《Web安全基础》03. SQL 注入

阅读原文时间：2023年08月29日阅读：6

1：简要 SQL 注入
2：MySQL 注入
3：注入方法
4：WAF 绕过
- 4.1：WAF 简介
- 4.2：绕过方法
5：其他数据库注入

本系列侧重方法论，各工具只是实现目标的载体。

命令与工具只做简单介绍，其使用另见《安全工具录》。

靶场使用 SQLi-Labs。详情参见《WriteUp：SQLi-Labs》

1：简要 SQL 注入

SQL 注入非常复杂，区分各种数据库类型，提交方法，数据类型等注入。此类漏洞是 WEB 安全中严重的漏洞，学习如何利用，挖掘，修复也很重要。

SQL 注入就是在数据交互中，前端数据传到后台时没有做严格的判断，导致传进来的数据被拼接到 sql 语句中，被当作 sql 语句的一部分进行执行，从而导致数据泄露、丢失甚至服务器瘫痪。

常见的 sql 注入产生原因：

转义字符处理不合适
不安全的数据库配置
不合理的查询集处理
不当的错误处理
多个提交处理不当

注入判断：

1、逻辑值
and 1 = 1        页面正常
and 1 = 2        页面异常
则可能存在注入点

2、order by
通过 order by 判断注入的字段数

2：MySQL 注入

SQL 注入思路都差不多，这里主要以 MySQL 为例。

数据库版本：version()
数据库名字：database()
数据库用户：user()
操作系统：@@version_compile_os

在 mysql5.0 以上版本存在 information_schema 数据库，记录着所有的数据库，表名，列名。

information_schema.tables     # 记录所有的表名
information_schema.columns    # 记录所有的列名
table_name                    # 表名
column_name                   # 列名
table_schema                  # 数据库名

本节示例见 SQLi-Labs Less-1。

常见的数据库与用户的对应关系：

数据库用户A - 数据库A - 网站A --> 表名 --> 列名 --> 数据
数据库用户B - 数据库B - 网站B --> 表名 --> 列名 --> 数据
数据库用户C - 数据库C - 网站C --> 表名 --> 列名 --> 数据

这样做的好处是一个用户对应一个库，网站之间的用户权限与数据互不干扰

这是最基础的数据库模型，现在大网站都是分布式数据库。

跨库查询的前提条件是必须高权限的用户才能执行跨库查询。

跨库攻击，以 Less-2 示例：

# 获取所有数据库名：
http://127.0.0.1:8080/sqlilabs/Less-2/?id=-1 union select 1,group_concat(schema_name),3 from information_schema.schemata

# 获取指定 qqyw 数据库名下的表名信息：
union select 1,group_concat(table_name),3 from information_schema.tables where table_schema='qqyw'

获取指定 qqyw 下的表名 admin 下的列名信息：
union select 1,group_concat(column_name),3 from information_schema.columns where table_name='admin' and table_schema='qqyw'

获取指定 qqyw 下的 admin 数据
union select 1,u,p,4 from qqyw.admin

获取的数据库权限会影响下一步测试思路。

高权限直接测试。

低权限就一步一步获取数据。

文件读写操作：

load_file()：文件读取函数
into outfile 或 into dumpfile：文件写入、导出

获取路径的常见方法：报错显示、遗留文件、漏洞报错、平台配置文件、爆破等。

MySQL 查询是否有写入权限：

show global variables like '%secure_file_priv%';

读取本地文件示例：

http://127.0.0.1:8888/Less-2/?id=-1 union select 1,load_file('E:\\Software\\PhpStudy\\phpstudy_pro\\WWW\\sqli-labs-master\\sql-connections\\db-creds.inc'),3

本地文件写入示例：

http://127.0.0.1:8888/Less-2/?id=-1 union select 1, 'test' ,3 into outfile 'E:\\test.txt' --+

魔术引号：magic_quotes_gpc

当 magic_quotes_gpc = On 时，输入数据中含单引号（’）、双引号（”）、反斜线（\）与 NULL（NULL 字符）等字符，都会加上转义符号（\）。

自定义防护：例如 PHP 中的判断输入是否是 int 型数据：is_int() 函数，这种就无法绕过。

3：注入方法

具体示例见 SQLi-Labs。

在真实 SQL 注入安全测试中，一定要明确提交数据类型及提交方法后再进行注入。

明确参数类型：数字、字符、JSON 等。

明确接受的请求方法：GET、POST、COOKIE、REQUEST、HTTP 头等。

sql 语句干扰符号：'、"、、)、} 等，具体需看写法。

进行 SQL 注入时，有很多注入会出现无回显的情况，其中不回显的原因可能是 SQL 语句查询方式的问题导致，这个时候需要用到相关的报错或盲注进行后续操作。

手工注入时，提前了解或预知其 SQL 语句大概写法也能更好的选择对应的注入语句。

可以通过查询方式与 SQL 的关系、注入点产生的地方猜测到 SQL 查询方式。

涉及的 SQL 语句：

select：查询数据，在网站应用中进行数据显示查询操作。

insert：插入数据，在网站应用中进行用户注册添加等操作。

delete：删除数据，后台管理里面删除文章删除用户等操作。

update：更新数据，会员或后台中心数据同步或缓存等操作。

order by：数据排序，一般结合表名或列名进行数据排序操作。

在注入过程中，获取的数据不能回显至前端页面。此时需要利用一些方法进行判断或者尝试，这个过程称之为盲注。

盲注分为以下三类：

基于布尔的 SQL 盲注：逻辑判断。
基于时间的 SQL 盲注：延时判断。
基于报错的 SQL 盲注：报错回显。

具体示例见 SQLi-Labs。

参考文章：

12种报错注入+万能语句

sql报错注入：extractvalue、updatexml报错原理

Order by排序注入方法小总结

一些变量值在传递时会先编码或加密（如 base64 等）。这时手工注入就要先把传递值进行相应编码或加密。

例如 admin' and 1=1 base64 编码后的值是 YWRtaW4nIGFuZCAxPTE=

实际案例：SQLi-Labs-Less21：cookie&base64编码注入

一个简单的 base64 编码脚本：

<?php
    $url='http://xxxx/Less-1/index.php?id=;
    $payload=base64_encode($_GET['x']);
    $urls=$url.$payload;
    file_get_contents($urls);
    echo $urls;
?>