“百度杯”CTF比赛 九月场SQLi(多种姿势)

上题
进入网站，发现提示
按照提示访问http://91ad046335104584a1cc3f4e3a83513688ef3757714748d4.changame.ichunqiu.com/login.php?id=1
没有什么有用的信息
使用burpsuite抓包看下
同样没有什么有用的信息
用dirsearch扫下敏感目录

访问robots.txt出现nothing here

访问config.php没有得到信息
访问login.php得到error

访问index.php跳转到开始的loading界面
访问index.php/login.php不停地重定向到loading界面
先抓下index.php/login.php的包，因为一直重定向比较可疑

抓包index.php
访问http://XXXX.changame.ichunqiu.com/l0gin.php?id=1
看到php?id=1应该就想到sql注入了吧
我是直接用sqlmap先跑了一下
一般情况下sqlmap是可以帮你跑出来库名，表名，字段名的，
可是这次不行了
看sqlmap跑出的两类注入已经确定是字符型的注入了
然后fuzz测试一下发现遇到逗号会截断，如下图
目标明确：利用时间盲注和布尔盲注构造不用逗号的payload
第一种姿势：布尔盲注

php?id=1'and 1=(SELECT CASE WHEN 
( SUBSTRING( ( SELECT DATABASE()) FROM 1 FOR 1 ) = 's' ) 
THEN 1 ELSE 0 END)#

上代码，爆破库名

import requests
keys = 'qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM0123456789_-.{}[]~'
database = ''

for i in