less 23 GET - Error based - strip comments (基于错误的，过滤注释的GET型)

先单引号让他报错

图片.png

图片.png

图片.png

less-24 - Second Degree Injections Real treat -Store Injections (二次注入)

这是一个完整的注册登陆以及改密网站

图片.png

图片.png

图片.png

图片.png

图片.png

发现只有$_SESSION["username"]没有被过滤,这个SQL语句是用来更改密码的，而且mysql_real_escape_string()函数只会过滤以下字符
\x00
\n
\r
\
'
"
\x1a
而注释是不会过滤掉的，我们可以注册一个包含注释符号的username，然后用这个username更改密码的时候会被注入到update语句中，更改注释前面的用户名的密码。

图片.png

图片.png

图片.png

图片.png

可能有人会说注册的时候不是被过滤了单引号吗。
我们admin' -- 变成了admin' -- ,还是正常闭合了，但是存进数据库的时候他依旧是一个单引号。（转义只是暂时在这里使它失去了单引号的作用，但它还是表示单引号）

图片.png

less 25 Trick with OR & AND (过滤了or和and)

单引号报错

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

这道题用union也是可以的。

less 25a Trick with OR & AND Blind （过滤了or和and的盲注）

跟less25一样只不过错误信息被屏蔽了。and和or也被过滤了。而注释没有被过滤

图片.png

图片.png

图片.png

图片.png

less 26 Trick with comments and space (过滤了注释和空格的注入)

通过输入and1,or1,--1,/*1,/1,1,1' ' ' '

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

less 26a GET - Blind Based - All your SPACES and COMMENTS belong to us(过滤了空格和注释的盲注)

图片.png

less 27 GET - Error Based- All your UNION & SELECT belong to us （过滤了union和select的）

id=and1,or1,--1,1' ' ',union1,UnIon1,select1,SeLect1,判断出过滤了注释、select、union和空格，没有过滤and和or，以及可以用大小写绕过。

图片.png

图片.png

less 27a GET - Blind Based- All your UNION & SELECT belong to us

这个跟less 27的区别是不会显示报错语句，还是个双引号闭合方式。所以关键的是去确认他的闭合方式。
id=and1,or1,--1,1' ' ',union1,UnIon1,select1,SeLect1,判断出过滤了注释、select、union和空格，没有过滤and和or，以及可以用大小写绕过。当我们用单引号闭合的时候显示的是正确的

图片.png

图片.png

图片.png

图片.png

图片.png

less 28 GET - Error Based- All your UNION & SELECT belong to us String-Single quote with parenthesis基于错误的，有括号的单引号字符型，过滤了union和select等的注入

id=and1,or1,--1,1' ' ',union1,UnIon1,select1,SeLect1,判断出过滤了注释、select、union和空格，没有过滤and和or，以及可以用大小写绕过。
基本可以确定是('变量')闭合

图片.png

图片.png

les 28a GET - Bind Based- All your UNION & SELECT belong to us String-Single quote with parenthesis基于盲注的，有括号的单引号字符型，过滤了union和select等的注入

id=and1,or1,--1,1' ' ',union1,UnIon1,select1,SeLect1,判断出都没有被过滤。然后就是判断闭合方式。

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

图片.png

Less-29 GET-Error based- IMPIDENCE MISMATCH-Having a WAF in front of web application基于WAF的一个错误

单引号报错发现是单引号闭合,没有过滤注释，空格，引号，unsion，select，and，or

图片.png

图片.png

图片.png

图片.png

图片.png

Less-30 基于错误的GET型双引号字符型注入

图片.png

Less - 31 Protection with WAF用WAF防护

图片.png

图片.png

Less - 32 Bypass addslashes()绕过addslashes

单引号双引号都不会报错 应该是被转义了，用宽字节注入%df'报错

图片.png

图片.png

原理：mysql在使用GBK编码的时候，会认为两个字符为一个汉字，例如%aa%5c就是一个汉字（前一个ascii码大于128才能到汉字的范围）。我们在过滤 ' 的时候，往往利用的思路是将 ' 转换为\' 。
因此我们在此想办法将 ' 前面添加的 \ 除掉，一般有两种思路：1. %df吃掉 \ 具体的原因是urlencode(') = %5c%27，我们在%5c%27前面添加%df，形成%df%5c%27，而上面提到的mysql在GBK编码方式的时候会将两个字节当做一个汉字，此事%df%5c就是一个汉字，%27则作为一个单独的符号在外面，同时也就达到了我们的目的。2. 将 ' 中的 \ 过滤掉，例如可以构造 %**%5c%5c%27的情况，后面的%5c会被前面的%5c给注释掉。这也是bypass的一种方法。

Less - 33 Bypass addslashes()绕过 addslashes()

图片.png

图片.png

图片.png

Less - 34 Bypass Add SLASHES（第34节：绕过添加斜杠）

各种姿势都绕不过去

图片.png

图片.png

Less-35

图片.png

图片.png

图片.png

Less-36

id=1',1",单引号双引号同样被转义了。同样用宽字节注入

图片.png

图片.png

图片.png

图片.png

Less -37

跟less 34一样，只是过滤函数不同

 $uname = mysql_real_escape_string($uname1);  
 $passwd= mysql_real_escape_string($passwd1); 

图片.png

Less-38

单引号报错，发现是单引号闭合，而且不会转义单引号

图片.png

图片.png

图片.png

图片.png

图片.png