Sqli-labs less 46

Less-46

从本关开始，我们开始学习order by 相关注入的知识。

本关的sql语句为$sql = "SELECT * FROM users ORDER BY $id";

尝试?sort=1 desc或者asc，显示结果不同，则表明可以注入。（升序or降序排列）

从上述的sql语句中我们可以看出，我们的注入点在order by后面的参数中，而order by不同于的我们在where后的注入点，不能使用union等进行注入。如何进行order by的注入，我们先来了解一下mysql官方select的文档。

Sqli-labs less 46

我们可利用order by后的一些参数进行注入。

首先

（1）、order by 后的数字可以作为一个注入点。也就是构造order by 后的一个语句，让该语句执行结果为一个数，我们尝试

没有报错，但是right换成left都一样，说明数字没有起作用，我们考虑布尔类型。此时我们可以用报错注入和延时注入。

此处可以直接构造 ?sort= 后面的一个参数。此时，我们可以有三种形式，

①直接添加注入语句，?sort=(select ******)

②利用一些函数。例如rand()函数等。?sort=rand(sql语句)

Ps：此处我们可以展示一下rand(ture)和rand(false)的结果是不一样的。

Sqli-labs less 46

③利用and，例如?sort=1 and (加sql语句)。

同时，sql语句可以利用报错注入和延时注入的方式，语句我们可以很灵活的构造。

报错注入例子

Sqli-labs less 46

上述例子，可以看到root@localhost的用户名

接下来我们用rand()进行演示一下，因为上面提到rand(true)和 rand(false)结果是不一样的。

http://127.0.0.1/sqli-labs/Less-46/?sort=rand(ascii(left(database(),1))=115)

Sqli-labs less 46

http://127.0.0.1/sqli-labs/Less-46/?sort=rand(ascii(left(database(),1))=116)

Sqli-labs less 46

从上述两个图的结果，对比rand(ture)和rand(false)的结果，可以看出报错注入是成功的。

延时注入例子

上述两个延时注入的例子可以很明显的看出时间的不同，这里就不贴图了，图片无法展示延时。。。

同时也可以用?sort=1 and 后添加注入语句。这里就不一一演示了。