Justin Clarke Lead Author and Technical Editor Rodrigo Marcos Alvarez Dave Hartley Joseph Hemler Alexander Kornbrust Haroon Meer Gary O’Leary-Steele Alberto Revelli Marco Slaviero Dafydd Stuttard

Chapter 5 Blind SQL Injection Exploitation . . . . . . . . . . . . . . . . . . . . . . . . . 219
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 220
Finding and Confirming Blind SQL Injection . . . . . . . . . . . . . . . . . . . . . . . . . 221
Forcing Generic Errors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 221
Injecting Queries with Side Effects . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 222
Spitting and Balancing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 222
Common Blind SQL Injection Scenarios . . . . . . . . . . . . . . . . . . . . . . . . . 225
Blind SQL Injection Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 225
Inference Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 226
Increasing the Complexity of Inference Techniques . . . . . . . . . . . . . . 230
Alternative Channel Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234
Using Time-Based Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235
Delaying Database Queries . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235
MySQL Delays . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235

---

 
Contents 
xiii
Generic MySQL Binary Search Inference Exploits . . . . . . . . . . . . . . 237
Generic MySQL Bit-by-Bit Inference Exploits . . . . . . . . . . . . . . . . . 237
SQL Server Delays . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 238
Generic SQL Server Binary Search Inference Exploits . . . . . . . . . . . . 240
Generic SQL Server Bit-by-Bit Inference Exploits . . . . . . . . . . . . . . 240
Oracle Delays . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 240
Time-Based Inference Considerations . . . . . . . . . . . . . . . . . . . . . . . . . . . . 241
Using Response-Based Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242
MySQL Response Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242
SQL Server Response Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244
Oracle Response Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246
Returning More Than One Bit of Information . . . . . . . . . . . . . . . . . . . . . 247
Using Alternative Channels . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249
Database Connections . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 250
DNS Exfiltration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 251
E-mail Exfiltration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255
HTTP Exfiltration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 256
Automating Blind SQL Injection Exploitation . . . . . . . . . . . . . . . . . . . . . . . . . 258
Absinthe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258
BSQL Hacker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 260
SQLBrute . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
Sqlninja . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264
Squeeza . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 265
Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267
Solutions Fast Track . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267
Frequently Asked Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 270