搜索

[8040] 2014-05-22_安全科普：SQLiLabs指南Part1

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-05-22_安全科普：SQLiLabs指南Part1 安 全 科 普 ： S Q L i   L a b s   指 南   P a r t   1 n o v s e c   F r e e B u f   2 0 1 4 - 0 5 - 2 2 译 者 ： 译 者 ： S Q L   L i b s 一 直 也 没 看 到 有 人 写 过 比 较 完 整 的 指 南 ， 只 有 作 者 在 自 己 的 博 客 上 帖 了 一 些 一 直 也 没 看 到 有 人 写 过 比 较 完 整 的 指 南 ， 只 有 作 者 在 自 己 的 博 客 上 帖 了 一 些 t i p 和 一 些 视 频 ， 偶 然 看 和 一 些 视 频 ， 偶 然 看 到 一 篇 文 章 在 写 这 个 ， 便 拿 过 来 翻 一 下 ， 以 作 参 考 ， 原 文 较 长 ， 分 成 几 个 部 分 。 到 一 篇 文 章 在 写 这 个 ， 便 拿 过 来 翻 一 下 ， 以 作 参 考 ， 原 文 较 长 ， 分 成 几 个 部 分 。 简 介 简 介 结 构 化 查 询 语 言 ， 也 叫 做 S Q L ， 从 根 本 上 说 是 一 种 处 理 数 据 库 的 编 程 语 言 。 对 于 初 学 者 ， 数 据 库 仅 仅 是 在 客 户 端 和 服 务 端 进 行 数 据 存 储 。 S Q L 通 过 结 构 化 查 询 ， 关 系 ， 面 向 对 象 编 程 等 等 来 管 理 数 据 库 。 编 程 极 客 们 总 是 搞 出 许 多 这 样 类 型 的 软 件 ， 像 M y S Q L ， M S   S Q L   , O r a c l e 以 及 P o s t g r e s q l 。 现 在 有 一 些 程 序 能 让 我 们 有 能 力 通 过 结 构 化 查 询 来 管 理 大 型 数 据 库 。 脚 本 小 子 们 一 定 已 经 动 手 体 验 了 类 似 S Q L 注 入 等 这 样 的 操 作 ， 虽 然 他 们 可 能 已 经 通 过 使 用 自 动 化 工 具 例 如 S Q L   M a p 或 者 S Q L N i n j a 来 实 施 攻 击 ， 但 却 还 不 知 它 真 正 的 原 理 。 在 这 篇 简 短 的 教 程 里 ， 我 将 会 尽 力 让 你 对 S Q L   注 入 是 怎 样 工 作 的 ， 攻 击 是 怎 样 发 生 的 以 及 什 么 是 应 用 程 序 S Q L 漏 洞 有 一 个 深 入 的 理 解 。 我 们 将 要 使 用 的 实 验 室 是 S Q L i   L a b s ， 它 是 一 个 可 以 从 h t t p s : / / g i t h u b . c o m / A u d i - 1 / s q l i - l a b s 免 费 下 载 ， 以 便 我 们 研 究 学 习 以 及 编 写 安 全 的 程 序 。 所 以 这 篇 教 程 对 于 程 序 员 和 安 全 测 试 者 都 将 是 一 次 动 手 实 践 的 机 会 。 安 装 安 装 从 h t t p s : / / g i t h u b . c o m / A u d i - 1 / s q l i - l a b s 下 载 源 代 码 将 源 代 码 复 制 到 A p a c h e   w e b r o o t   文 件 夹 （ h t d d o c s ， / v a r / w w w ） 打 开 s q l - c o n n e c t i o n s 文 件 夹 下 的 “ d b - c r e d s . i n c ” 文 件 修 改 m y s q l 用 户 名 和 密 码 为 你 自 己 的 打 开 浏 览 器 ， 通 过 l o c a l h o s t 的 i n d e x . h t m l 访 问 文 件 夹 点 击 s e t u p / r e s e t D B   链 接 在 你 的 m y s q l 中 创 造 数 据 库 开 始 游 戏 ！ 实 验 实 验 第 一 节 ： 第 一 节 ： G E T   –   基 于 错 误 基 于 错 误   –   单 引 号 单 引 号   –   字 符 型 字 符 型 你 会 看 到 “ W e l c o m e   D h a k k a n ” （ 一 个 北 印 度 俚 语 ， 通 常 指 愚 蠢 的 人 ） 。 S Q L I   L a b s 的 编 码 者 一 定 是 一 个 很 幽 默 的 人 。 现 在 我 们 用 数 字 型 注 入 可 以 得 到 一 个 “ i d ” 参 数 。 - >   ? i d = 1 开 火 ！ 任 务 完 成 ！ 我 们 得 到 了 登 陆 名   D u m b   和 密 码   D u m p 。 我 们 在 U R L 上 添 加 了 一 个 参 数 ， 并 让 这 个 参 数 指 向 第 一 条 记 录 。 这 是 便 生 成 了 一 个 从 浏 览 器 到 数 据 库 的 表 中 的 一 个 快 速 的 查 询 ， 从 而 来 获 取 “ i d = 1 ” 的 记 录 。 同 样 ， 你 可 以 构 造 查 询 来 得 到 后 面 的 记 录 如   2 , 3 , 4 … … 。
