搜索

[19615] 2020-06-11_浅谈Mybatis框架下SQL注入漏洞

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2020-06-11_浅谈Mybatis框架下SQL注入漏洞 浅 谈 M y b a t i s 框 架 下 S Q L 注 入 漏 洞 i 春 秋   2 0 2 0 - 0 6 - 1 1 本 文 是 i 春 秋 论 坛 作 家 「 o f e i 」 表 哥 分 享 的 一 篇 技 术 文 章 ， 关 于 M y b a t i s 框 架 下 S Q L 注 入 漏 洞 的 相 关 内 容 ， 感 兴 趣 的 小 伙 伴 快 来 学 习 吧 。 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 0 1 S Q L 注 入 漏 洞 基 本 原 理 注 入 漏 洞 基 本 原 理 在 常 见 的 W e b 漏 洞 中 ， S Q L 注 入 漏 洞 较 为 常 见 ， 危 害 也 较 大 。 攻 击 者 一 旦 利 用 系 统 中 存 在 的 S Q L 注 入 漏 洞 来 发 起 攻 击 ， 在 条 件 允 许 的 情 况 下 ， 不 仅 可 以 获 取 整 站 数 据 ， 还 可 通 过 进 一 步 的 渗 透 来 获 取 服 务 器 权 限 ， 从 而 进 入 内 网 。 注 入 攻 击 的 本 质 ， 是 把 用 户 输 入 的 数 据 当 做 代 码 执 行 。 这 里 有 两 个 关 键 条 件 ， 第 一 个 是 用 户 能 够 控 制 输 入 ； 第 二 个 是 原 本 程 序 要 执 行 的 代 码 ， 拼 接 了 用 户 输 入 的 数 据 。 接 下 来 说 下 S Q L 注 入 漏 洞 的 原 理 。 举 个 例 子 ： 当 用 户 发 送 G E T 请 求 ： h t t p : / / w w w . x x x . c o m / n e w s . j s p ? i d = 1 这 是 一 个 新 闻 详 情 页 面 ， 会 显 示 出 新 闻 的 t i t l e 和 c o n t e n t ， 程 序 内 部 会 接 收 这 个 i d 参 数 传 递 给 S Q L 语 句 ， S Q L 如 下 ：
S E L E C T   t i t l e , c o n t e n t   F R O M   n e w s   W H E R E   i d   =   1 这 是 S Q L 的 原 义 ， 也 是 程 序 员 想 要 得 到 的 结 果 ， 但 是 如 果 用 户 改 变 了 i d 的 内 容 ， 修 改 成 如 下 ： h t t p : / / w w w . j d . c o m / n e w s . j s p ? i d = 1   a n d   1 = 2   U N I O N   S E L E C T   u s e r n a - m e ,   p a s s w o r d   F R O M   a d m i n 此 时 内 部 程 序 执 行 的 S Q L 语 句 为 ： S E L E C T   t i t l e , c o n t e n t   F R O M   n e w s   W H E R E   i d   =   1   a n d   1 = 2   U N I O N   S E L E C T   u s e r n a m e ,   p a s s w o r d   F R O M   a d m i n 这 条 S Q L 的 原 义 就 会 被 改 变 ， 导 致 将 管 理 员 数 据 表 中 的 用 户 名 显 示 在 页 面 t i t l e 位 置 ， 密 码 显 示 在 页 面 c o n t e n t 位 置 ， 攻 击 成 功 。 0 2 M y b a t i s 框 架 介 绍 框 架 介 绍 M y b a t i s 框 架 架 构 框 架 架 构 M y b a t i s 框 架 架 构 讲 解 ( 架 构 图 如 下 图 所 示 ) ： （ （ 1 ） 加 载 配 置 ： ） 加 载 配 置 ： 配 置 来 源 于 两 个 地 方 ， 一 处 是 配 置 文 件 ， 一 处 是 J a v a 代 码 的 注 解 ， 将 S Q L 的 配 置 信 息 加 载 成 为 一 个 个 M a p p e d S t a t e m e n t 对 象 （ 包 括 了 传 入 参 数 映 射 配 置 、 执 行 的 S Q L 语 句 、 结 果 映 射 配 置 ） ， 存 储 在 内 存 中 。
