construction du stand de tir sqli-labs et installation de l'environnement

Introduction à sqli-labs

Souvent, lorsque les novices apprennent l'injection SQL, ils ne peuvent souvent pas trouver un champ de tir approprié pour les opérations d'entraînement. Et sqli-labs est une plateforme de pratique d'injection SQL professionnelle adaptée aux novices pour pratiquer l'injection. C'est un programme écrit par un programmeur indien et un tutoriel de jeu pour apprendre l'injection SQL. Il contient une variété de gestes d'injection et convient aux scénarios GET et POST, y compris les injections suivantes:

1. Injection basée sur l'erreur (Union Select)
string
integer
2. Injection d'erreur
3. Injection aveugle (basée sur l'injection de type de données Bool, injection basée sur le temps)
4. mysql lire et écrire des fichiers
5. Mettre à jour l'injection de requête (mise à jour)
6. Insérer une requête Insert
7. Injection d'en-tête (basée sur l'injection Referer, l'injection UserAgent, l'injection basée sur les cookies)
8. Injection secondaire
9. Contourner WAF,
contourner la liste noire \ filtre \ stripping \ comment stripping OU & ​​AND dépouiller les espaces et les commentaires
Supprimez UNION et SELECT 10. Contournement de la fonction addlashes ()
11. Contournement de la fonction mysql_real_escape_string () (dans des conditions spéciales)
12. Injection de pile (injection de requête de tas),
etc ...

Télécharger l'adresse de sqli-lab:

https://github.com/Audi-1/sqli-labs

Construction de l'environnement Web:

Avant d'installer le champ de tir, nous devons également créer un environnement d'exécution Web:
ici, nous utilisons directement phpstudy pour construire, phpStudy est un package d'intégration de programme pour l'environnement de débogage PHP. Après l'installation, vous pouvez démarrer l'environnement Web en un seul clic: téléchargez l'adresse
et installez-la après le téléchargement.

Construction du champ de tir sqli-lab:

Décompressez le package compressé sqli-lab téléchargé dans le répertoire racine du site Web phpstudy,


puis modifiez le fichier de configuration de la base de données comme suit:

<?php

//give your mysql connection username n password

$dbuser ='root';

$dbpass ='root';

$dbname ="security";

$host = 'localhost';

$dbname1 = "challenges";
?>

Comme l'adresse de base de données mysql par défaut de phpstudy est "127.0.0.1 ou localhost", le nom d'utilisateur et le mot de passe sont tous deux "root". Le but principal ici est de modifier '$ dbpass' en root, c'est-à-dire votre propre mot de passe de base de données. La valeur par défaut est root. Après modification, vous devez naturellement sauvegarder le fichier. Inutile de dire que je pense que tout le monde peut le savoir.

Ensuite, ouvrez le navigateur "http://127.0.0.1/sqli-labs-master/" pour visiter la page d'accueil et

cliquez sur "Configurer / réinitialiser la base de données" pour créer automatiquement une base de données, créer une table et remplir les données.

Après une installation réussie, il y a 75 pièces.
De cette façon, vous pouvez mieux comprendre les vulnérabilités de l'injection SQL et les dangers de l'injection SQL grâce à la pratique dans le champ de tir.