摘要
本文基于 DVWA 经典渗透靶场的 SQL Injection (Blind) 模块，完整复现布尔型 SQL 盲注从漏洞探测、长度猜解、逐位字符枚举到结果验证的全流程，结合 Burp Suite 的 Intruder 模块实现自动化批量测试。文章梳理了盲注的核心工作原理，总结了实操过程中的提效技巧与常见踩坑点，同时从开发视角分析了 SQL 盲注的防御方案，记录 Web 安全渗透测试方向的学习心得与技术思考。关键词：SQL 盲注；DVWA 靶场；布尔盲注；Burp Suite；渗透测试
一、实验环境与前置知识
本次实验在 Kali Linux 环境下完成，靶场为 DVWA（Damn Vulnerable Web Application）低安全级别，靶机地址为10.23.3.131，辅助工具为 Burp Suite 社区版，浏览器配置系统代理用于 HTTP 请求拦截。
在学习盲注前，需要先掌握基础 SQL 注入的原理：常规报错注入依靠页面返回的数据库错误信息直接获取数据，而盲注场景下应用屏蔽了所有错误提示和查询结果，攻击者只能通过页面响应的差异推断数据，是实战中更常见的注入场景。
二、SQL 布尔盲注的核心原理
布尔盲注是 SQL 盲注的主流类型之一，其核心逻辑是构造真假两种 SQL 条件，通过页面返回状态的差异判断条件是否成立。
- 当构造的 SQL 条件为真时，页面返回正常的查询结果（存在用户信息）
- 当构造的 SQL 条件为假时，页面返回空结果或异常页面
通过不断构造判断条件，我们可以逐位猜解出数据库名、用户名、表名等敏感数据，本质是一种基于状态的枚举攻击。
三、漏洞探测：确认盲注注入点
3.1 基础字符测试
进入 DVWA 的 SQL Injection (Blind) 页面，功能为输入 User ID 返回对应用户信息。
首先输入正常参数1，页面正常返回 admin 用户信息；再输入1'提交，页面无任何用户信息返回，也无数据库报错；最后输入1''提交，页面恢复正常，返回用户数据。
单双引号的响应差异说明：单引号被带入 SQL 语句执行，破坏了原语句的语法结构，而应用屏蔽了错误回显，初步判断存在盲注漏洞。
3.2 布尔条件验证
通过构造恒真、恒假两种条件，正式确认布尔盲注漏洞。
- 恒假条件 payload：1' and '1'='2
- 恒真条件 payload：1' and '1'='1
提交后页面正常返回 admin 用户信息，说明条件为真时查询正常执行。
一真一假两次测试，页面呈现出明确的状态差异，正式确认该点位存在布尔型 SQL 盲注漏洞。
四、数据猜解实战：获取当前数据库用户名
确认漏洞后，以获取current_user()（当前数据库用户名）为例，完成完整的盲注猜解流程。
4.1 猜解用户名长度
构造判断长度的 SQL 语句，通过替换数字验证用户名长度：
1' and 1=char_length(current_user()) and '1'='1将请求发送至 Burp Suite 的 Intruder 模块，攻击类型选择 Sniper，标记数字位置为注入点；Payload 类型设置为 Numbers，范围 1-15、步长 1；在 Options 中配置 Grep-Match 规则，添加关键词First name，用于快速标记有效响应。
启动攻击后，通过 Grep-Match 的勾选结果可快速定位：当长度值为 6 时，页面正常返回数据，由此得出当前用户名长度为 6 位。
4.2 逐位枚举用户名字符
确定长度后，使用LIKE语法配合通配符%逐位猜解字符，首字符猜解 payload：
1' and current_user LIKE 'a%将首字母位置设为 Payload 点，加载包含 a-z、数字的简单字典，通过 Intruder 批量枚举。
攻击结果显示，当字符为d时页面正常返回，即用户名首字母为 d。重复该流程，依次拼接已确认的字符，逐步验证后续每一位，最终完整猜解出用户名为dvwa@。
4.3 结果验证
构造等值查询语句验证猜解结果：
1' and current_user()='dvwa@%
提交后页面正常返回用户信息，验证结果正确，盲注猜解完成。
五、实操技巧与踩坑总结
- Grep-Match 提效技巧：批量盲注时务必配置匹配关键词，无需逐个查看响应包，直接通过勾选状态定位正确结果，能大幅提升测试效率。
- 通配符干扰问题：
%是 SQL 通配符，可匹配任意内容，因此枚举到%时页面永远返回真，验证结果时需排除通配符的影响。 - 二分法优化：手动猜解长度时，使用二分法替代逐个遍历，能显著减少请求次数，提升手工注入效率。
- 语句闭合优先：盲注第一步必须先验证语句闭合是否正确，否则后续所有猜解结果都会失效。
六、SQL 盲注的防御方案
仅屏蔽错误信息完全无法抵御盲注攻击，有效的防御需要从根源入手：
- 参数化查询：使用预编译的 SQL 语句，完全替代字符串拼接，从根本上杜绝 SQL 注入。
- 严格输入校验：对用户输入执行白名单校验，仅允许合法格式的字符传入。
- 最小权限原则：数据库业务账号仅授予必要权限，禁止跨库查询，降低注入后的危害。
- WAF 防护：部署 Web 应用防火墙，拦截异常的 SQL 注入特征请求。
七、学习心得与总结
本次手工布尔盲注实操，让我对 SQL 注入的理解从 “依赖报错” 进阶到了 “逻辑推断”。看似繁琐的逐位猜解过程，其实蕴含着渗透测试最核心的思路：通过系统的状态差异，逐步缩小范围，最终获取完整信息。
手工盲注是 Web 安全的基础功，它能帮我们吃透漏洞的底层原理，而不是只会复制 Payload、依赖自动化工具。掌握手工注入的逻辑后，再去使用 SQLMap 等自动化工具，就能清晰理解工具的执行流程，也能在工具失效时手动调整注入策略。
Web 安全的学习，从来不是死记硬背漏洞 Payload，而是理解漏洞的成因、掌握测试的方法论。本次实验不仅让我熟练掌握了布尔盲注的全流程操作，更建立了 “从原理到实操、从攻击到防御” 的完整知识体系。后续我会继续深入学习时间盲注、堆叠注入等更多注入场景，不断夯实渗透测试的技术基础。
