基于Pikachu测试平台的SQL注入-盲注

什么是盲注

在有些情况下，后台使用了错误消息屏蔽方法（比如@）屏蔽了报错
此事无法再根据报错信息来进行注入的判断。这种情况下的注入，就是盲注
根据表现形式的不同，盲注又分为based boolean（基于真假）和based time（基于时间）两种类型。

基于boolean的盲注主要表现症状

1.没有报错信息
2.不管是正确的输入，还是错误的输入，都只显示两种情况（我们可以认为是0或1）
3.在正确的输入下，输入and 1=1/and 1=2发现可以判断。

based time 盲注

如果说基于boolean的盲注在页面上还可以看到0or1的回显的话
那么基于time的盲注就啥也看不见了（不管你输啥都是显示同一种回复）
但还有一个条件，就是时间，通过特定的输入，判断后台执行的时间，从而确认注入。
我们把浏览器的控制台打开，点击网络那一项，重新载入连接
然后构造payload：kobe’ and sleep(5)#
sleep会把这个动作暂停5秒钟在执行，我们提交，发现页面上面三个点在一直转