DVWA-SQL Injection (Bind) SQL盲注

盲注同于union select查询注入，盲注只能得到数据库回显的正确和错误，利用返回的正确和错误一个一个判断。

LOW

审计源码

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
    // 获取 id
    $id = $_GET[ 'id' ];
    // 定义存在为 false
    $exists = false;
    // 判断数据库类型
    switch ($_DVWA['SQLI_DB']) {
        // MYSQL数据库
        case MYSQL:
            // 数据库查询
            $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ); // Removed 'or die' to suppress mysql errors
            // 定义存在还是 false
            $exists = false;
            // 判断数据库查询是否有结果
            if ($result !== false) {
                try {
                    // 获取返回结果中的函数
                    $exists = (mysqli_num_rows( $result ) > 0);
                } catch(Exception $e) {
                    // 没有结果定义为 false
                    $exists = false;
                }
            }
            ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
            break;
        case SQLITE:
            global $sqlite_db_connection;

            $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
            try {
                $results = $sqlite_db_connection->query($query);
                $row = $results->fetchArray();
                $exists = $row !== false;
            } catch(Exception $e) {
                $exists = false;
            }

            break;
    }
    // 判断数据库是否查询成功
    if ($exists) {
        // 查询成功
        echo '<pre>User ID exists in the database.</pre>';
    } else {
        // 找不到用户
        header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

        // 插叙失败
        echo '<pre>User ID is MISSING from the database.</pre>';
    }

}

?>

根据查询结果，只返回了查询正确和错误两种结果，对传入的id没有进行过滤，所以可以直接进行注入

通过观察在$id左右加入了'',所以这是一个字符型的注入

SQL盲注非常的繁琐

普通的注入为发现注入点 -> 判断注入类型 -> 获取当前数据库的名 -> 获取当前数据库中表明 -> 获取表中的字段名 -> 获取字段内容

盲注

1.判断注入类型 -> 2.获取当前数据库名：获取当前数据库的长度，获取当前数据库的第一个字符的ascii码值，获取当前数据库的第二个字符的ascii码值........ -> 3.获取当前数据库中的表名: 获取当前数据库中表的数量，获取第一个表名长度，获取第一个表名的第一个字符的ascii码值........ -> 4.获取第一个表中的字段名: 获取第一个表中字段的数量，获取第一个字段的长度，获第一个字段的第一个字符的ascii码值........ -> 5.依次类推

这里的绕过方法为1'#,详细步骤可以到另一篇博客

Less-5 和 Less-6 SQL盲注

这里也可以写一个sql盲注的脚本，后续补出来

Medium

审计源码

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // 获取 id
    $id = $_POST[ 'id' ];
    $exists = false;
    // 判断数据库类型
    switch ($_DVWA['SQLI_DB']) {
        // mysql数据库
        case MYSQL:
            // mysqli_real_escape_string 传入 id 进行实例化
            $id = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $id ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

            // 执行SQL语句
            $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ); // Removed 'or die' to suppress mysql errors

            $exists = false;
            // 判断是否成功执行 SQl 语句
            if ($result !== false) {
                try {
                    // 获取执行 SQL 返回的行数
                    $exists = (mysqli_num_rows( $result ) > 0); // The '@' character suppresses errors
                } catch(Exception $e) {
                    $exists = false;
                }
            }

            break;
        case SQLITE:
            global $sqlite_db_connection;

            $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
            try {
                $results = $sqlite_db_connection->query($query);
                $row = $results->fetchArray();
                $exists = $row !== false;
            } catch(Exception $e) {
                $exists = false;
            }
            break;
    }
    // 判断数据库查询是否返回结果
    if ($exists) {
        // 返回结果
        echo '<pre>User ID exists in the database.</pre>';
    } else {
        // 没有返回结果
        echo '<pre>User ID is MISSING from the database.</pre>';
    }
}

?>

使用POST方式传参id并使用mysqli_real_escape_string进行了实例化操作，但是这题是数字型的SQL注入，所对我们注入没什么影响

不用使用闭合，使用hackbar直接进行传参

payload:Submit=Submit&id=1 and length(database()) > 0 %23

判断当前数据库的长度是否大于 0



可以看到返回正确，这样一步结果就出来了

High

审计源码

<?php

if( isset( $_COOKIE[ 'id' ] ) ) {
    // 获取传入的 id
    $id = $_COOKIE[ 'id' ];
    $exists = false;

    // 判断数据库类型
    switch ($_DVWA['SQLI_DB']) {
        case MYSQL:
            // 进行数据库查询，后面的和Low基本一致
            $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ); // Removed 'or die' to suppress mysql errors

            $exists = false;
            if ($result !== false) {
                // Get results
                try {
                    $exists = (mysqli_num_rows( $result ) > 0); // The '@' character suppresses errors
                } catch(Exception $e) {
                    $exists = false;
                }
            }

            ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
            break;
        case SQLITE:
            global $sqlite_db_connection;

            $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
            try {
                $results = $sqlite_db_connection->query($query);
                $row = $results->fetchArray();
                $exists = $row !== false;
            } catch(Exception $e) {
                $exists = false;
            }

            break;
    }

    if ($exists) {
        // Feedback for end user
        echo '<pre>User ID exists in the database.</pre>';
    }
    else {
        // Might sleep a random amount
        if( rand( 0, 5 ) == 3 ) {
            sleep( rand( 2, 4 ) );
        }

        // User wasn't found, so the page wasn't!
        header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

        // Feedback for end user
        echo '<pre>User ID is MISSING from the database.</pre>';
    }
}

?>

通过观察High的源码，除了获取id的方式和LOW级别不一样，其余都类似

使用1'#依然可以绕过

Impossible

审计源码

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
    // 检查user_token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
    $exists = false;

    // 获取传入的id
    $id = $_GET[ 'id' ];

    // 查看 id 是否为数字
    if(is_numeric( $id )) {
        // 将 id 转换为字符串
        $id = intval ($id);
        // 判断数据库类型
        switch ($_DVWA['SQLI_DB']) {
            // mysql
            case MYSQL:
                // 使用 PDO 方法进行sql查询
                $data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
                $data->bindParam( ':id', $id, PDO::PARAM_INT );
                $data->execute();

                $exists = $data->rowCount();
                break;
            case SQLITE:
                global $sqlite_db_connection;

                $stmt = $sqlite_db_connection->prepare('SELECT COUNT(first_name) AS numrows FROM users WHERE user_id = :id LIMIT 1;' );
                $stmt->bindValue(':id',$id,SQLITE3_INTEGER);
                $result = $stmt->execute();
                $result->finalize();
                if ($result !== false) {
                    // There is no way to get the number of rows returned
                    // This checks the number of columns (not rows) just
                    // as a precaution, but it won't stop someone dumping
                    // multiple rows and viewing them one at a time.

                    $num_columns = $result->numColumns();
                    if ($num_columns == 1) {
                        $row = $result->fetchArray();

                        $numrows = $row[ 'numrows' ];
                        $exists = ($numrows == 1);
                    }
                }
                break;
        }

    }

    // Get results
    if ($exists) {
        // Feedback for end user
        echo '<pre>User ID exists in the database.</pre>';
    } else {
        // User wasn't found, so the page wasn't!
        header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

        // Feedback for end user
        echo '<pre>User ID is MISSING from the database.</pre>';
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

后面大概的我也没有看，首先判断是否为数字，然后类型转换为字符串类型，之后又使用PDO方法方法SQL注入，和普通的SQL注入一样的防御方法