mysql 时间盲注_SQL基于时间的盲注过程

0x00 前言

由于要使用到基于时间的盲注，但是我觉得基于时间的盲注其实就是基于布尔的盲注的升级版，所以我想顺便把基于布尔的盲注分析总结了；

首先我觉得基于时间的盲注和基于布尔的盲注的最直观的差别就是“参照物”不同，也就是说基于布尔的盲注，其实是可以通过页面的一些变化来进行判断结果！但是有的时候，执行一些sql语句的测试，页面不会有像布尔盲注的时候比较直观的变化，所以这个时候所谓的基于时间的盲注，也就是在基于布尔的盲注上结合if判断和sleep()函数来得到一个时间上的变换延迟的参照，也就可以让我们进行一些判断。

0x01 获取数据库名的长度

-构造的sql语句：1’ and (length(database()))> 5#

-分析：因为and后面的表达式运算的结果是bool，保证and前面的结果为真的前提下，就可以通过后面的表达式返回的bool结果来判断猜测是否正确database()这个函数的作用是获取当前的数据库名，但是我们并不能看到，所以需要通过length()函数去获取这个数据库名字的长度，通过这个长度去和我们指定的一个数比较，那么只要最后的结果为真，那就可以得到数据库名字的长度

0x02 获取数据库名字

-得到数据库名的长度过后，那就可以继续去得到数据库的具体名字，同样也是通过bool结果去判断

-构造的sql语句： 1‘ and (ascii(substr(database(),n,1)))>m #

分析：得到了数据库名字的具体长度，database()可以获得数据库的名字(只是无法看到)，那就可以通过database()函数获得数据库名字过后，再通过substr()函数去处理这个数据库名字字符串substr(database(),n,1)第一个参数是数据库名字，第二个参数是开始截取的字符的位置(从1开始计算)，最后一个参数是截取的字符的长度。由于是想要通过bool去判断这个截取出来的具体字符是什么，所以还需要将截取出来的字符使用ascii()函数将字符转换为ascii编码的数值，然后再通过这个数据去和一个数比较，通过分别改变截取的起始位置和后面对比的数字，最后就可以把具体的数据库名字猜解出来

0x03 获取表的数量

-得到数据库表明过后，接下来就可以去获取我们查找到的数据库的表的数量

-构造的sql语句：1' and (select count(*) from information_schema.tables where table_schem=database())>5#

分析：同样也是通过最后的bool结果的真假来得到表明的数量

select count(*) from information_schema.tables where table_sc