论坛首页 > 技术文章投稿区 > 技术文章

【学习笔记】注入-全方位利用（下）盲注与宽字节注入

久违的双子座 · 发表于 2020-03-05 19:20:05 · 技术文章

## 这人是谁？
> 我是第八期学员`久违的双子座`这是我的第五个帖子，希望能坚持下去。
这个**【学习笔记】**系列，是学习第七期正式课程后，总结记录的内容，供`提交作业`、`复习查阅`和`分享交流`使用。下面就开始吧！

之前【学习笔记】连接：
- [【学习笔记】第二章 表单验证知识总结](https://bbs.zkaq.cn/Index/s/KruAlRQl "【学习笔记】第二章 表单验证知识总结")
- [【学习笔记】第二章 正则表达式知识总结](https://bbs.zkaq.cn/Index/s/d1LmmU9V "【学习笔记】第二章 正则表达式知识总结")
- [【学习笔记】第三章 信息搜集--渗透测试的灵魂](https://bbs.zkaq.cn/Index/s/XbSytMz0 "【学习笔记】第三章 信息搜集--渗透测试的灵魂")
- [【学习笔记】注入-全方位利用（上）get/post/head注入](https://bbs.zkaq.cn/Index/s/4mdT8bzp "【学习笔记】注入-全方位利用（上）get/post/head注入")

## 一、什么是盲注
###1. 基础概念 
- **定义：**在服务器没有错误回显的时候完成的注入攻击。
- **分类：**
 - 布尔盲注：页面没有报错通知，只能靠返回True或False页面来判断注入是否成功
 - 时间盲注：页面无任何反应，加入sleep()函数，根据页面返回时间判断注入是否成功

### 2.常用函数
![](/upload/md/aee5b4d884a007fcbca33dbdaa841963_86494.png)

###3.易错和难点
> 我相信看这个帖子的人都是有学过相关知识的朋友，听懂可以，但是一上手操作就是各种错误，问题也不知出在哪里。下面就总结下我遇到的易错点

`盲注的核心结构`必须牢记
 - length()：length(database())>2 // 推测数据库名长度大于2，数字长度可以更换，这个结构很简单，多敲几遍即会
 
 - substr(): substr(X,1,1) // X就是费劲千辛万苦找到的字符串，或者是查询语句，查出的结果还是字符串；取第几位，取几位；无论这个结构多长，他都是由三部分组成，记住这个结构，输出的是一个字符。
 
 - ascii(): ascii(substr()） //括号里面的substr就是输出一个字符，你就把他看做字符a就行，看上一行；此函数输出一个字符的ASCII值，我们利用这个数字比大小，就能慢慢猜测出来他的值了，反推回就是某个字符串了。想明白就很简单

`函数套用拼接结构`
 - ascii(substr())>2 // 看懂上边的，这个并不难，只是复杂点在substr里面会套用注入语句。举例如下
 select table_name from information_schema.tables where table_schema=database() limit 0,1//这句就是基础，基础不会就从前面再学！
 substr(X,1,1) // 上面刚讲完
 ascii(x) >100 //上面刚讲完
 ascii(substr(X,1,1))>100 //前2个函数的组合能看懂吗？好的，下一条我在拿“基础”扩展这个X
 ' or ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>100# // 各位只是把第一行代码 放入到了X中，能看明白了吧，下面要做的就是敲熟它。

> 如果是时间盲注的话，就试用下if()和sleep()函数，核心是把页面显示正确或错误（布尔盲注），变为了页面加载时间长短来判断。函数 上面第2点有定义，下面第4点有实际用例。

### 4.使用示例（这是老师上课的例子，看懂第3点，下面的语句只是复杂，但并不是天数了吧）
![](/upload/md/60412b6a3ddc31fca00ea6dca28fb502_39902.png)
![](/upload/md/71a558d77f98d4ecb5adad453fc18e04_43109.png)
![](/upload/md/7024fbd58a41abc8adb81a883de29853_65714.png)

## 二、什么是宽字节注入
### 1.原理
- **何时使用：**有些判断自动给输入的特殊字符前增加\ ，绕过他的方法就是宽字节注入。
- **宽字节注入原理（以下两种说法意思是一致的）**
 - 已知我们的提交数据会被加入\，`\的编码为%5c,我们在前面加上%df后变为了%df%5c,变成一个繁体汉字運，变成了一个有多个字节的字符因为用了gbk编码，绕过了单引号闭合`,逃逸了转义
 - PHP发送请求到mysql时经过一次gbk编码，PHP会将获取到的数据进行魔术引号的处理，因为GBK是双字节编码，所以我们提交的%df这个字符和转译的反斜杠组成了新的汉字，然后数据库处理的时候是根据GBK去处理的，然后单引号就逃逸了出来
- **成立前提：**只要PHP的编码格式和数据库的编码格式不同，特别是字符不同的编码就可能会造成。如PHP utf-8编码 数据库GBK编码
> 知识点补充：GBK全称《汉字内码扩展规范》,gbk是一种多字符编码。他使用了双字节编码方案，因为双字节编码所以gbk编码汉字，占用2个字节。
一个utf-8编码的汉字，占用3个字节。

###2.举例
- id=1%df' union select 1,2,3 -- qwe 为了绕过转义，成功闭合，只是在前面有这一点不同，其余都是以前的知识。

#结尾
## 将点滴记录下来，期待积少成多，化蛹为蝶，量变转化为质变那一刻！

用户名	金币	积分	时间	理由
admin	100.00	0	2020-03-06 09:09:00	支持！

打赏我,让我更有动力~

2 条回复 | 直到 2020-3-21 | 1833 次浏览

alberthao
发表于 2020-3-21

写的真好！加油

评论列表

加载数据中...

编写评论内容

alberthao
发表于 2020-3-20

天书？天数？

评论列表

加载数据中...

编写评论内容

登录后才可发表内容

【学习笔记】注入-全方位利用（下）盲注与宽字节注入

评论列表 默认排序 默认排序 最新回复

评论列表 默认排序 默认排序 最新回复

评论列表

评论列表