搜索

[293] 2019-04-09_A1代码审计之SQL注入

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-16
2019-04-09_A1代码审计之SQL注入 A 1   代 码 审 计 之   S Q L   注 入 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 4 - 0 9 0 x 0 0 ： ： S Q L   注 入 危 害 注 入 危 害 S Q L   注 入 不 像 以 前 那 么 多 了 ， 但 是 依 然 存 在 ， 原 因 一 句 话 总 结 就 是 没 有 对 用 户 输 入 进 行 防 护 ， 造 成   S Q L   解 析 器 不 能 区 分 代 码 和 数 据 。 而 其 危 害 如 下 ： 1 ， 敏 感 信 息 泄 露 ， 例 如 拖 库 等 操 作 。 2 ， 数 据 完 整 性 问 题 ， S Q L   注 入 可 以 对 数 据 库 进 行 恶 意 的 修 改 、 增 加 和 删 除 。 3 ， 权 限 提 升 ， S Q L   注 入 问 题 同 样 可 以 造 成 提 权 的 问 题 。 4 ， 获 取 后 台 的 访 问 权 限 ， 利 用   S Q L M A P   甚 至 可 以 上 传 文 件   g e t s h e l l 。 0 x 0 1 ： ： S Q L   注 入 防 护 注 入 防 护 对 于   S Q L   注 入 的 防 护 ， 列 出 以 下 五 点 ， 建 议 全 部 都 结 合 应 用 ： 1 ， 对 用 户 的 所 有 输 入 进 行   H T M L   编 码 处 理 。 2 ， 运 用 静 态 分 析 工 具 ， 也 就 是 代 码 审 计 。 3 ， 利 用   S Q L   平 台 提 供 的   A P I   进 行 参 数 化 处 理 ， 也 就 是 我 们 常 说 的 参 数 化 查 询 。 4 ， 使 用 存 储 过 程 ， 当 然 这 个 需 要 根 据 情 况 来 定 ， 不 是 说 所 有   S Q L   都 要 进 行 预 存 储 。 5 ， 最 后 一 条 也 是 我 认 为 最 重 要 的 一 条 ， 就 是 向 开 发 人 员 提 供 安 全 编 码 的 实 践 培 训 。 这 里 需 要 注 意 的 是 ， 并 不 是 查 询 不 进 行 结 果 返 回 就 不 存 在   S Q L   注 入 问 题 ， 利 用 返 回 对 错 提 示 来 进 行   S Q L   盲 注 的 也 有 很 多 。 0 x 0 2 ： 参 数 化 查 询 ： 参 数 化 查 询
基 本 我 们 在 写 测 试 报 告 时 ， 修 复 建 议 都 会 写 上 建 议 参 数 化 查 询 ， 也 就 做 语 句 预 处 理 ， 其 可 以 有 效 的 防 止   S Q L   解 析 器 分 不 清 代 码 和 数 据 。 而 其 原 理 可 能 有 些 人 没 有 关 注 过 ， 以   m y s q l   为 例 ， m y s q l   在   5 . 1   后 提 供 了 类 似 于   J D B C   的 预 处 理 参 数 化 查 询 功 能 ， 它 会 先 发 送 一 个   S Q L   模 板 ， 然 后 再 发 送 查 询 的 参 数 ， 类 似 于 填 空 题 ， 不 管 参 数 怎 么 注 入 ， m y s q l   都 知 道 这 个 是 变 量 ， 便 不 会 对 其 进 行 语 义 解 析 ， 从 而 起 到 了 防 注 入 的 效 果 。 j a v a   示 例 如 下 。 J D B C   编 程 中 ， 常 用   S t a t e m e n t 、 P r e p a r e d S t a t e m e n t   和   C a l l a b l e S t a t e m e n t   三 种 方 式 来 执 行 查 询 语 句 ， 其 中   S t a t e m e n t   用 于 通 用 查 询 ， P r e p a r e d S t a t e m e n t   用 于 执 行 参 数 化 查 询 ， 而   C a l l a b l e S t a t e m e n t   用 于 存 储 过 程 。 P r e p a r e d S t a t e m e n t   执 行 语 句 时 ， 参 数 用 ？ 来 代 替 具 体 的 数 据 ， 然 后 执 行 时 会 调 用   s e t x x x x   方 法 来 获 取 具 体 的 数 据 ， s e t x x x x   需 要 与 语 句 中 的 位 置 和 类 型 相 对 应 ， 例 如   1   则 代 表 第 一 个 问 号 的 参 数 ， 字 符 就 需 要 使 用   s e t S t r i n g ， 数 字 就 需 要 使 用   s e t I n t   等 。 0 x 0 3 ： 不 安 全 的 字 符 串 拼 接 ： 不 安 全 的 字 符 串 拼 接 有 时 候 使 用 了 参 数 化 查 询 ， 但 在 根 据 条 件 拼 接   w h e r e   查 询 条 件 等 这 些 操 作 时 ， 拼 接 的   S Q L   语 句 中 也 可 能 会 造 成 一 定 的 风 险 ， 很 多 程 序 都 会 这 么 写 ， 例 如 以 下   j a v a   示 例 ， 通 过   f i r s t n a m e   和   l a s t n a m e   来 搜 索 的 示 例 。 