sql表名的暴力破解
1.当我们需要了解数据库表的内容时,需要对数据库的一些情况进行猜测,此时可以通过暴力破解的方式进行查看,在pikachu字符型注入输入框输入以下语句,猜测数据库内的表名:
kobe' and exists(select * from aa)#
2.此时可以看到网页显示数据库表名不存在:
3.通过burpsuite拦截数据,通过暴力破解的方式对该请求进行轰炸破解:
4.设置资源池的字典或者简单表名
5.在设置里面添加匹配提示内容
6.从攻击结果可以看到users是我们猜测的表名