MojoAuto.cgi 盲注漏洞利用脚本技术解析
这段Perl代码是一个针对mojoAuto.cgi组件的经典盲注SQL注入利用脚本。从开发时间线看，它属于早期Web安全研究产物，利用的是CGI参数过滤不严导致的注入点，通过逐字符爆破方式提取管理员密码。下面我们来拆解其核心逻辑与技术要点。
漏洞入口点
脚本运行的先决条件是目标站点存在/mojoAuto.cgi?mojo=1&action=browse&cat_a=... 这个URL模式。从构造的注入语句可以看到，注入点位于cat_a参数，攻击者通过拼接AND (SUBSTRING((SELECT password FROM member LIMIT 0,1),N,1))=CHAR(X)实现布尔盲注。这种注入方式依赖页面响应中的某个特定字符串（本例中是tourterms.pdf）存在与否来判断条件真假。
盲注爆破流程
脚本采用两层循环：外层循环遍历MD5哈希的32个字符位置（$i），内层循环先尝试数字0-9（ASCII 48-57），再尝试小写字母a-z（ASCII 97-122）。对于每个字符，调用istrue2子函数发送HTTP请求并检查返回内容是否包含tourterms.pdf。如果包含，则说明当前猜测的字符正确，立即输出并进入下一个位置。这种设计效率较低（最坏情况需32×36次请求），但在当时是盲注的标准做法。
值得注意的是，内层循环的终止条件写得比较特殊：数字部分从48到57（即字符'0'到'9'），字母部分从97到122（即'a'到'z'），但实际md5哈希还可能包含大写字母（65-90）以及其他字符（如小写字母的'g'之前等）。这意味着该脚本只能正确提取纯数字和小写字母组成的MD5，而标准MD5包含大小写字母和数字，因此这个脚本存在遗漏风险——它实际上只能对付某些特殊场景下只包含小写字母和数字的哈希值（比如某些弱密码生成的MD5确实只有小写字母数字）。
网络请求与袋里支持
脚本通过LWP::UserAgent发送GET请求，并且支持HTTP袋里（通过-p参数指定）。这在渗透测试中很常见，用于绕过IP限制或实现匿名化。袋里设置部分使用了Getopt::Long的%options哈希，但代码中对b选项的处理有逻辑问题——它读取$options{"b"}但从未定义该选项，属于冗余或未完全实现的特性。实际可用参数只有-d（指定cat_a值）和-p（指定袋里）。
输出与用户体验
脚本执行时会在终端实时打印正在爆破的MD5字符，使用syswrite避免换行，形成一行逐渐增长的哈希字符串。完成输出后打印结束标志。这种交互方式虽然简陋，但能让操作者直观看到进度，是早期命令行工具的典型风格。
安全警示
从现代安全视角看，这种直接暴露的SQL注入点早已被WAF和参数化查询所防护。但它的研究价值在于：展示了盲注最朴素的实现方式——逐字符对比、基于布尔响应的数据提取。对于学习Web安全的人来说，理解这个脚本的逻辑是理解SQL注入自动化攻击的基础。
该脚本的局限性也很明显：
- 只能提取第一个用户（
LIMIT 0,1）的密码，且只针对member表。 - 假定密码字段是MD5格式，且哈希值仅包含小写字母和数字。
- 没有并发或异步请求，串行爆破耗时长（32字符×约18次猜测×网络延迟）。
- 硬编码了判断字符串
tourterms.pdf，若目标页面结构不同则完全失效。
总的来说，这段代码是早期渗透测试社区的一个真实样本，技术细节简单但实用性已过时，更适合作为安全研究的历史资料来阅读。
