2023年中职网络安全——SQL注入测试（PL）解析

SQL注入测试（PL）

任务环境说明：

• 服务器场景：Server2312
• 服务器场景操作系统：未知（关闭链接）

1. 已知靶机存在网站系统，使用Nmap工具扫描靶机端口，并将网站服务的端口号作为Flag（形式：Flag字符串）值提交。
2. 访问网站/admin/pinglun.asp页面，此页面存在SQL注入漏洞，使用排序语句进行列数猜测，将语句作为Flag（形式：URL无空格）值提交。
3. 页面没有返回任何有用信息，尝试使用联合查询进行SQL注入，构建基本查询语句进行SQL注入，将语句作为Flag（形式：语句无空格）值提交。
4. 使用联合查询进行列数猜测，构建常规的联合查询列数猜测语句，将出现在文本框里4个字段的序号作为Flag值（形式：F1.F2.F3.F4）提交。
5. 构建注入语句，查询数据