[SUCTF 2019]EasySQL

首先查看源代码， 没有什么可以利用的

 

题目提示sql注入，但是不知道过滤了什么东西，可以使用fuzz字典来跑一下，字典跑后发现有三种结果

第一种，就是没有任何回显，意思就是没有过滤该关键字

 

 第二种，就是nonono，被过滤的关键字

 

第三种，返回了数据

 

 再仔细查看一下禁用了那些函数

 

 information_schema.tables都被过滤，玩个蛇皮

报错注入，时间盲注，ascii码的函数都被过滤了，一时间不知道如何注入

然后查看了一下自己的葵花宝典

 

 发现有一个堆查询注入还没有使用，于是进行尝试

查看数据库

1;show databases;

 

 查看数据表

1;show tables;

 

于是猜测flag是在flag表中的flag字段中

1;select flag from flag;

 

发现flag被过滤了

到这一步后，完全没有思路，于是查看别人的wp

别人的wp：

这道题目需要我们去对后端语句进行猜测，有点矛盾的地方在于其描述的功能和实际的功能似乎并不相符，通过输入非零数字得到的回显1和输入其余字符得不到回显来判断出内部的查询语句可能存在有||，也就是select 输入的数据||内置的一个列名 from 表名，进一步进行猜测即为select post进去的数据||flag from Flag(含有数据的表名，通过堆叠注入可知)，需要注意的是，此时的||起到的作用是or的作用

解法1

输入的内容为*,1

内置的sql语句为sql="select".sql="select".post[‘query’]."||flag from Flag";

如果$post[‘query’]的数据为*,1，sql语句就变成了select *,1||flag from Flag，也就是select *,1 from Flag，也就是直接查询出了Flag表中的所有内容

解法2

输入的内容为1;set sql_mode=pipes_as_concat;select 1

其中set sql_mode=pipes_as_concat的作用是将||的作用由or变为拼接字符串

本地mysql演示

查询当前数据库的sql_mode

 

 这个sql_mode下使用||异或运算符

select 0 || flag from flag;

 

select 1 || flag from flag;

 

  当设置sql_mode为PIPES_AS_CONCAT时，将”||”视为字符串的连接操作符而非或运算符，这和Oracle数据库是一样的，也和字符串的拼接函数Concat相类似

set sql_mode=PIPES_AS_CONCAT;

 

 select @@sql_mode;

 

select 1 || flag from flag;

 

根据别人的wp知道内置的sql语句为

sql="select".sql="select".post[‘query’]."||flag from Flag";

所以直接构造payload

query=3;set sql_mode=PIPES_AS_CONCAT;select 3

 

附加几种常见的sql_mode值的介绍：

几种常见的mode介绍
ONLY_FULL_GROUP_BY：出现在select语句、HAVING条件和ORDER BY语句中的列，必须是GROUP BY的列或者依赖于GROUP BY列的函数列。

NO_AUTO_VALUE_ON_ZERO：该值影响自增长列的插入。默认设置下，插入0或NULL代表生成下一个自增长值。如果用户希望插入的值为0，而该列又是自增长的，那么这个选项就有用了。

STRICT_TRANS_TABLES：在该模式下，如果一个值不能插入到一个事务表中，则中断当前的操作，对非事务表不做限制

NO_ZERO_IN_DATE：这个模式影响了是否允许日期中的月份和日包含0。如果开启此模式，2016-01-00是不允许的，但是0000-02-01是允许的。它实际的行为受到 strict mode是否开启的影响1。

NO_ZERO_DATE：设置该值，mysql数据库不允许插入零日期。它实际的行为受到 strictmode是否开启的影响2。

ERROR_FOR_DIVISION_BY_ZERO：在INSERT或UPDATE过程中，如果数据被零除，则产生错误而非警告。如果未给出该模式，那么数据被零除时MySQL返回NULL

NO_AUTO_CREATE_USER：禁止GRANT创建密码为空的用户

NO_ENGINE_SUBSTITUTION：如果需要的存储引擎被禁用或未编译，那么抛出错误。不设置此值时，用默认的存储引擎替代，并抛出一个异常

PIPES_AS_CONCAT：将”||”视为字符串的连接操作符而非或运算符，这和Oracle数据库是一样的，也和字符串的拼接函数Concat相类似

ANSI_QUOTES：启用ANSI_QUOTES后，不能用双引号来引用字符串，因为它被解释为识别符