在 后 端 的 实 际 查 询 如 下 ： S e l e c t   *   f r o m   T A B L E   w h e r e   i d = 1 ; 译 者 注 ： 原 文 这 里 只 是 给 了 简 单 的 用 了 i d = 1 来 正 常 查 询 了 一 条 记 录 ， 根 据 原 程 序 作 者 博 客 的 说 明 ， 这 里 应 该 是 有 一 个 字 符 型 的 单 引 号 注 入 ， 如 下 解 释 ： ) 在 第 一 节 i n d e x . p h p 文 件 的 第 2 9 行 中 ： $ s q l = " S E L E C T   *   F R O M   u s e r s   W H E R E   i d = ' $ i d ' L I M I T   0 , 1 " ; 这 里 的 $ i d 是 被 单 引 号 包 裹 的 。 通 过 如 下 的 注 入 查 询 可 以 验 证 ： i d = 1 ' [ o b j e c t   O b j e c t ] （ 这 样 看 来 ， 原 文 作 者 上 面 给 的 实 际 执 行 的 S Q L 语 句 就 不 对 了 ， 应 为 S e l e c t   *   f r o m   T A B L E   w h e r e   i d = ' 1 ' ; ） 以 下 两 个 注 入 可 以 成 功 执 行 。 '   o r   ' 1 ' = ' 1 '   o r   1 = 1   - - + 后 者 采 用 的 注 释 的 方 法 。 第 二 课 ： 第 二 课 ：   G E T   –   基 于 错 误 基 于 错 误   –   数 字 型 数 字 型 现 在 我 们 尝 试 通 过 类 似 于 输 入 字 符 串 的 方 法 来 攻 击 应 用 程 序 ， 例 如 “ a b c ” 和 “ a b c d ” 。 我 们 注 意 到 在 l e s s o n   2 中 我 们 收 到 了 一 个 从 数 据 库 返 回 的 错 误 。 下 面 我 们 对 数 字 做 一 些 篡 改 ， 将 ' （ 单 引 号 ） 添 加 到 数 字 中 。 我 们 又 得 到 了 一 个 M y s q l 返 回 的 错 误 ， 提 示 我 们 语 法 错 误 。 Y o u   h a v e   a n   e r r o r   i n   y o u r   S Q L   s y n t a x ;   c h e c k   t h e   m a n u a l   t h a t   c o r r e s p o n d s   t o   y o u r   M y S Q L   s e r v e r   v e r s i o n   f o r t h e   r i g h t   s y n t a x   t o   u s e   n e a r   ‘ ’   L I M I T   0 , 1 ′   a t   l i n e   1 现 在 执 行 的 查 询 语 句 如 下 ：
S e l e c t   *   f r o m   T A B L E   w h e r e   i d   =   1 ’   ; 所 以 这 里 的 奇 数 个 单 引 号 破 坏 了 查 询 ， 导 致 抛 出 错 误 。 因 此 我 们 得 出 的 结 果 是 ， 查 询 代 码 使 用 了 整 数 。 S e l e c t   *   f r o m   T A B L E   w h e r e   i d   =   ( s o m e   i n t e g e r   v a l u e ) ; 现 在 ， 从 开 发 者 的 视 角 来 看 ， 为 了 对 这 样 的 错 误 采 取 保 护 措 施 ， 我 们 可 以 注 释 掉 剩 余 的 查 询 ： h t t p : / / l o c a l h o s t / s q l i - l a b s / L e s s - 2 / ? i d = 1 – - 注 意 ： 一 定 要 在 注 释 符 号 后 加 空 格 ， 或 者 U R L 编 码 后 的 空 格 （ % 2 0 ） ， 否 则 注 释 符 号 不 会 产 生 作 用 。 译 者 注 译 者 注 : 这 小 节 中 , 原 作 者 同 样 使 用 了 单 引 号 来 注 入 ， 但 这 并 不 代 表 着 这 个 小 节 ， 是 基 于 字 符 串 的 ， 大 家 可 以 观 察 一 个 单 引 号 注 入 后 的 出 错 信 息 ， ' '   L I M I T   0 , 1 ′   a t   l i n e   1 和 上 面 我 备 注 图 中 的 引 号 个 数 是 不 一 样 的 ， 稍 微 分 析 下 ， 便 可 以 明 白 。 