挖洞经验 | 构造基于时间的盲注漏洞（Time-Based SQLi）

挖洞经验 | 构造基于时间的盲注漏洞（Time-Based SQLi） – 作者:clouds

某天，当我参与某个漏洞众测项目中，偶尔发现之前一个从未见过的子域名网站，因此我决定深入测试一下。该网站主界面是一个登录页面，开放了用户注册功能，所以我就注册了一个账户，最后试出了一个时间盲注来。

在查看该网站过程中，我发现其中还有一个搜索功能，我尝试进行了XSS，但是无效。当时，我根本没想着去测试SQL注入漏洞，因为我觉得开发人员应该部署了完善的过滤措施，不可能存在注入漏洞。但是，其中的点击按钮引起了我的注意，即当你点击其中的引用标题（如引用ID、类型等）后，会出现一些调用异常。

漏洞发现

比如，点击之后，用户当前的URL链接会被跳转到?order=type&ordering=ASC&search=路径下，这里的ASC参数看着好眼熟，其后台数据库的查询语句可能会是这样的：SELECT * FROM referrals ORDER BY type ASC”，我立马用单引号’测试了一下SQL注入问题，即把其中的order=type变成order=type’，之后让我惊讶的是，服务端响应回来了500的报错，看来离SQL注入漏洞接近了！

然后，我想到了基于union的sql注入一次性转储(dump in one shot for union based SQL Injection)，但在我尝试了好一会儿也实现不了联合式查询union select 1,2,3,4,5…18–+-，只能实现order by 18的查询，这虽然能证明SQL注入漏洞的存在，但威胁性还远远不够。得想办法从后台数据库中获取点东西出来。

反复尝试不同Payload之后，我发现在ORDER BY 语句后的UNION SELECT查询是不可行的，因为其后台数据库的查询语句估计是这样的-SELECT * FROM referrals ORDER BY type ASC”，所以union based SQL 类型的注入是不行的。那就试试报错型或基于时间的盲注吧。先是报错型，服务端总是返回一个带500状态的空白页面，没有额外信息，因此排除。最后只剩下基于时间的盲注Time-Based Sql注入了。

在用相关的时间盲注Payload尝试了MySQL, MSSQL, 和PostgreSQL之后都无果，尽管我在我本地虚拟机上测试是有效的，但是在该网站中却连以下最基本的Payload都无效：

sleep(10)–
benchmark(1000000000,md5(1))–
pg_sleep(10)–
; WAITFOR DELAY ‘00:00:10’;–

构造Payload

我想，难道是后面有WAF，之后我又尝试了一遍WAF绕过技巧，无望。难道是其数据库禁用了类似sleep()或benchmark() 的方法函数？能否用其它方式来测试Time-Based Sql注入？

然后我尝试了boolean based blind的Payload-if(1=1,1,(select 1 union select 2))，因为若出现SQL错误，其网站服务端就会返回500报错页面；这里，我猜想，如果这里的1=1则其服务端应该会返回200状态；如果用if(1>2,1,(select 1 union select 2))，则其服务端应该会返回500，这完全是基于查询语句“SELECT * FROM referrals ORDER BY (select 1 union select 2) ASC”的猜想。但结果是=,< 和 >貌似都被拦截了。

我都快要放弃了，此时我又想到了能否从Payload中入手获取一下数据库版本呢？我好像记得，在类似SQL/*!50000 Comments*/这样的范式中，若SQL版本至少为5.00.00时，SQL就会执行其中的Payload。也就是说，如果后台数据库版本至少为5.0.0，那么按照这种方式构造/*!50000someInvalidSQLSyntax*/范式，则其应该返回500的报错；如果其后台数据库版本小于5.0.0，则会返回一个正常页面。

就用Burp Intruder来枚举一下吧，我构造了以下版本精确到小数字的数字Payload：