像之前那么单一一看就看出来
id=1 UNION ALL SELECT NULL,CONCAT(0x71786b6a71,0x6f48516a4d5573666e654c6559775242444467706f766f7a6e70726b71575650426f5a7858764a64,0x716b626a71),NULL
//现在是一下看不懂了已经
然后再随便复制一句看看他在干什么
一看是在爆破库 上边的就是信息
s : 堆叠注入
什么是堆叠就是 select username from admin;selectpasswd from admin;
就是使用 ; 进行输出
以上就是sql注入的特征