源 代 码 中 3 1 , 3 2 行 为 此 处 的 S Q L 查 询 语 句 。 $ s q l = " S E L E C T   *   F R O M   u s e r s   W H E R E   i d = $ i d   L I M I T   0 , 1 " ; 可 以 成 功 注 入 的 有 ： o r   1 = 1 o r   1 = 1   - - + 第 三 课 ： 基 于 错 误 第 三 课 ： 基 于 错 误 - 单 引 号 变 形 单 引 号 变 形 - 字 符 型 字 符 型 在 这 届 课 中 ， 我 们 将 会 来 学 习 实 施 一 次 基 于 错 误 的 单 引 号 攻 击 。 在 下 面 的 截 图 中 ， 我 们 使 用 ? i d = '
注 入 代 码 后 ， 我 们 得 到 像 这 样 的 一 个 错 误 ： M y S Q L   s e r v e r   v e r s i o n   f o r   t h e   r i g h t   s y n t a x   t o   u s e   n e a r   ” ” )   L I M I T   0 , 1 ′   a t   l i n e   1 这 里 它 意 味 着 ， 开 发 者 使 用 的 查 询 是 ： S e l e c t   l o g i n _ n a m e ,   s e l e c t   p a s s w o r d   f r o m   t a b l e   w h e r e   i d =   ( ‘ o u r   i n p u t   h e r e ’ ) 所 以 我 们 再 用 这 样 的 代 码 来 进 行 注 入 ： ? i d = 1 ′ )   – - + 这 样 一 来 ， 我 们 便 可 以 得 到 用 户 名 和 密 码 了 ， 同 时 后 面 查 询 也 已 经 被 注 释 掉 了 。 译 者 注 ： 译 者 注 ： 源 代 码 中 的 S Q L 查 询 语 句 ， 3 1 行 ： $ s q l = " S E L E C T   *   F R O M   u s e r s   W H E R E   i d = ( ' $ i d ' )   L I M I T   0 , 1 " ; 可 以 成 功 注 入 的 有 ： ' )   o r   ' 1 ' = ( ' 1 ' )   o r   1 = 1   - - + 第 四 课 ： 基 于 错 误 第 四 课 ： 基 于 错 误 - 双 引 号 双 引 号 - 字 符 型 字 符 型 在 这 节 课 中 ， 我 们 将 会 学 习 进 行 一 个 基 于 错 误 的 双 引 号 攻 击 ， 如 下 图 所 示 ：
? i d = 1 " 注 入 这 段 代 码 后 ， 我 们 可 以 看 到 一 个 用 户 名 和 密 码 。 ( 译 者 注 ： 这 里 看 不 到 用 户 名 密 码 ， 反 而 是 出 错 信 息 ， 暂 时 弄 不 清 楚 作 者 为 什 么 出 现 这 个 情 况 ) 现 在 我 们 可 以 尝 试 着 去 下 载 数 据 库 来 检 索 一 些 敏 感 信 息 。 我 们 假 设 一 开 始 数 据 库 中 有 3 列 信 息 。 那 么 我 们 这 里 就 可 以 用 联 合 查 询 命 令 来 下 载 数 据 库 ： ? i d = 1 " )   u n i o n   s e l c e c t   1 , 2 , 3   - - + 现 在 做 一 些 S Q L 的 基 本 操 作 ， 我 们 启 动 m y s q l ， 然 后 通 过 查 询 检 查 下 数 据 库 : s h o w   d a t a b a s e s ; 这 个 实 验 用 到 的 数 据 库 名 为 s e c u r i t y , 所 以 我 们 选 择 s e c u r i t y 来 执 行 命 令 。 u s e   s e c u r i t y ;
我 们 可 以 查 看 下 这 个 数 据 库 中 有 哪 些 表 s h o w   t a b l e s ; 现 在 我 们 可 以 看 到 这 里 有 四 张 表 ， 然 后 我 们 来 看 下 这 张 表 的 结 构 。 d e s c   e m a i l s ;
在 继 续 进 行 前 台 攻 击 时 ， 我 们 想 讨 论 下 系 统 数 据 库 ， 即 i n f o r m a t i o n _ s c h e m a 。 所 以 我 们 使 用 它 u s e   i n f o r m a t i o n _ s c h e m a 让 我 们 来 看 下 表 格 。 s h o w   t a b l e s ; 现 在 我 们 先 来 枚 举 这 张 表 d e s c   t a b l e s ;
