2021-08-20

pikachu sql注入

数字型注入（POST）因为是数字性不需要加字符测试 把BurpSuite 中拦截的包发到 Repeater 中，修改id参数的值，查看响应结果。可以看到取出了数据库中全部数据，说明存在数字型注入漏洞。字符型注入（GET）输入“kobe”，可以得到下面的输出需要构造闭合，闭合后台查询语句中的第一个单引号，然后注释掉第二个单引号，构造的payload如下输入kobe‘ or 1=1#进行测试 可得结果搜索型注入构造对应的闭合，闭合前面的 单引号 和 百分号，注释后面的百分号和单引号。构造的payload如下xxxx%’ or 1=1#XX型注入使用payload xx’)or 1=1# 可得insert/update注入1.insert注入使用updataxml 函数注入payload1’ or updatexml(1,concat(0x7e,database()),0) or’得到皮卡丘的数据库名字是 pikachu2 update注入先登录进去，在修改资料处抓包Payload和insert注入相同:1’ or updatexml(1,concat(0x7e,database()),0) or’同样能得到皮卡丘的数据库名字是 pikachudelete注入先进行留言 在删除的时候抓包由于是get的类型的 在payload记得进行url编码payload 与之前一样得到皮卡丘的数据库名字是 pikachuhttp header注入在ua头进行注入 payload相同 得到皮卡丘的数据库名字是 pikachuCOOKIEcookie中的admin也是一个注入点 得到皮卡丘的数据库名字是 pikachu 盲注 （base on boolian）只有加and 1=1#才能返回个人信息，or 1=1#报错用函数来构造payloadkobe’ and ascii(substr(database(),1,1))=112# 112通过多次比较才能试出来 盲注(base on time)payload:kobe’ and sleep(5)#看到时间线是5s,说明存在基于时间的盲注使用payloadkobe’ and if ((substr(database(),1,1))=‘a’,sleep=(5),null)#1ms就返回结果 说明不是 “a” 改为”p”不返回 一直到确定数据库的全称。