云顶娱乐-www.4008.com-云顶集团【欢迎您】
做最好的网站
你想知道的都在这里,SQL手工注入之二次注入
分类:云顶娱乐

云顶娱乐 1

(本环境是在有后台账号的情况下进行的测试,主要目的是为了理解二次注入的基本方法,在其他环境里不可能一开始知道后台信息,就可以从留言板,发布等页面进行注入,想见留言板二次注入可以看文底的外链文章)

为了更好的解答各位的疑惑请各位用户仔细阅读以下文章,如果有不懂的请看我们的联系方式加群讨论交流。

  最近在学SQL注入,搞得我是头大的很,尤其是在盲注的学习中感觉很难,今天专门搭建了个本地的oa后台来检验盲注中的报错注入效果,闲话少说,具体过程走起;

积分获取说明:

本地搭建环境

首先自己搭建本地的oa系统,压缩包我传在云盘了(点我下载-密码: v5im),我用的是WAMP搭建环境,在www文件下新建OA文件夹,解压上面压缩包所有的文件到OA文件夹下

云顶娱乐 2

解压文件

云顶娱乐 3

解压后的文件夹

然后打开浏览器输入    开始配置基本的信息

云顶娱乐 4

配置后台信息

我这里因为配置过了就不演示,配置过程中要输入mysql的账号和密码,默认是root 密码为空,这个时候点击下一步会出现填写不了企业信息的情况,需要本地打开mysql控制台更改下mysql密码,更改密码教程点我;另外在填写数据库名称的时候要是已经存在咱们mysql中的库才行,我们可以提前添加数据库,并写入一些数据进入;创建数据库和表点我

1.每日签到会送5积分!

后台配置

打开 登录刚刚我们自己配置的管理员后台账号进入管理界面

云顶娱乐 5

进入后台

云顶娱乐 6

点击系统设置

云顶娱乐 7

新建另一个后台账户,为二次注入做准备


2.评论会送1分,每天只计算5条评论的分数,所以,大家不要刷评论,刷多了也不会计算分数,也不会通过审核,严重者直接封号。

OK,正式开搞

首先我们用另一个浏览器打开    ,登录我们刚刚新建的普通账号,点击行政办公中的会议申请,新建一个会议

云顶娱乐 8

点击会议申请随便申请个会议

接下来我们回到另一个浏览器的管理员后台点击行政办公,在会议审批里可以看到子账号提交的申请,看到没问题后点击系统设置回到账户管理,点击abc账户编辑按钮,准备进行注入;

云顶娱乐 9

系统设置里点击账户设置,点击test账户后面的编辑,在姓名栏 abc后面加上 ' 来达到命令注入的效果:

云顶娱乐 10

姓名后加上特殊字符变成注入命令

回到另一个浏览器的普通账户页面,点击会议审核后我们会发现原本的发表意见一栏报错,说明该地方存在注入点,通过报错得知我们语句中多出来 %' 这样的语句,我们需要把后面的分号注释掉,让语句闭合,所以格式应该改成  'abc# ,前面用但单引号和后面的井号闭合语句

云顶娱乐 11

看到报错,调整语句

管理员后台在用户姓名上加上#,我们回到用户后台 发现可以正常回显证明格式正确

云顶娱乐 12

正常回显,开始注入

按照这样的逻辑,我们在管理员后台的用户姓名栏开始相关的注入测试 首先我们通过order by来获取列长 ,最后得到值为1,格式是abc' order by 1# 可以爆值,接下来用 联合查询来查用户名,结果发现正常回想,说明普通注入不能切入,此时我们可以用报错注入来获取相关的值

云顶娱乐 13

联合查询不能爆值出来

在管理员界面进行报错语句查询 abc' and(extractvalue(1,concat(0x7e,(select user()),0x7e))) #  ,可以得到user的账号,同理我们替换user()为database()可以获取到数据库名 sqltest

云顶娱乐 14

获取到账户信息

云顶娱乐 15

获取table列名

云顶娱乐 16

获取段名

云顶娱乐 17

获取最后的值

云顶娱乐 18

中间可以加个符号来区分账号和密码


ok,至此我们已经把二次注入的流程过了一遍了,我们在其他网站一样可以用在用这样的注入方式,不如在购物网站没做好关键敏感词过滤添加商品的时候,论坛发言的时候...等等场景都可以适配;

相关大神的关于二次注入的文章:二次注入 ;二次

3.发表文章:10积分,上限每日:50积分。

4.捐助:可以通过捐助来支持本站,获得积分。

云顶娱乐 ,5.由于发现大量恶意注册,所以,关闭了原有的注册功能,采用QQ和微博登录,希望大家理解,首次登录赠送5积分

6.积分希望大家不要乱用,积分可以升级vip的,后期,会开放vip相关的东西

7.积分价值:10次元币=1毛爷爷

8.申请积分

作者申请:可获取100积分/月

编辑申请:可获取500积分/长期会员

9.积分文章下载:

每轮下载奖励作者的积分:0.5比例分成

关于次元街

次元街动漫网,简称:次元街以动漫资讯、动漫壁纸、动漫音乐、动漫周边产品、cosplay、漫展信息等内容为主打的综合动漫兴趣小站;

目前分为:资讯、cosplay、动漫壁纸、P站推荐、游戏中心、cos教程、漫画教程、动漫下载、表情包、漫展资讯、音乐等版块。

投稿均会次元币奖励,奖励可在用户中心查看,次元币是次元街主要流通货币,还希望大家不要乱花,次元币可以用来下载资源,兑换物品,购买vip,也是主要兑换奖励的主要货币,还请大家好好保管!

同时,次元街同人写作专栏和社团入驻也即将开放,在这里招募 写手和社团,欢迎大家加入!!!

联系我们

如果您有任何版权或其他疑问,或广告合作,请看下面联系方式

微博:次元街

次元街微信公众微信号:ciyuanjie001

电子邮件:55812404@qq.com

次元街动漫群:240914227

关于文章文章审核

编辑审核:编辑会为用户进行编辑修改,完善资源说明等项目后进行发布。

关于审核:审核中的内容会在标题上有所显示相关审核说明。

例如:这个是什么什么[你的文章不符合标,详细请看必看说明进行修改]

“[]”这个中括号内的文字就是审核信息!

如果您的文章出现了一些问题或者bug请及时联系管理员修复。

注意:如果觉得审核过慢,可以选择赞助本站加群后扣群主进行加速审核!

PS:编辑们是很辛苦的,望理解和支持咩~

文章发布文章发布图片简介

注意:所有含有图片的文章,最多为9张图片!图片请自行压缩,否则不予审核

视频发布方法

发布第三方平台视频直接发布下列支持定制即可~

如果不支持的视频请给出下载链接等待编辑审核。

支持的URL示例

_show/id_XMTYzNTgxNTMy.html_MTEwMjM5NDcy.html_pTne6-FBSa1AbtKUQ…html#/song?id=186513资源压制/解压

本文由云顶娱乐发布于云顶娱乐,转载请注明出处:你想知道的都在这里,SQL手工注入之二次注入

上一篇:抖音iPhone6将停产是真的吗 下一篇:没有了
猜你喜欢
热门排行
精彩图文