现 在 我 们 来 使 用 这 个 查 询 ： s e l e c t   t a b l e _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a   =   " s e c u r i t y " ; 使 用 这 个 查 询 ， 我 们 可 以 下 载 到 表 名 。 我 们 现 在 来 将 这 个 查 询 注 入 到 U R L ， 查 询 变 为 ? i d = 1 ” )   u n i o n   s e l e c t   1 , t a b l e _ n a m e , 3   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = ’ s e c u r i t y ’   - - + 译 者 注 ： 译 者 注 ： s t a r t 这 里 原 文 作 者 可 能 本 意 的 查 询 语 句 是 如 下 这 个 ： ? i d = ” )   u n i o n   s e l e c t   1 , t a b l e _ n a m e , 3   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = ’ s e c u r i t y ’   - - + 现 在 我 们 可 以 从 屏 幕 中 看 到 第 一 个 表 名 e m a i l 。 e n d 另 一 个 方 法 是 将 所 有 表 的 名 字 分 组 然 后 作 为 文 本 把 它 下 载 下 来 。 查 询 如 下 ： ? i d = 1 ' )   u n i o n   s e l e c t   1 , g r o u p _ c o n c a t ( t a b l e _ n a m e ) , 3   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = ’ s e c u r i t y ’   – - +
译 者 注 ： 译 者 注 ： s t a r t 这 里 原 文 作 者 可 能 本 意 的 查 询 语 句 是 如 下 这 个 ： ? i d = ' ' )   u n i o n   s e l e c t   1 , g r o u p _ c o n c a t ( t a b l e _ n a m e ) , 3   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = ’ s e c u r i t y ’   – - + 现 在 我 们 可 以 从 屏 幕 中 看 到 第 一 个 表 名 e m a i l 。 e n d 我 们 可 以 从 结 果 中 看 到 所 有 的 表 。 我 们 合 并 多 个 不 同 的 列 ， 并 下 载 下 来 。 ? i d = 1 ' u n i o n   s e l e c t   1 , g r o u p _ c o n c a t ( u s e r n a m e ) , g r o u p _ c o n c a t ( p a s s w o r d )   f r o m   u s e r s   – - + 译 者 注 ： 译 者 注 ： s t a r t 这 里 原 文 作 者 可 能 本 意 的 查 询 语 句 是 如 下 这 个 ： ? i d = ' u n i o n   s e l e c t   1 , g r o u p _ c o n c a t ( u s e r n a m e ) , g r o u p _ c o n c a t ( p a s s w o r d )   f r o m   u s e r s   – - + e n d 结 果 如 图 所 示 。
译 者 注 ： 译 者 注 ： 上 面 三 个 联 合 查 询 ， i d 后 面 的 符 号 ， 要 根 据 你 所 在 的 那 个 实 验 里 面 ， 根 据 作 者 的 截 图 ， 它 是 在 第 一 个 实 验 里 ， 所 以 是 使 用 的 单 引 号 ， 如 果 是 在 基 于 双 引 号 的 查 询 里 ， 需 要 使 用 双 引 号 。 另 外 三 个 联 合 查 询 作 者 给 的 注 入 语 句 ， i d 后 都 有 一 个 1 ， 这 时 候 是 显 示 不 出 来 你 想 要 的 ， 因 为 这 时 候 注 入 的 查 询 语 句 会 返 回 两 行 ， 而 只 是 显 示 第 一 行 。 源 代 码 中 s q l 查 询 语 句 ， 3 1 , 3 1 行 ： $ i d   =   ' " '   .   $ i d   .   ' " ' ; $ s q l = " S E L E C T   *   F R O M   u s e r s   W H E R E   i d = ( $ i d )   L I M I T   0 , 1 " ; 可 以 成 功 注 入 的 有 ： " ) o r   ( " 1 " ) = ( " 1 " ) o r   1 = 1   - - + [ v i a : i n f o s e c i n s t i t u t e ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理