（ （ 2 ） ） S Q L 解 析 ： 解 析 ： 当 A P I 接 口 层 接 收 到 调 用 请 求 时 ， 会 接 收 到 传 入 S Q L 的 I D 和 传 入 对 象 （ 可 以 是 M a p 、 J a v a B e a n 或 者 基 本 数 据 类 型 ） ， M y b a t i s 会 根 据 S Q L 的 I D 找 到 对 应 的 M a p p e d S t a t e m e n t ， 然 后 根 据 传 入 参 数 对 象 对 M a p p e d S t a t e m e n t 进 行 解 析 ， 解 析 后 可 以 得 到 最 终 要 执 行 的 S Q L 语 句 和 参 数 。 （ （ 3 ） ） S Q L 执 行 ： 执 行 ： 将 最 终 得 到 的 S Q L 和 参 数 拿 到 数 据 库 进 行 执 行 ， 得 到 操 作 数 据 库 的 结 果 。 （ （ 4 ） 结 果 映 射 ： ） 结 果 映 射 ： 将 操 作 数 据 库 的 结 果 按 照 映 射 的 配 置 进 行 转 换 ， 可 以 转 换 成 H a s h M a p 、 J a v a B e a n 或 者 基 本 数 据 类 型 ， 并 将 最 终 结 果 返 回 。 J D B C 预 编 译 模 式 预 编 译 模 式 M y b a t i s 框 架 作 为 一 款 半 自 动 化 的 持 久 层 框 架 ， 其 S Q L 语 句 都 需 要 我 们 自 己 手 动 编 写 ， 此 时 就 需 要 按 照 安 全 编 码 规 范 进 行 开 发 ， 以 防 止 S Q L 注 入 漏 洞 的 产 生 。 针 对 上 一 节 中 所 举 的 例 子 ， 应 用 M y b a t i s 框 架 S Q L 语 句 安 全 写 法 （ 即 J D B C 预 编 译 模 式 ） 可 以 写 为 ： s e l e c t   *   f r o m   n e w s   w h e r e   i d = # { i d } 这 种 写 法 可 以 很 好 地 避 免 S Q L 注 入 漏 洞 的 产 生 。 动 态 拼 接 动 态 拼 接 S Q L 语 句 语 句 如 果 在 开 发 过 程 中 没 有 采 用 J D B C 的 预 编 译 模 式 ， 如 我 们 将 上 述 S Q L 语 句 写 为 ： s e l e c t   *   f r o m   n e w s   w h e r e   i d = $ { i d } 这 种 写 法 就 产 生 了 S Q L 语 句 的 动 态 拼 接 。 因 为 ” $ { x x x } ” 这 样 格 式 的 参 数 会 直 接 参 与 S Q L 语 句 的 编 译 ， 从 而 不 能 避 免 s q l 注 入 攻 击 。 0 3 M y b a t i s 框 架 下 易 产 生 框 架 下 易 产 生 S Q L 注 入 漏 洞 场 景 分 析 注 入 漏 洞 场 景 分 析 在 基 于 M y b a t i s 框 架 的 J a v a 白 盒 代 码 审 计 工 作 中 ， 通 常 将 着 手 点 定 位 在 M y b a t i s 的 配 置 文 件 中 。 通 过 查 看 这 些 与 数 据 库 交 互 的 配 置 文 件 来 确 定 S Q L 语 句 中 是 否 存 在 拼 接 情 况 ， 进 而 确 立 跟 踪 点 。 通 过 总 结 ， M y b a t i s 框 架 下 易 产 生 S Q L 注 入 漏 洞 的 情 况 主 要 分 为 以 下 三 种 ： 模 糊 查 询 模 糊 查 询 l i k e 还 以 第 一 节 中 提 到 的 新 闻 详 情 页 面 为 例 ， 按 照 新 闻 标 题 对 新 闻 进 行 模 糊 查 询 ， 如 果 考 虑 安 全 编 码 规 范 问 题 ， 其 对 应 的 S Q L 语 句 如 下 ：
S e l e c t   *   f r o m   n e w s   w h e r e   t i t l e   l i k e   ‘ % # { t i t l e } % ’ ， 但 由 于 这 样 写 程 序 会 报 错 ， 研 发 人 员 将 S Q L 查 询 语 句 修 改 如 下 ： S e l e c t   *   f r o m   n e w s   w h e r e   t i t l e   l i k e   ‘ % $ { t i t l e } % ’ ， 在 这 种 情 况 下 我 们 发 现 程 序 不 再 报 错 ， 但 是 此 时 产 生 了 S Q L 语 句 拼 接 问 题 ， 如 果 j a v a 代 码 层 面 没 有 对 用 户 输 入 的 内 容 做 处 理 势 必 会 产 生 S Q L 注 入 漏 洞 。 i n 之 后 的 参 数 之 后 的 参 数 在 对 新 闻 进 行 同 条 件 多 值 查 询 的 时 候 ， 如 当 用 户 输 入 1 0 0 1 , 1 0 0 2 , 1 0 0 3 … 1 0 0 N 时 ， 如 果 考 虑 安 全 编 码 规 范 问 题 ， 其 对 应 的 S Q L 语 句 如 下 ： S e l e c t   *   f r o m   n e w s   w h e r e   i d   i n   ( # { i d } ) ， 但 由 于 这 样 写 程 序 会 报 错 ， 研 发 人 员 将 S Q L 查 询 语 句 修 改 如 下 ： S e l e c t   *   f r o m   n e w s   w h e r e   i d   i n   ( $ { i d } ) ， 修 改 S Q L 语 句 之 后 ， 程 序 停 止 报 错 ， 但 是 却 引 入 了 S Q L 语 句 拼 接 的 问 题 ， 如 果 研 发 人 员 没 有 对 用 户 输 入 的 内 容 做 过 滤 ， 势 必 会 产 生 S Q L 注 入 漏 洞 。 