又是堆叠注入([SUCTF 2019]EasySQL) - 《学习笔记》

得到题目输入1，返回一个数组

又是堆叠注入([SUCTF 2019]EasySQL) - 图1

不由得让我想起春秋战役里面的堆叠注入

经过尝试(‘),(“)都被过滤了

简单试一试输入，发现有三种回显，分别位’nonono’，空以及返回array

在这里，很多都被返回了nonono，我想应该是被过滤了，但是太多我们都不可能一一尝试，所以跑一下字典

又是堆叠注入([SUCTF 2019]EasySQL) - 图2

很明显，507的应该是被过滤的字符。由于和春秋战役太相似，春秋战役直接给我来了个正则很长。这咋办。

所以我们试试堆叠注入

又是堆叠注入([SUCTF 2019]EasySQL) - 图3

果然返回来了，那无疑是堆叠注入了

但是。接下来有个头疼的地方了，flag这个被过滤了

怎么爆字段。发现有源码：

<?php
    session_start();
    include_once "config.php";
    $post = array();
    $get = array();
    global $MysqlLink;
    //GetPara();
    $MysqlLink = mysqli_connect("localhost",$datauser,$datapass);
    if(!$MysqlLink){
        die("Mysql Connect Error!");
    }
    $selectDB = mysqli_select_db($MysqlLink,$dataName);
    if(!$selectDB){
        die("Choose Database Error!");
    }
    foreach ($_POST as $k=>$v){
        if(!empty($v)&&is_string($v)){
            $post[$k] = trim(addslashes($v));
        }
    }
    foreach ($_GET as $k=>$v){
        }
    }
    //die();
    ?>
<html>
<head>
</head>
<body>
<a> Give me your flag, I will tell you if the flag is right. </ a>
<form action="" method="post">
<input type="text" name="query">
<input type="submit">
</form>
</body>
</html>
<?php
    if(isset($post['query'])){
        $BlackList = "prepare|flag|unhex|xml|drop|create|insert|like|regexp|outfile|readfile|where|from|union|update|delete|if|sleep|extractvalue|updatexml|or|and|&|\"";
        //var_dump(preg_match("/{$BlackList}/is",$post['query']));
        if(preg_match("/{$BlackList}/is",$post['query'])){
            //echo $post['query'];
            die("Nonono.");
        }
        if(strlen($post['query'])>40){
            die("Too long.");
        }
        $sql = "select ".$post['query']."||flag from Flag";
        mysqli_multi_query($MysqlLink,$sql);
        do{
            if($res = mysqli_store_result($MysqlLink)){
                while($row = mysqli_fetch_row($res)){
                    print_r($row);
                }
            }
        }while(@mysqli_next_result($MysqlLink));
    }
    ?>