sql-lib闖關祕籍之1-10關

以下所有操作建議在虛擬機中進行~

First you shoud have a 文件夾在你電腦上的例如phpstudy的WWW文件夾中

首先進入這裏創建數據庫，after that ，let‘s we go~

不管是第幾關，我們的最終目標是獲得用戶密碼，從而獲取最高權限！

以下的學習過程中如果遇到那裏不會的或者不清楚的地方，歡迎大家留言，我將盡力幫助大家~

第一關

首先我們確定他是什麼類型的注入方式,輸入1=2 --+ 頁面回顯正常，說明不是字符型注入

輸入帶引號的1‘，出現問題，說明可能存在字符型的注入

我們在後面加上--+進行一下閉合，（--+就是註釋符號，註釋了後面的語句），look，回顯正常，說明是單引號字符型注入

接下來用order by 來判斷表有幾列數據，發現他有3列數據（爲4時出錯，爲3時正常）

我們將id改成一個不存在的數字，如“417”。判斷頁面有幾個顯示位，使用聯合查詢語句union select 發現只有兩個顯示位

接下來我們爆破數據庫的數據庫名，表名，列名，字段信息

首先我們獲得有多少個數據庫

查詢我們的數據庫的版本和名字，看來是security

我們接下來查詢security數據庫的表名，發現有四個表分別是emails，referers，uagents，users 很明顯我們最後的目標是users表

接下來我們看看user表中都有哪些列，發現有user和password列（因爲版本不一樣，可能列名不一樣，但是一定會有用戶名和密碼兩列）

我們來獲得用戶名和密碼的字段

0x3a： 0x是十六進制標誌，3a是十進制的58，是ascii中的 ':' ，用以分割pasword和username。

噔噔噔！闖關結束

第二關

發現第二關和第一關的區別在於他不是字符型注入了，是數字型注入了（數字注入的話就沒有1後面的‘號了）

接下來就是獲取表有個顯示位，發現是3個，之後嘞就是獲取數據庫名，表名，列名，字段名，和第一關一模一樣

其實對於第一和第二關還有另外一種解法，嘿嘿

獲得當前數據庫的表名

獲得user表的列名

額，沒有顯示全，我們再使用看看，其他的列名

獲得user和password的字段值

同樣使用not in顯示其他的值

第三關

這一關使用‘）進行閉合這關是基於錯誤的GET單引號變形字符型注入

第四關

這關是基於錯誤的GET雙引號變形字符型注入（但是我試了一下發現單引號其實也是可以的，不知道爲什麼）

第五關

看這關是不是和之前關卡不太一樣嘍，沒有顯示位了，遇到這個情況有三種結果：布爾盲注，報錯型注入，時間延遲注入（就是通過給你顯示延遲表示你輸入的對不對的一種形式）

我們測試一下發現是時間延遲注入，並且還是單引號字符型注入

時間延遲注入算是一種盲注，因爲它沒有回顯的信息

時間延遲型手工注入，正確會延遲，錯誤沒有延遲。id無所謂，不看回顯，可以通過瀏覽器的刷新提示觀察延遲情況，但是id正確的時候的回顯有利於觀察。

我們來看一下數據庫的名字是幾個字符，如果是8個字符，則延遲2秒，發現延遲，則證明是8個字符 ?id=1' and if(報錯型核心部分,sleep(3),1)--+

我們看看第一個字符是什麼，因爲是盲注，所以需要一個一個試，很麻煩，我們知道咱的數據庫的名字，所以從s開始試，一個一個試最終爆破得到left(database(),8)='security'

得到數據庫名字之後我們來獲取表名，爆破到第二張表爲referer，下圖是爆的第一個字母，因爲有點類似盲注，所以特別慢。其他的就沒有截圖

終於在第三張表爆破到user表，名爲users。limit 後面跟的兩個數字是從幾到幾，1，1就是第二張表的意思 2，1就是第三張表的意思最後面那個1是對應的left ，從左數共幾個爲1時，後面我們就放一個字母

爆完表名，爆列名

首先嚐試定向爆破，以提高手工注入速度，修改limit x,1 中的x查詢password是否存在表中，lucky的是limit 3,1的時候查到了password列，同樣的方法查詢username ，又一個lucky，接下來爆破字段的值。

爆完列名，爆字段名爆破到第一個用戶的名字dumb，密碼dumb，需要注意的是，mysql對大小寫不敏感，所以你不知道是Dumb 還是dumb。

這是我們爆的那個數據庫發現確實一樣

有沒有發現這種方法很繁瑣，很累，一直重複試才能試出幾個,所以還有別的方法

布爾型手工注入，正確會回顯，錯誤不回顯

數據庫第一個字符小於t有回顯

數據庫第一個字符大於t無回顯，一點一點嘗試，最終確定的庫名爲security

接下來確定表名，第一個字母得出是r，其他的步驟還是一樣，修改limit x,1和left中的位數限定數字，第一張表是emails，爆破到第二張表爲referer，終於在第四張表爆破到user表，名爲users。

接下來爆列，得出第二列是用戶名，第三列是密碼（雖然我只截圖了兩張，但是裏面的每個字母都是通過二分法，大於小於，這樣的方式測試出來的）

最後一步爆用戶名和密碼（只截圖了第一個用戶名和密碼，並且大小寫不知道）

當然還有第三種方法，嘿嘿 ---->報錯注入 簡單說就是通過反饋的錯誤信息，在反饋信息中顯示出你想知道的信息

首先介紹三種報錯注入常用的語句：
(1). 通過floor報錯
select count(*), concat((select version()), floor(rand()*2))as a from information_schema.tables group by a;
其中payload爲你要插入的SQL語句
需要注意的是該語句將輸出字符長度限制爲64個字符

(2). 通過updatexml報錯
and updatexml(1,payload,1)
同樣該語句對輸出的字符長度也做了限制，其最長輸出32位
並且該語句對payload的反悔類型也做了限制，只有在payload返回的不是xml格式纔會生效

(3). 通過ExtractValue報錯
and extractvalue(1, payload)
輸出字符有長度限制，最長32位。
payload即我們要輸入的sql查詢語句，這裏面的concat是聚合函數，使用聚合函數進行雙注入查詢時，會在錯誤信息中顯示一部分錯誤信息。
下面我們使用floot報錯進行演示。爆數據庫

爆用戶

爆表名

爆列名

第六關

和第五關一樣，不再贅述，只是將1' ----->（換成了）1"

第七關

首先判斷是字符型還是數字型，發現是字符型，並且出現了一個我們從來沒見過的東西use outfile

可能會有很多小白和我一樣，對數據庫file權限和 into outfile這個命令比較陌生，所以在這裏科普一下file權限和into outfile這個函數。
數據庫的file權限規定了數據庫用戶是否有權限向操作系統內寫入和讀取已存在的權限
into outfile命令是filefile系列函數來進行讀取敏感文件或者寫入webshell