SQLiGODs 简单实例

概述:
SQLiGODS全名叫SQli Gods Syntax,实质上是一个适用于mysql数据库的concat函数。通过将联合查询注入的繁琐步骤变成网页里的一个可视化div,大大简化了手注帝们联合查询时编码解码的步骤,省时省力。

适用条件:
能够回显的联合查询注入点。

演示过程:

注入点:http://kibi.niye.go.jp/program/detail.php?id=1
首先判断简单判断是否为注入:

1

然后让我们order by 字段数
25个

2

26时出错,跳转到其他页

3

然后我们看在第几列
20

4

然后把第20位改成我们的SQLiGODs 代码。

跳出提示

5

这里随便写什么,也可以理解为谁正在注入,那就是现在的你
然后确认以后还会再弹出一个窗口,看提示,也就是把你的刚刚第20位改成makman,即

6

OK
看,让你选择表呢~

7

8

9

点击读取内容:

10

11

12

13

14

15

16

总结:
集成的代码对存在的回显的联合查询注入还是有很大作用的,不过也只局限于该种方法。其中的内容可通过hex解码获得,如果存在waf的情况需要绕过的可自行修改其中的代码。引用一个例子如:用内联注释来绕过WAF,直接搜索“SELECT”替换成“/*!SELECT*/”即可。

 

以下有还有一个演示视频可供参考。

视频地址:http://v.youku.com/v_show/id_XODEzMjQwMTAw.html

[via@f4ck]