漏洞重温之sql注入（六）
sqli-labs通关之旅
Less-26
进入第26关，首先我们可以从网页的提示看出本关是get型注入。
我们给页面添加上id参数后直接去查看源码。
需要关注的东西我已经标注在上面了。
首先，我们先来观察第一个红框内的代码。
$id=blacklist($id);
这行代码表示，我们通过get请求传输的id参数，在放到代码中执行的时候，是被blacklist函数给转义过了，当然，这个blacklist函数可能是原有函数，也可能是自定义函数。
为了验证这个猜测，我们可以仔细观察代码，或者直接按ctrl+f在代码中搜索这个名称，看能否发现，如果发现了封装函数的代码块，就说明这个函数是自定义，如果没有，则为原有函数。
根据函数的内容，我们可以发现，网页将id参数中的or,and,/*,--,#,空格,正反斜杠都过滤了。
也就是说，我们这次想要进行注入的难度比上只过滤了or and 的第二十五关困难的多。
然后我们接着看其他红框内的代码。
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
这行代码告诉我们，如果想要在这个位置进行注入，我们需要使用单引号闭合。
if($row)
{
echo "<font size='5' color= '#99FF00'>";
echo 'Your Login name:'. $row['username'];
echo "<br>";
echo 'Your Password:' .$row['password'];
echo "</font>";
}
else
{
echo '<font color= "#FFFF00">';
print_r(mysql_error());
echo "</font>";
}
这段代码告诉我们，如果代码正常执行，我们是会收获回显的，所以在这个位置，我们可以使用联合查询。同时，因为代码执行成功与否返回的结果不同，所以这里我们也可以使用布尔型盲注。
print_r(mysql_error());
最后的这行代码，是讲数据库错误打印出来，让我们可以在网页上看到，所以我们在这里也可以使用报错注入。
明白了这些之后，首先我们先观察一下几种注入payload的语法。
联合查询：
union select 执行语句，占位，占位 --
布尔型盲注：
length((database()))>1 --
报错注入：
updatexml(1,concat(0x7e,(执行语句),0x7e),1) --
首先，我们可以看到，这三条语句的后面，都使用到了注释。但是同时我们也清楚，注释是被转义。所以，可以将注释换成 or ' 来闭合语句中原有的单引号，这样我们就不需要用到注释了。
然后，我们还知道网页过滤了空格，所以可以看到，payload里面有两条不使用空格就可以完成，所以我们就可以直接将联合查询排除，选择使用另外两条语句。
因为盲注的步骤相比于报错植入要多的多，所以这里我们使用报错注入。
构造payload:
' || updatexml(1,concat(0x7e,(database()),0x7e),1) oorr '
PS:这里要注意的是，||就是or的意思，为什么前面使用双竖杠，就是因为如果使用双写来绕过对or的过滤的话，那原本应该是||updatexml的语句就会变成orupdatexml，这样会导致代码出错，致使无法执行出我们希望看到的结果，所以之前我们才没有选择使用空格较多的联合查询。
第二十六关，通关。
Less-26a
查看源码。
代码几乎和第二十六关一致，唯一有区别的地方，我已经用红框圈出来了。
首先我们可以第一行被红框圈起来的代码中知道，这里的闭合需要使用括号加单引号。
其次，因为报错信息打印的那一条被注释掉了，所以这里，我们无法使用报错注入获得我们希望获得的数据，所以这里只能使用盲注。
构造payload如下：
1000')||length((database()))>1||('
这里要注意，让id等于11000的原因，是因为我们要让前面的代码出错，不使用复数是因为横杠属于代码过滤内容。
第26a关，通关。
Less-27
27关源码。
第27关的过滤，相比于26关，有额外多了联合查询的关键字union的大小写，以及select的大小写和两个关键字首字母大写的情况。
但是，根据我们之前的分析，因为代码块执行成功与否所返回的代码块不同，我们可以使用布尔型盲注。以及执行失败的代码块中，有打印数据库报错信息的代码，所以我们可以使用报错注入来完成注入。
这里，我们先使用报错注入来进行。
构造payload:
' || updatexml(1,concat(0x7e,(database()),0x7e),1) or '
第27关，通关。
第27a关卡相对于27关，和26a相对于26关一样。
源码如下。
这里，我们只需要使用双引号闭合代码，并且使用盲注就可以了。
第27a，通关。
Less-28
28关的代码格式和前面几关基本一致，区别，在于这个自定义函数的过滤内容。
代码过滤了/*,--,#,空格等，但按照之前的逻辑。既然你过滤了这些东西，那我不使用就完全不影响我的注入了。
但是，根据上面的图片，我们看到打印数据库报错信息的位置被注释掉了。
也就是说，在这个位置，我们没办法直接使用报错注入获取我们希望获取的内容，所以，直接使用盲注构造payload：
1000') || length((database()))>1 ||('
第28关，通关。
因为28a跟28关破关方式几乎一样，代码层的区别只在于注释，而且相比较于28关，注释减少，所以这里就不做演示，按照28关的思路即可成功通关。
Less-29
29关的index页面，基本没有防御，我们可以直接使用单引号闭合，随后直接通过联合查询，盲注，报错注入等方式获取结果。
payload如下：
1' and 1=2 union select 1,2,3 --
1' and 1=2 union select 1,version(),database() --
而29关的login页面，则是基于单引号的参数污染。
payload如下：
id=1&id=-1' union select 1,version(),database() --
Less-30
30关相对于29关，只是闭合从单引号换成了双引号，其他内容完全一致，步骤是完全一致，这里就不过多赘述了。
index页面payload如下：
1" and 1=2 union select 1,version(),database() --
login页面payload如下：
id=1&id=1' and 1=2 union select 1,version(),database() --
第30关，通关。