【墨者学院】SQL手工注入漏洞测试(MySQL数据库)

背景介绍：

       安全工程师"墨者"最近在练习SQL手工注入漏洞，自己刚搭建好一个靶场环境Nginx+PHP+MySQL，PHP代码对客户端提交的参数未做任何过滤。尽情的练习SQL手工注入吧。

实训目标：

                      1.掌握SQL注入原理；
                      2.了解手工注入的方法；
                      3.了解MySQL的数据结构；
                      4.了解字符串的MD5加解密；

解题方向：

                       手工进行SQL注入测试，获取管理密码登录。

解题步骤：

   1.             开启环境访问网站：124.70.64.48：46950

2.寻找页面参数注入点：

3.发现id参数判断是否存在注入

显然已是存在的：

4.判断有多少列：

5.判断回显点：

6.查看数据库名称：

7.查看数据库下表:

8.查看表中字段：

9.查看字段下信息：

10.发现密码被加密，解密后登录成功发现key：