关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位

4 V% i2 `0 b; _4 [
+ j4 L. ^1 }8 e7 }7 [( s0 d
( G9 `1 n, g! C& E; j, U5 p, T下面将以查询mysql数据库当中user()的第一位为例:



ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)
  D8 G5 o; g5 t- ~4 e4 X4 `- F


7 d, o7 r, D: X3 T1 E2 U首先执行如下sql语句:
1 G6 E/ h$ L3 i( `7 C  a- A

( W  F" O8 z- i4 q! }+ `
mysql> select (ascii((substr(user(),1,1))) >> 7)=0;
1 z$ j" \7 a5 z; R' k5 L& N: ]$ }3 I


, Q; f6 h- j. }0 W. e) n我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
2 V/ u4 i# y) H% J% u( a8 ^
- s. ?) s+ G6 t; y, w. E

第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
. V1 \5 h9 n. F7 A

1 k- J6 v1 _$ E5 X5 E0 `
- f; k" M6 k" m5 e8 v, R6 W2 M如果运算结果为1,说明第一位为0,不为1
, i1 l0 ^  _: @/ k  a: H
. T, T5 g% O* B4 a1 e5 a( t2 [
; p( K  p4 S; K6 I4 [  ^8 j/ S
+————————————–+
( O* E0 d8 {$ C$ _) }. G
  K' x4 _* H) r1 Z| (ascii((substr(user(),1,1))) >> 7)=0 |
- ~) t/ U& A. i" D
+————————————–+

| 1 |
& s4 g3 j* |: H
+————————————–+
' I' h$ B$ y+ M3 Z* A
1 row in set (0.00 sec)

/ [4 k( B6 F% S, H# A' r% o! B( _# r这样我们就确定这个8bit的ascii的第一位为0



第二次我们来做6次右偏移来确定前两位

6 A) T1 L! G& y4 Q

前两位可能是01或00,即依然可以与0做比较,

6 T0 u' m- N% T& M; vmysql> select (ascii((substr(user(),1,1))) >> 6)=0;

+————————————–+

/ s6 i+ J1 ?: b/ U| (ascii((substr(user(),1,1))) >> 6)=0 |
( g! S' a3 O$ C5 g8 y3 C
  D- }: H; y1 K. L. N) K  j" N+————————————–+

| 0 |
4 f' y: `9 S1 \& M$ A* h+ }
+————————————–+
# Z: n! D  o9 j8 N9 F6 S% ^
1 row in set (0.00 sec)
# M+ k5 K3 q( Z3 F# V


结果为0,即第二位为1
' Z9 G" z7 a' {( F* K! N' L: T


2 ^* u7 X/ e3 R; W$ ?! l5 @开始猜测前三位为010或011



让我们看看010和011的ascii码是多少
2 |- y5 I1 ^: e6 E: C
. u! E! L8 _: f# i7 k
  z: b8 U/ p: ?, f
1 K! q1 P9 N+ a; w! r分别查询select b’011′ select b’010′

9 G$ m9 i) ^5 z9 T

获得结果 010 = 2 011 = 3


+ K8 S! }3 a4 d! H% m* y1 y
执行如下sql:
( `+ c4 A, Z; Y4 b4 s, _7 w0 i
/ S! Q  n6 K$ I7 ~; X3 |: R# l

& G5 U' d  i( Z6 @0 ymysql> select (ascii((substr(user(),1,1))) >> 5)=2;
% X# y1 L: X2 S# ?7 d
6 r! v) S7 d  @7 P& z! D+————————————–+

2 D6 i2 F, p" D/ A0 J7 k| (ascii((substr(user(),1,1))) >> 5)=2 |
, Q& K1 @% g  O  T. g6 n- _+ l( i
* F5 U7 K" p) x; c4 p- |  U+————————————–+
# u2 P# `; W( t3 w8 q
| 0 |
# r3 k; d6 S, o+ z# x, S4 I0 ~# N# V1 P
+————————————–+
2 i( m" [; f& a; \6 [
# v! h1 g7 k1 }! m即前三位不为010,而是011



直到获得最后一位
+ R1 d; [4 ]2 t" R

+ U6 v; L7 D, F" r' V( V* d. F
最终结果为:01110010



6 T  h' S3 m5 x' s9 L; ]转换一下:


& k; M6 j) j4 f! B+ m; D
select b’01110010′
. \& V3 C) s) @% X
7 e# E! Q3 ^: m: f- C% L% U8 f

查询结果
" y( H  \4 l/ M8 U1 A3 G" `
" k4 W! }6 B8 A+ L* R+ g
0 i$ Q, m2 A, N4 e
+————-+

| b’01110010′ |
" p  r. P* d. p- Y1 g
+————-+

| r |

9 _; K7 l$ K( V  f! c+————-+
& ~8 V, i1 z0 ?- c. U: Y3 Z, z
1 row in set (0.00 sec)
/ p- b4 P* K3 d) Q. K8 t! }- D1 A9 C, x


这样我们就获得了user()的第一位.其它位依此类推
1 G; E& Z7 `2 ?7 l. ?& ?