以 上 程 序 虽 然 使 用 了 参 数 化 查 询 ， 但 在 逻 辑 上 存 在 一 定 的 问 题 ， 如 果 用 户 输 入   f i r s t n a m e   或 者   l a s t n a m e   则 程 序 正 常 运 行 没 有 问 题 ， 但 如 果 用 户 都 没 有 输 入 ， 那 么 程 序 就 不 存 在   w h e r e   语 句 ， 查 询 的 结 果 将 会 是 整 个 表 的 内 容 ， 虽 然 算 不 上 是   S Q L   注 入 ， 但 效 果 确 实 一 样 的 。 这 里 需 要 注 意 的 是 ， 有 些 后 台 都 会 有 多 个 查 询 提 交 搜 索 功 能 ， 如 果 都 不 指 定 ， 默 认 查 询 所 有 数 据 ， 这 个 一 般 在 后 台 来 说 是 没 问 题 的 ， 管 理 员 查 询 所 有 内 容 。 如 果 是 个 人 查 询 只 能 查 询 自 己 信 息 时 ， 或 者 是 固 定 的 查 询 程 序 默 认 获 取 用 户 信 息 来 查 ， 然 后 用 户 抓 包 删 除 了 自 己 的 信 息 导 致 查 出 了 所 有 的 数 据 ， 那 么 就 存 在 问 题 。 所 以 在 程 序 方 面 ， 建 议 在 使 用 参 数 化 查 询 的 情 况 下 ， 尽 量 避 免 用 字 符 串 来 构 建   s q l   语 句 ， 尤 其 是 当 字 符 串 拼 接 涉 及 到 W H E R E   从 句 的 某 个 元 素 时 。 但 有 些 功 能 也 需 要 用 到 ， 例 如 用 户 需 要 搜 索 一 个 时 间 段 的 交 易 ， 或 者 是 根 据 姓 名 手 机 号 来 搜 索 等 ， 多 个 查 询 条 件 这 种 情 况 ， 拼 接   W H E R E   时 需 要 使 用   i f   等 条 件 语 句 来 写 一 个 完 善 的 逻 辑 过 程 ， 例 如 以 下   j a v a   示 例 。 S t r i n g   q u e r y   =   " S E L E C T   i d , f i r s t n a m e , l a s t n a m e   F R O M   a u t h o r s   W H E R E   f o r e n a m e   =   ?   a n d   s u r n a m e   =   ? " ; P r e p a r e d S t a t e m e n t   p s t m t   =   c o n n e c t i o n . p r e p a r e S t a t e m e n t ( q u e r y ) ; p s t m t . s e t S t r i n g ( 1 ,   f i r s t n a m e ) ; p s t m t . s e t S t r i n g ( 2 ,   l a s t n a m e ) ; S t r i n g   q u e r y   =   " S E L E C T   i d , f i r s t n a m e , l a s t n a m e   F R O M   a u t h o r s " ; i f   ( f i r s t n a m e   ! =   N U L L   & &   f i r s t n a m e . l e n g t h   ! =   0 ) {         q u e r y   + =   " W H E R E   f o r e n a m e   =   ? ; " } i f   ( l a s t n a m e   ! =   N U L L   & &   l a s t n a m e . l e n g t h   ! =   0 ) {         q u e r y   + =   " W H E R E   S U R N A M E   =   ? ; " } P r e p a r t e d S t a t e m e n t   p s t m t   =   c o n n e c t i o n . P r e p a r e S t a t e m e n t ( q u e r y ) ;
以 上 程 序 虽 然 是 根 据 多 个 条 件 来 进 行 查 询 ， 但 并 没 有 涉 及 到 查 询 条 件 的 拼 接 ， 在 审 计 的 过 程 中 ， 需 要 仔 细 考 虑 各 种 情 况 ， 避 免 遗 漏 从 而 造 成 查 询 出 本 不 该 查 出 的 结 果 。 0 x 0 4 ： ： P H P   S Q L   注 入 注 入 对 于   P H P   程 序 我 们 先 来 看 一 个   S Q L   注 入 最 简 单 的 示 例 ， 代 码 如 下 ： 对 于 现 在 都 用 框 架 的 程 序 ， 这 种 写 法 不 多 见 了 ， 但 底 层 处 理 还 是 要 涉 及 到 拼 接 和 参 数 化 查 询 的 问 题 。 P H P   也 提 供 了 防 止 S Q L   注 入 的 方 法 ， 例 如   a d d s l a s h e s ( )   函 数 、 m y s q l _ r e a l _ e s c a p e _ s t r i n g ( )   函 数 等 ， 需 要 注 意 的 是 这 些 函 数 在 某 些 情 况 下 也 能 导 致 S Q L   注 入 问 题 。 它 们 会 在 一 些 符 号 前 加 上 反 斜 杠 ， 但 仅 仅 只 用 在 被 引 号 括 起 来 的 字 符 串 中 ， 例 如 以 下 示 例 依 然 存 在 注 入 攻 击 。 