Web三漏洞学习（其二：sql注入）

靶场：NSSCTF 、云曦历年考核题

二、sql注入

NSSCTF

【SWPUCTF 2021 新生赛】easy_sql

这题虽然之前做过，但为了学习sql，整理一下就再写一次

打开以后是杰哥的界面

注意到html网页标题的名称是  “参数是wllm”

那就传参数值试一试

首先判断注入类型（数字型或字符型）

传1

传2 没有回显

同样的，后面的3456都没有回显

光传abc也没有回显

所以应该是数字型注入

然后判断闭合方式

接下来传1'   （单引号）

出现报错

然后传1"   （双引号）

页面又有回显  

回到报错的 1'页面，分析报错语句

注意看这个位置

这里要记住的是：无论是单引号还是双引号在sql语句中都是成对出现的，包括 （ ） { } 【】各种括号 。

所以上面的报错句应该注意到最后的一个引号，要成对则前面必有一个单引号与它成一对。

也就是说，在这个报错语句中，一对单引号 ' ' 包裹着刚才我们注入的内容：' 1' '

所以这一堆引号就该这么拆：

'   '  1'  ' LIMIT 0,1  '

所以包裹着我们注入的 1' 的就是单引号  ' ' 。也就是说明这题的闭合方式是单引号。

既然如此那加个注释： --+   

目的是把单引号注释掉

发现页面没有报错了，有了回显，这就说明闭合方式判断正确

这里还有一个验证是否存在sql漏洞的方法：

当输入1=1时（条件为真），页面正常显示或有回显

 

当输入1=2时（条件为假），页面未正常显示

 这就说明我们输入的内容数据库是能够执行的，即存在sql注入漏洞

那么接下来就是一系列的爆数据库，直到爆出需要的信息（flag）

正规的讲叫先判断列数

语句是order by

比如现在一列列爆

第一列,有

 第二列有

第三列也有

但是到了第三列就会显示它不认识了

包括后面的第5列也如此

也就是说，这个数据库里的表总的只有三列

既然查出了总列数，接下来就需要联合查询所有列数下的数据，语句 union select

这里要注意：需要把传入参数的值1改为-1

然后开始联合查询

可以看到用户名位于第2列的位置，密码位于第3列的位置 （回显位为2、3位）

接下来可以看看这两列的数据，一列列来，第2列：

有了 ，可以看到是test_db

第3列：

都是test_db ，这当然的，两个都在一个数据库（test_db）里面

爆出来的这个是数据库名

接下来查表名（table_name）

然后出现这么个东东

英语也不太好，翻译一下

ouou  我知道了，我只改了第2列数据库名的位置，忘了后面还有个第3列了

大意了haha

加入第3列

提示返回的信息超过一行

一个解决办法就是使用group_concat把table_name变为一行即可      group_concat(table_name)

得到有两个表的表名

接下来查列名（column_name ）：

对应的把刚刚的表名table_name改为column_name(列名)；

tables改为columns，最后加上刚查到的表名users

执行

select group_concat(column_name) from information_schema.columns where table_schema='test_db' and table_name='users'

得到列名为password

都查出来了，select后面的就全扔掉，看看列名为password的数据列里面有什么，有没有想要的数据（flag）但这里好像出了点问题，爆出来又是yyy(不对，没问题，我查的就是password，而password为yyy刚开始就告诉我了)，所以问题在于没有爆出可用的列名

回去找了一下，应该是上一步爆列名的问题，命令

select group_concat(column_name) from information_schema.columns where table_schema='test_db' and table_name='users'

应该改写为

select group_concat(column_name) from information_schema.columns where table_schema='test_db'

即删去了后面的and tablename='users'

至于为什么要这么改，后面也想清楚了：

如果查列名的语句含有 and table_name='users'   这样就代表我们是查询名为users的表下的所有列名；

而如果删去 and table_name='users'  仅前面的语句就不指定表名而是查询所有表下的所有列名，这样才能把flag列名爆出来  （也就是说其实flag是存在于test_tb表下的，而并不在users表下，如果冒然的将查询列规定为users表下面，只会画蛇添足，还找不到flag）

弄清楚以后重新爆列名，不用多此一举限制查询的范围（删去 and table_name='users'）

发现这次列名就全了，可以看到flag列了。

那么接下来直接爆flag

既然刚刚无意中发现flag不在users表下而是在test_tb表下，那就直接爆test_tb表的flag列即可