Less 28

基于错误_GET_过滤UNION/SELECT_单引号_小括号_字符型_盲注*

五颜六色的真好看。

0x01. 判断注入类型

1和1"正常回显，1'报错，单引号字符型。
2'%26%26'1'='1回显为id=1，有小括号。

0x02. 判断过滤与绕过

看着还行：

$id = blacklist($id);
$hint = $id;
function blacklist($id)
{
    $id= preg_replace('/[\/\*]/',"",$id);               //strip out /*
    $id= preg_replace('/[--]/',"",$id);                 //Strip out --.
    $id= preg_replace('/[#]/',"",$id);                  //Strip out #.
    $id= preg_replace('/[ +]/',"",$id);                 //Strip out spaces.
    $id= preg_replace('/[ +]/',"",$id);                 //Strip out spaces.
    $id= preg_replace('/union\s+select/i',"",$id);      //Strip out UNION & SELECT.
    return $id;
}

没有过滤or与and。
过滤了相连的union和select，/i同时匹配大小写，\s匹配任意空白字符如制表符、换行符、空格等，使用%a0可以绕过。
过滤了--、#以及/**/。
过滤了两次空格。
过滤了/但没过滤\。

0x03. 注入过程

这关没有报错回显，可以明注、盲注。

0x03-01. 基于正确注入

同 Less 26，使用%a0代替空格，union%a0select即可绕过过滤。

0x03-02. 基于Bool盲注

同 Less 26，将双写的or去掉即可。

Less 28a

基于错误_GET_过滤所有_单引号_字符型_盲注*

题目给的太简单了，在 Less 28 的基础上还注释掉了很多过滤，这里给了一个比较强的过滤条件：

$id = blacklist($id);
$hint = $id;
function blacklist($id)
{
    $id = preg_replace('/or/i',"",$id);
    $id = preg_replace('/and/i',"",$id);
    $id = preg_replace('/[\/\*]/',"",$id);
    $id = preg_replace('/[--]/',"",$id);
    $id = preg_replace('/[#]/',"",$id);
    $id = preg_replace('/[\/\\\\]/',"",$id);
    $id = preg_replace('/[ +]/',"",$id);
    $id = preg_replace('/[\s]/',"",$id);
    $id = preg_replace('/select/i',"",$id);
    $id = preg_replace('/union/i',"",$id);
    $id = preg_replace('/union\s+select/i',"",$id);
    return $id;
}