而 我 们 在   p h p   中 也 有 提 供 参 数 化 查 询 ， 就 是   p d o ， p h p   的   p d o   和   j a v a   的   p r e p a r e S t a t e m e n t   作 用 是 一 样 的 ， 下 面 是 使 用   p h p   p d o 的 示 例 。 S t r i n g   q u e r y ； P r e p a r e d S t a t e m e n t   p s t m t ； i f (   ( f i r s t n a m e   ! =   N U L L   & &   f i r s t n a m e . l e n g t h   ! =   0 )   & &   l a s t n a m e   ! =   N U L L   & &   l a s t n a m e . l e n g t h   ! =   0 ) {         q u e r y   =   " S E L E C T   i d , f i r s t n a m e , l a s t n a m e   F R O M   a u t h o r s   W H E R E   f o r e n a m e   =   ?   a n d   s u r n a m e   =   ? " ;         p s t m t   =   c o n n e c t i o n . p r e p a r e S t a t e m e n t ( q u e r y ) ;         p s t m t . s e t S t r i n g ( 1 ,   f i r s t n a m e ) ;         p s t m t . s e t S t r i n g ( 2 ,   l a s t n a m e ) ; } e l s e   i f ( f i r s t n a m e   ! =   N U L L   & &   f i r s t n a m e . l e n g t h   ! =   0 ) {         q u e r y   =   " S E L E C T   i d , f i r s t n a m e , l a s t n a m e   F R O M   a u t h o r s   W H E R E   f o r e n a m e   =   ? " ;         p s t m t   =   c o n n e c t i o n . p r e p a r e S t a t e m e n t ( q u e r y ) ;         p s t m t . s e t S t r i n g ( 1 ,   f i r s t n a m e ) ; } e l s e   i f ( l a s t n a m e   ! =   N U L L   & &   l a s t n a m e . l e n g t h   ! =   0 ) {         q u e r y   =   " S E L E C T   i d , f i r s t n a m e , l a s t n a m e   F R O M   a u t h o r s   W H E R E   s u r n a m e   =   ? " ;         p s t m t   =   c o n n e c t i o n . p r e p a r e S t a t e m e n t ( q u e r y ) ;         p s t m t . s e t S t r i n g ( 1 ,   l a s t n a m e ) ; } e l s e {         t h r o w   N a m e N o t S p e c i f i e d E x c e p t i o n ( ) ; } < ? p h p         $ u s e r n a m e   =   $ _ G E T [ " u s e r n a m e " ] ;         $ c o n   =   m y s q l _ c o n n e c t ( ' l o c a l h o s t ' , ' r o o t ' , ' r o o t ' ) ;         m y s q l _ s e l e c t _ d b ( " t e s t " ,   $ c o n ) ;         $ s q l   =   " S E L E C T   *   F R O M   u s e r s   W H E R E   u s e r n a m e   =   ' " . $ u s e r n a m e . " ' " ;         $ r e s u l t   =   m y s q l _ q u e r y ( $ s q l ) ; ? > $ i d   =   a d d s l a s h e s (   $ _ G E T [ ' i d ' ]   ) ; $ q u e r y   =   ' S E L E C T   *   F R O M   u s e r s   W H E R E   i d   = '   .   $ i d ;
