BUUCTF EASY SQLI(虚拟用户)

打开题目发现是一个登录框题目 ,按照常理一般UserName都是admin，密码随便弄一个试试

改变一下admin，会出来wrong user；看来账号就是admin了，想着这种题目不可能让我们死去注入吧，应该会有提示，便打开F12看看

发现有个注释的字符串，猜测是base32编码，因为：

base64编码中包含大写字母(A-Z)，小写字母(a-z)，数字0-9以及+ /

base32编码中只有大写字母(A-Z)，数字234567，如果没有189就是base32编码

base16编码也就是16进制，只有大写字母ABCDEF以及数字0-9

base32解码后发现还有一层base64解码，继续 

 发现他提示我们要对user框进行注入来获取密码，先用order by判断一下有几个显示位(记得用单引号闭合前面的引号和用注释符#让后面的引号失效)

这里小写的order by被过滤掉了，可以用ORDER BY或者union select 1，2，3#通过报错信息来判断位数最终是3位，试了一下database()啥的都被过滤掉了，这时想起题目给了源码，打开看一看

 

 发现这里的mysqli_fetch_row函数作用是从查询的结果中取出一行，作为枚举数组返回，如果数组第二个是admin（从0开始算第一位）,并且将上传的password用md5加密后等于取出来的第三位，则输出flag，我想会不会要注入获得表里面的password，加密后才能登陆进去，我试了一下发现我不行太菜了。

 看了一下别的WP，发现这里考的是union select联合注入如果数据库中没有该数据，则会创建一个虚拟用户数据【联合注入添加临时虚拟用户】GXYCTF2019 BabySQli WriteUp__Lxxx_的博客-CSDN博客

既然union select没有过滤，那我们构造payload :1'union select 100,'admin','25d55ad283aa400af464c76d713c07ad'

密码框输入12345678

意思就是根据源码知道账户名在第二位，密码在第三位，说明第一位可能就是序号或者啥的，利用union select联合注入添加临时虚拟账户，第一位序号随你命多少无所谓，账户名为admin(源码里面必须是admin)，密码为25d55ad283aa400af464c76d713c07ad（这是12345678经过md5加密得来的，放到数据库中临时用户），因为源码里面写了要将输入的密码经过md5加密后再去跟第三位进行比较。

密码框输入12345678即可通过md5加密后匹配成功获得flag

知识点：利用union select联合查询，可以在数据库中创建一个临时虚拟用户用来注入登录（既然功能这么强大，那肯定一般会被过滤的啦）