o r d e r   b y 之 后 之 后 当 根 据 发 布 时 间 、 点 击 量 等 信 息 对 新 闻 进 行 排 序 的 时 候 ， 如 果 考 虑 安 全 编 码 规 范 问 题 ， 其 对 应 的 S Q L 语 句 如 下 ： S e l e c t   *   f r o m   n e w s   w h e r e   t i t l e   = ‘ i 春 秋 ’   o r d e r   b y   # { t i m e }   a s c ， 但 由 于 发 布 时 间 t i m e 不 是 用 户 输 入 的 参 数 ， 无 法 使 用 预 编 译 。 研 发 人 员 将 S Q L 查 询 语 句 修 改 如 下 ： S e l e c t   *   f r o m   n e w s   w h e r e   t i t l e   = ‘ i 春 秋 ’   o r d e r   b y   $ { t i m e }   a s c ， 修 改 之 后 ， 程 序 通 过 预 编 译 ， 但 是 产 生 了 S Q L 语 句 拼 接 问 题 ， 极 有 可 能 引 发 S Q L 注 入 漏 洞 。 0 4 M y b a t i s 框 架 下 框 架 下 S Q L 注 入 漏 洞 修 复 建 议 注 入 漏 洞 修 复 建 议 模 糊 查 询 模 糊 查 询 l i k e   S Q L 注 入 修 复 建 议 注 入 修 复 建 议 按 照 新 闻 标 题 对 新 闻 进 行 模 糊 查 询 ， 可 将 S Q L 查 询 语 句 设 计 如 下 ： s e l e c t   *   f r o m   n e w s   w h e r e   t i l e   l i k e   c o n c a t ( ‘ % ’ , # { t i t l e } ,   ‘ % ’ ) ， 采 用 预 编 译 机 制 ， 避 免 了 S Q L 语 句 拼 接 的 问 题 ， 从 根 源 上 防 止 了 S Q L 注 入 漏 洞 的 产 生 。
i n 之 后 的 参 数 之 后 的 参 数 S Q L 注 入 修 复 建 议 注 入 修 复 建 议 在 对 新 闻 进 行 同 条 件 多 值 查 询 的 时 候 ， 可 使 用 M y b a t i s 自 带 循 环 指 令 解 决 S Q L 语 句 动 态 拼 接 的 问 题 ： s e l e c t   *   f r o m   n e w s   w h e r e   i d   i n < f o r e a c h   c o l l e c t i o n = ' i d s '   i t e m = ' i t e m '   o p e n = ' ( ' s e p a r a t o r = ' , ' c l o s e = ' ) ' > # { i t e m }   < / f o r e a c h > o r d e r   b y   S Q L 注 入 修 复 建 议 注 入 修 复 建 议 - - 在 在 J a v a 层 面 做 映 射 层 面 做 映 射 预 编 译 机 制 只 能 处 理 查 询 参 数 ， 其 他 地 方 还 需 要 研 发 人 员 根 据 具 体 情 况 来 解 决 。 如 前 面 提 到 的 排 序 情 景 ： S e l e c t   *   f r o m   n e w s w h e r e   t i t l e   = ‘ i 春 秋 ’   o r d e r   b y   # { t i m e }   a s c ， 这 里 t i m e 不 是 查 询 参 数 ， 无 法 使 用 预 编 译 机 制 ， 只 能 这 样 拼 接 ： S e l e c t   *   f r o m   n e w s w h e r e   t i t l e   = ‘ i 春 秋 ’   o r d e r   b y   $ { t i m e }   a s c   。 针 对 这 种 情 况 研 发 人 员 可 以 在 j a v a 层 面 做 映 射 来 进 行 解 决 。 如 当 存 在 发 布 时 间 t i m e 和 点 击 量 c l i c k 两 种 排 序 选 择 时 ， 我 们 可 以 限 制 用 户 只 能 输 入 1 和 2 。 当 用 户 输 入 1 时 ， 我 们 在 代 码 层 面 将 其 映 射 为 t i m e ， 当 用 户 输 入 2 时 ， 将 其 映 射 为 c l i c k 。 而 当 用 户 输 入 1 和 2 之 外 的 其 他 内 容 时 ， 我 们 可 以 将 其 转 换 为 默 认 排 序 选 择 t i m e ( 或 者 c l i c k ) 。 以 上 是 今 天 要 分 享 的 内 容 ， 大 家 看 懂 了 吗 ？ 文 章 素 材 来 源 于 i 春 秋 社 区 新 来 的 朋 友 如 果 想 要 了 解 其 他 的 必 备 技 能 和 实 用 工 具 ， 可 以 点 击 菜 单 栏 中 的 入 门 锦 囊 查 看 相 关 内 容 ： 猜 猜 你 你 喜 喜 欢 欢
文 末 右 下 角 点 个 “ 在 看 在 看 ” 再 走 哦 ~ i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理