从BUUCTF BabySQli 1 看二次编码与SQL注入的实战结合（附完整解码流程）
从BUUCTF BabySQli 1 看二次编码与SQL注入的实战结合（附完整解码流程）
当你第一次面对CTF题目中那些看似毫无规律的字符串时，是否感到无从下手？特别是在Web安全领域，编码转换常常成为解题的关键突破口。本文将以BUUCTF BabySQli 1为例，带你深入理解如何识别和处理"套娃"编码，并将其转化为有效的SQL注入攻击链。
1. 编码识别：从乱码到可读信息
面对MMZFM422K5HDASKDN5TVU3SKOZRFGQRRMMZFM6KJJBSG6WSYJJWESSCWPJNFQSTVLFLTC3CJIQYGOSTZKJ2VSVZRNRFHOPJ5这样的字符串，有经验的选手会立即想到这可能是某种编码的结果。但如何确定具体是哪种编码呢？
常见编码特征速查表：
| 编码类型 | 特征 | 常用工具 |
|---|---|---|
| Base64 | 包含A-Z,a-z,0-9,+,/,= | CyberChef, 在线解码器 |
| Base32 | 全大写字母和数字2-7，可能包含= | Python base64库 |
| Hex | 仅包含0-9和A-F | 十六进制编辑器 |
| URL编码 | 包含%后跟两位十六进制 | 浏览器自动解码 |
在实际操作中，我通常会采用"排除法"：
- 首先尝试Base64解码 - 如果失败则排除
- 接着尝试Base32解码 - 本例中这一步成功
- 解码后得到的新字符串再次判断编码类型
# Python中的Base32解码示例 import base64 encoded_str = "MMZFM422K5HDASKDN5TVU3SKOZRFGQRRMMZFM6KJJBSG6WSYJJWESSCWPJNFQSTVLFLTC3CJIQYGOSTZKJ2VSVZRNRFHOPJ5" decoded_bytes = base64.b32decode(encoded_str) decoded_str = decoded_bytes.decode('utf-8') print(decoded_str) # 输出：c2VsZWN0ICogZnJvbSB1c2VyIHdoZXJlIHVzZXJuYW1lID0gJyRuYW1lJw==提示：CyberChef工具的"Magic"功能可以自动尝试多种解码方式，但在比赛中手动验证仍是必要的。
2. 解码流程：层层剥开编码外壳
通过Base32解码后，我们得到了另一个编码字符串c2VsZWN0ICogZnJvbSB1c2VyIHdoZXJlIHVzZXJuYW1lID0gJyRuYW1lJw==，这明显是Base64编码的特征（以==结尾）。继续解码：
echo "c2VsZWN0ICogZnJvbSB1c2VyIHdoZXJlIHVzZXJuYW1lID0gJyRuYW1lJw==" | base64 -d # 输出：select * from user where username = '$name'现在，我们获得了关键的SQL查询语句。这个过程展示了典型的"二次编码"手法：
- 原始SQL语句被Base64编码
- Base64结果又被Base32编码
- 最终形成了题目中看到的"套娃"字符串
为什么使用二次编码？
- 增加题目难度，考验选手的编码识别能力
- 模拟现实中开发者可能对敏感信息进行多层加密的场景
- 测试选手的系统性思维，能否想到编码可能不止一层
3. SQL注入分析：从语句理解到漏洞利用
获得原始SQL语句后，我们需要分析其注入点：
select * from user where username = '$name'这是一个典型的字符型SQL注入漏洞，因为用户输入的$name直接被拼接到查询语句中。我们可以通过以下步骤验证：
- 测试输入：
admin'- 如果报错，则确认是字符型注入 - 测试注释：
admin'--- 观察是否能够绕过验证 - 测试联合查询：
admin' union select 1,2,3--
在实际解题过程中，我发现以下关键点：
- 题目过滤了某些关键词，需要尝试绕过
- 通过联合查询可以确定字段数为3
- 用户名为admin，位于第二字段
- 密码字段使用了MD5校验
# 最终注入payload示例 1' union select 1,'admin','e10adc3949ba59abbe56e057f20f883e'--注意：MD5值'e10adc...'对应密码'123456'，这是常用的弱密码，在CTF中经常出现。
4. 完整攻击链构建与实践技巧
将上述步骤串联起来，就形成了完整的解题链条：
编码识别阶段
- 发现隐藏的编码字符串
- 识别编码类型(Base32)
- 进行第一次解码
二次解码阶段
- 识别出Base64编码
- 进行第二次解码
- 获得原始SQL语句
注入分析阶段
- 分析SQL语句结构
- 确定注入点和类型
- 测试过滤规则
漏洞利用阶段
- 构造联合查询
- 确定字段数和关键字段位置
- 绕过MD5校验
实用技巧分享：
- 在Burp Suite中，可以使用Decoder模块快速尝试各种编码
- 对于复杂的编码，可以编写Python脚本自动化测试
- 遇到过滤时，尝试大小写混合、注释符变种等绕过方式
- 常见的MD5值可以预先准备一个字典快速查询
在实际比赛中，时间就是分数。我通常会这样优化解题流程：
# 自动化解码示例 def decode_ctf_string(encoded_str): try: # 尝试Base32解码 stage1 = base64.b32decode(encoded_str).decode('utf-8') # 尝试Base64解码 stage2 = base64.b64decode(stage1).decode('utf-8') return stage2 except: return "解码失败，尝试其他编码方式"这种系统性的解题思路不仅适用于BabySQli这类题目，也能应用到其他涉及编码转换的Web安全挑战中。关键在于培养对编码特征的敏感度，以及建立标准化的分析流程。