2401_86190146的博客

利用show爆出表名，列名接下来有四种方法查询列（以强网杯随便注为例，查询表名为1919810931114514中的flag列）：注意使用 ` ` 包裹全是数字的表名构造其中 PREPARE 语句：用于创建一个预处理语句（将 SQL 语句模板化），它允许在执行 SQL 之前先进行预编译，然后可以通过传递参数来多次高效地执行这个预编译后的语句。EXECUTE语句：执行之前通过 PREPARE 语句创建好的预处理语句对象。

查看版本：sqlite_version()列出附加数据库中的所有表：.tables。

题目：发现id处可以sql注入：虽然输入id=1';#没什么回显，但是知道这里是字符型注入了。

用户向数据库存入恶意数据，当数据被送进数据库的时候，会对存入的信息进行转义然后再储存，但是存进去的数据会再次被转义回来（也就是原样不变的存进数据库里，只是害怕攻击者在存入数据的时候捣蛋而已），一般默认数据库里的数据都是安全的，所以当用户再次访问时，要从数据库里拿出数据来，这时候就不会再进行转义处理，此时会引起SQL注入。

用户名和密码处都试过了，过滤了很多，包括 ’ ，select，databases，tables等等，反正能用的都过滤了。5）发送url get请求格式 r=requests.get(url,params=temp)3）赋值temp字典内容： temp["id"]="xxxxxxxxxxx"1）声明一个字典 temp={"id":""} 存储get发送的请求参数。后来看wp才知道，原来是需要在id处注入，具体注入方法和这个一样。表明flag 不在这个表里面。2）url中要把?五个小框框什么也没有。

【代码】BUU18 [CISCN2019 华北赛区 Day2 Web1]Hack World1。

select hex(group_concat(username)) from users：从users这张表中显示出用十六进制表示的连接在一起的字符串username。这里{0}和{1}都是占位符，后面用format(i,chr(mid))分别替换0和1的位置（其中0和1对应format中的第x个参数）创建数据库命令执行后就会在当前目录下生成对应名称的文件，之后的数据操作都是对该文件的操作。过滤掉了union，sleep，空格，=，or。sqlite的每一个数据库就是一个文件。

部分内容来自于SQL注入由简入精_哔哩哔哩_bilibili1.mysqli_error()：返回最近调用函数的最后一个错误描述语法：mysqli_error(connection) 规定要使用的Mysql连接; 返回一个带有错误描述的字符串。如果没有错误发生则返回 ""2.mysqli_errno() ：函数返回最近调用函数的最后一个错误代码。语法：mysqli_errno(connection);返回错误代码值。如果没有错误发生则返回 0。3.mysqli_fetch_array()：从结果集中取得一行

1' union show database()# ，好嘛，过滤的自己都爆出来了。先上传1' or 1=1#

url地址是直接复制的地址栏的地址，所以存在的都是编码后的字符，其原始语句为：1'or(extractvalue(1,concat(0x7e,(比如说：select table_name from information_schema.tables。输入一些SQL关键词，发现空格，=，union，and，by都被过滤了。发现substr也被过滤了，所以使用right或者regexp。1.这里过滤了空格，就用()将内容包裹起来。=被过滤，就用like替代。发现登录成功，可以注入。正则表达式匹配运算符。

输入1' ununionion selselectect 1,2,group_concat(table_name) frfromom information_schema.tables whwhereere table_schema='geek' #登进去没什么用，我们直接在用户名中输入or,select,union,where,from等词语全被过滤了，我们输入1' || 1=1 order by 3 #，发现or和by被过滤掉了。information里头有or，也被过滤了，所以需要双写。

是用于开始一个查询的关键字，它们不能这样直接组合在一起，所以会导致语法错误。过滤掉了or，=，当尝试了n种方法以后，最关键的是发现()居然也被过滤了。当输入admin的时候，提示密码错误，这时候就说明用户名确实是admin。应用程序可能会将这行数据当作合法的用户记录进行处理，攻击者可能会以。抓包发现有注释掉的内容，其实这个直接看源代码也行（但是又忘了这步）正确查询： 1' union select 1,2,3#，这不符合 SQL 的语法规则。表的列数为 3 且数据类型兼容，注入的。在这个拼接后的语句中，

这个题最大的坑在于flag藏在最终的password中，而必须要用group_concat()去显示完整的行，否则就看不见。（爆出来有id(永远都是1)和username和password还有flag）（爆出来geek库中的表名是geekuser(假的)和l0ve1ysq1）登录进去以后发现是这个东西，然而并没有什么卵用。，否则页面只会显示那个没有flag的假表名。然后就开始爆破数据库名字--表名--列名。注意：这道题需要将所有的表名都爆出来，（爆出来数据库名字是 geek）

一道sql注入的题，可惜世面见的太少了遇到个新题型就不会了。