1.1 登陆位置注入测试

后台登陆系统注入在前些年是非常常见的，我们通常会使用' or '1'='1之类的注入语句来构建一个查询结果永为真的SQL，俗称：万能密码。
示例 - 用户登陆注入代码：

  1. <%@ page contentType="text/html;charset=UTF-8" language="java" %>
  2. <%@ page import="java.sql.Connection" %>
  3. <%@ page import="java.sql.DriverManager" %>
  4. <%@ page import="java.sql.ResultSet" %>
  5. <%@ page import="java.util.HashMap" %>
  6. <%@ page import="java.util.Map" %>
  8. <%
  9. //    MYSQL sys_user示例表，测试时请先创建对应的数据库和表
  10. //
  11. //    CREATE TABLE `sys_user` (
  12. //        `id` int(9) unsigned NOT NULL AUTO_INCREMENT COMMENT '用户ID',
  13. //        `username` varchar(16) NOT NULL COMMENT '用户名',
  14. //        `password` varchar(32) NOT NULL COMMENT '用户密码',
  15. //        `user_avatar` varchar(255) DEFAULT NULL COMMENT '用户头像',
  16. //        `register_time` datetime DEFAULT NULL COMMENT '注册时间',
  17. //        PRIMARY KEY (`id`),
  18. //        UNIQUE KEY `idx_sys_user_username` (`username`) USING BTREE
  19. //    ) ENGINE=InnoDB AUTO_INCREMENT=6 DEFAULT CHARSET=utf8 COMMENT='系统用户表'
  20. //
  21. //    INSERT INTO `sys_user` VALUES ('1', 'admin', '123456', '/res/images/avatar/default.png', '2020-05-05 17:21:27'), ('2', 'test', '123456', '/res/images/avatar/default.png', '2020-05-06 18:27:10'), ('3', 'root', '123456', '/res/images/avatar/default.png', '2020-05-06 18:28:27'), ('4', 'user', '123456', '/res/images/avatar/default.png', '2020-05-06 18:31:34'), ('5', 'rasp', '123456', '/res/images/avatar/default.png', '2020-05-06 18:32:08');
  22. %>
  24. <%
  25.     String sessionKey = "USER_INFO";
  26.     Object sessionUser = session.getAttribute(sessionKey);
  28.     // 退出登陆
  29.     if (sessionUser != null && "exit".equals(request.getParameter("action"))) {
  30.         session.removeAttribute(sessionKey);
  31.         out.println("<script>alert('再见!');location.reload();</script>");
  32.         return;
  33.     }
  35.     Map<String, String> userInfo = null;
  37.     // 检查用户是否已经登陆成功
  38.     if (sessionUser instanceof Map) {
  39.         userInfo = (Map<String, String>) sessionUser;
  40.         out.println("<p>欢迎回来:" + userInfo.get("username") + ",ID:" + userInfo.get("id") + " \r<a href='?action=exit'>退出登陆</a></p>");
  41.         return;
  42.     }
  44.     String username = request.getParameter("username");
  45.     String password = request.getParameter("password");
  47.     // 处理用户登陆逻辑
  48.     if (username != null && password != null) {
  49.         userInfo = new HashMap<String, String>();
  50.         ResultSet  rs         = null;
  51.         Connection connection = null;
  53.         try {
  54.             Class.forName("com.mysql.jdbc.Driver");
  55.             connection = DriverManager.getConnection("jdbc:mysql://localhost:3306/javaweb-bbs", "root", "root");
  57.             String sql = "select id,username,password from sys_user where username = '" + username + "' and password = '" + password + "'";
  58.             System.out.println(sql);
  60.             rs = connection.prepareStatement(sql).executeQuery();
  62.             while (rs.next()) {
  63.                 userInfo.put("id", rs.getString("id"));
  64.                 userInfo.put("username", rs.getString("username"));
  65.                 userInfo.put("password", rs.getString("password"));
  66.             }
  68.             // 检查是否登陆成功
  69.             if (userInfo.size() > 0) {
  70.                 // 设置用户登陆信息
  71.                 session.setAttribute(sessionKey, userInfo);
  73.                 // 跳转到登陆成功页面
  74.                 response.sendRedirect(request.getServletPath());
  75.             } else {
  76.                 out.println("<script>alert('登陆失败，账号或密码错误!');history.back(-1)</script>");
  77.             }
  78.         } catch (Exception e) {
  79.             out.println("<script>alert('登陆失败，服务器异常!');history.back(-1)</script>");
  80.         } finally {
  81.             // 关闭数据库连接
  82.             if (rs != null)
  83.                 rs.close();
  85.             if (connection != null)
  86.                 connection.close();
  87.         }
  89.         return;
  90.     }
  91. %>
  92. <html>
  93. <head>
  94.     <title>Login Test</title>
  95. </head>
  96. <body>
  97. <div style="margin: 30px;">
  98.     <form action="#" method="POST">
  99.         Username:<input type="text" name="username" value="admin"/><br/>
  100.         Password:<input type="text" name="password" value="'=0#"/><br/>
  101.         <input type="submit" value="登陆"/>
  102.     </form>
  103. </div>
  104. </body>
  105. </html>

sys_user表结构如下：

id username password user_avatar register_time
1 admin 123456 /res/images/avatar/default.png 2020-05-05 17:21:27
2 test 123456 /res/images/avatar/default.png 2020-05-06 18:27:10

访问示例中的后台登陆地址：http://localhost:8000/modules/jdbc/login.jsp，如下图：
2. 1. 用户后台系统登陆注入 - 图1
攻击者通过在密码参数处输入：'=0#即可使用SQL注入的方式改变查询逻辑，绕过密码认证并登陆系统，因此用于检测用户账号密码是否存在的SQL语句变成了：select id,username,password from sys_user where username = 'admin' and password = ''=0#'
其中的password的值预期是传入用户密码，但是实际上被攻击者传入了可改变查询逻辑的SQL语句，将运算结果改变为true，从而攻击者可以使用错误的用户及密码登陆系统，如下图：
2. 1. 用户后台系统登陆注入 - 图2
毫无疑问因为攻击者输入的信息足够的短小简洁，但是对于用户网站系统来说却有极强的杀伤性，绝大多数的WAF或者RASP产品都无法精准辨别'=0#的威胁性，无法正确做到精准防御。
万能密码登陆注入原理图解：
2. 1. 用户后台系统登陆注入 - 图3