从偶然的机会发现一个mysql特性到wooyun waf绕过题
MayIKissYou | 2015-06-19 12:00
最近在测试的时候，偶然的机会发现了一个mysql的特性，
为啥是偶然的机会呢。。。。。
一次测试的过程中我在mysql的console下做了如下的操作：
看出些什么了么？
我当时发现报错的时候例如-+{等符号 报错的时候提示的是''(双引号里没东西)，但是如select后面添加1 a等内容的时候报的是
selecta，select1等等。
想到共性了么，-+{等等内容是能够直接添加到select后面的，知其那那个sql总结的帖子里有，
例如
select-1；
select+1；
select{x 1}；
而select后面直接跟1 a的时候就不可以直接报错了。
再回过头去看那张图的时候发现select后面直接跟.的时候尽然也是提示的''，此时就开始怀疑select后面也应该是能够直接跟.号的。
因此我们现在确定了select.的形式，此时想要做的是怎么闭合这个语句，使得该语句能够正常的执行。
又开始手工能够测试：
测试了多少payload，我也不记得了，最后当输入以下内容的时候，让我小happy了一下：
竟然提示的是
Unknown table '1' in field list
然后我就做了如下的操作：
看到没竟然成功了使用的语句是：
select.``.schema_name from information_schema.schemata;
ps.我只能说运气不错。
就这样证明了select后面直接跟.也是可以的。
---------------------------------------------------------华丽的分割线----------------------------
wooyun waf绕过
这是痛苦的经历，测试的过程中感觉到和往常的waf有点不同，感觉每当我拼凑出来的bypass语句能够执行的时候就出现了bad hacker。
由于我是大晚上12点开始弄得，发现已经有答案了，测试了1个多小时没有结果之后就去看了下write up。
我擦勒竟然完全和自己的做法不在同一频道，完全没想到这位牛使用的方法。
整理下思路吧
1：输入'报错了，一个like的查询语句，试试了初步判断里面没有内容，然后没有回显，而sql报错的时候不是mysql自己的报错，基本不能使用union，和报错注入，考虑时间盲注了。
ps.自己之前一直在和那个union的过滤较劲，关键是没摸出到底是啥规则，好吧今天来的时候小v说不是基于规则的，我擦勒有点累蹦。
2：由于基于时间盲住了因此就会有类似这样的模式：
if(你这样,睡几秒,不睡)
貌似and这种玩意都不能用，于是就直接使用运算符号吧：
http://rile.gou.gg/search?query=1%27>(select[]）
在这里的时候输入各种玩意都返回报错，后来试了下select.貌似成功了。
感觉应该有戏了，反反复复拼凑下得到了如下的payload，哈哈这里我偷懒没有去自己爆数据了直接拿了那位大牛爆出的表名，最终的payload
http://rile.gou.gg/search?query=1%27>(select.``.schema_name from (select.``.schema_name,if(ascii(mid((select * from test.flag),1,1))=102,(benchmark(5000000,sha(1))),1) from information_schema.schemata)x)%23
用lijiejie的脚本改一下，然后直接报flag：
结果少了几位 没爆出来，延时不稳定没= =
ps.好吧 被恶心到了 现在已经困如*了