上 面 的   A T T R _ E M U L A T E _ P R E P A R E S   设 置 为   f a l s e   是 关 闭 本 地 模 拟 ， 其 作 用 在 于 告 诉 数 据 库 我 传 的 编 码 类 型 ， 以 及 数 据 库 传 给 我 时 的 编 码 类 型 ， 这 里   u t f 8 ， 避 免 使 用   g b k   造 成 宽 字 节 注 入 问 题 。 0 x 0 5 ： ： J A V A   S Q L   注 入 注 入 对 于   J A V A   的   S Q L   注 入 ， 这 里 就 不 举 例 了 ， 上 面 的   1 ， 2 ， 3   小 节 就 是 说 的   J A V A   代 码 ， 其 参 数 化 查 询 使 用 p r e p a r e S t a t e m e n t ， P H P   中 是   P D O ， . N E T   是   S q l P a r a m e t e r ， 它 们 三 个 的 作 用 是 一 样 的 ， 都 是 用 来 进 行 参 数 化 查 询 ， 我 们 下 面 来 看 下 .   N E T   的 简 单 示 例 。 0 x 0 6 ： ： . N E T   S Q L   注 入 注 入 我 们 先 来 看 以 下 代 码 示 例 。 上 面 就 是 最 简 单 的 示 例 ， 接 受 参 数 直 接 拼 接 。 而 在 .   n e t   中 可 以 使 用   S q l P a r a m e t e r   来 进 行 参 数 化 查 询 ， 其 示 例 如 下 。 . n e t   中 通 过   @ 符 来 指 定 参 数 。 0 x 0 7 ： 总 结 ： 总 结 总 的 来 说 ， 造 成 注 入 原 因 我 们 很 熟 悉 是 因 为 直 接 拼 接 造 成 的 。 对 于 其 修 复 首 先 建 议 的 就 是 使 用 参 数 化 查 询 ， 但 在 实 际 过 程 中 ， 可 能 因 为 程 序 也 可 能 因 为 开 发 人 员 本 身 ， 总 会 多 多 少 少 涉 及 到 直 接 拼 接 的 情 况 ， 同 时 也 建 议 要 严 格 验 证 输 入 内 容 的 类 型 和 大 小 ， 例 如   i d   查 询 ， 则 建 议 收 到 参 数 时 将 其 再 转 换 为   i n t   型 ， 毕 竟 用 户 的 输 入 永 远 不 可 信 。 现 在 开 发 大 多 用 框 架 ， 审 计 时 可 能 不 会 向 我 们 上 面 的 例 子 那 样 一 目 了 然 ， 但 并 不 代 表 注 入 漏 洞 不 用 测 试 ， 之 前 碰 到 过 很 多 系 统 ， 总 有 几 个 查 询 会 使 用 拼 接 的 方 式 ， 同 时 框 架 并 不 是 就 一 定 的 安 全 ， 框 架 我 们 也 可 以 查 看 版 本 然 后 搜 索 是 否 有 公 开 的 漏 洞 和 问 题 ， 造 成 命 令 执 行 以 及 注 入 等 ， 也 可 以 自 己 审 框 架 ， 查 找   0 d a y ， 总 之 ， 注 入 依 然 不 可 忽 视 。 < ? p h p         d b h   =   n e w   P D O ( " m y s q l : h o s t = l o c a l h o s t ;   d b n a m e = d e m o " ,   " u s e r " ,   " p a s s " ) ;         $ d b h - > s e t A t t r i b u t e ( P D O : : A T T R _ E M U L A T E _ P R E P A R E S ,   f a l s e ) ；         $ d b h - > e x e c ( " s e t   n a m e s   ' u t f 8 ' " ) ;         $ s q l = " s e l e c t   *   f r o m   t e s t   w h e r e   n a m e   =   ?   a n d   p a s s w o r d   =   ? " ;         $ s t m t   =   $ d b h - > p r e p a r e ( $ s q l ) ;         $ e x e r e s   =   $ s t m t - > e x e c u t e ( a r r a y ( $ n a m e ,   $ p a s s ) ) ; S q l D a t a A d a p t e r   t h i s C o m m a n d   =   n e w   S q l D a t a A d a p t e r (         " S E L E C T   *   F R O M   u s e r s   W H E R E   u s e r i d = ' "   +   i d . T e x t   +   " ' " ,   t h i s C o n n e c t i o n ) ; s t r i n g   s t r S Q L = " S E L E C T   *   F R O M   [ u s e r ]   W H E R E   u s e r _ i d = @ i d " ; S q l C o m m a n d   c m d   =   n e w   S q l C o m m a n d ( ) ; c m d . C o m m a n d T e x t   =   s t r S Q L ; c m d . P a r a m e t e r s . A d d ( " @ i d " , S q l D b T y p e . V a r C h a r , 2 0 ) . V a l u e = R e q u e s t [ " i d " ] . T o S t r i n g ( ) ;
欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理