技术学习分享_一航技术 技术资讯 渗透攻防Web篇-深入浅出SQL注入

渗透攻防Web篇-深入浅出SQL注入

广告位

1 背景

京东SRC(Security Response Center)收录大量外部白帽子提交的sql注入漏洞,漏洞发生的原因多为sql语句拼接和Mybatis使用不当导致。

渗透攻防Web篇-深入浅出SQL注入

2 手工检测

2.1 前置知识

mysql5.0以上版本中存在一个重要的系统数据库information_schema,通过此数据库可访问mysql中存在的数据库名、表名、字段名等元数据。information_schema中有三个表成为了sql注入构造的关键。

1)infromation_schema.columns:

  • table_schema 数据库名
  • table_name 表名
  • column_name 列名

2)information_schema.tables

  • table_schema 数据库名
  • table_name 表名

3)information_schema.schemata

  • schema_name 数据库名

SQL注入常用SQL函数

  • length(str) :返回字符串str的长度
  • substr(str, pos, len) :将str从pos位置开始截取len长度的字符进行返回。注意这里的pos位置是从1开始的,不是数组的0开始
  • mid(str,pos,len) :跟上面的一样,截取字符串
  • ascii(str) :返回字符串str的最左面字符的ASCII代码值
  • ord(str) :将字符或布尔类型转成ascll码
  • if(a,b,c) :a为条件,a为true,返回b,否则返回c,如if(1>2,1,0),返回0

2.2 注入类型

2.2.1 参数类型分类

  • 整型注入
    例如?id=1,其中id为注入点,类型为int类型。

  • 字符型注入
    例如?id=”1”,其中id为注入点,类型为字符型,要考虑闭合后端sql语句中的引号。

2.2.2 注入方式分类

  • 盲注
    • 布尔盲注:只能从应用返回中推断语句执行后的布尔值。
    • 时间盲注:应用没有明确的回显,只能使用特定的时间函数来判断,例如sleep,benchmark等。
  • 报错注入:应用会显示全部或者部分的报错信息
  • 堆叠注入:有的应用可以加入 ; 后一次执行多条语句
  • 其他

2.3 手动检测步骤(字符型注入为例)

// sqli vuln code  Statement statement = con.createStatement();  String sql = "select * from users where username = '" + username + "'";  logger.info(sql);  ResultSet rs = statement.executeQuery(sql);  // fix code 如果要使用原始jdbc,请采用预编译执行  String sql = "select * from users where username = ?";  PreparedStatement st = con.prepareStatement(sql);

使用未预编译原始jdbc作为demo,注意此demo中sql语句参数采用单引号闭合。

2.3.1 确定注入点

对于字符类型注入,通常先尝试单引号,判断单引号是否被拼接到SQL语句中。推荐使用浏览器扩展harkbar作为手工测试工具。https://chrome.google.com/webstore/detail/hackbar/ginpbkfigcoaokgflihfhhmglmbchinc

正常页面应该显示如下:

渗透攻防Web篇-深入浅出SQL注入

admin后加单引号导致无信息回显,原因是后端sql执行报错,说明引号被拼接至SQL语句中

渗透攻防Web篇-深入浅出SQL注入

渗透攻防Web篇-深入浅出SQL注入

select * from users where username = 'admin' #正常sql  select * from users where username = 'admin'' #admin'被带入sql执行导致报错无法显示信息

2.3.2 判断字段数

mysql中使用order by 进行排序,不仅可以是字段名也可以是字段序号。所以可以用来判断表中字段数,order by 超过字段个数的数字就会报错。

渗透攻防Web篇-深入浅出SQL注入

判断字段数

当order by 超过4时会报错,所以此表共四个字段。

渗透攻防Web篇-深入浅出SQL注入

后端所执行的sql语句

select * from users where username = 'admin' order by 1-- '

此处我们将原本username的值admin替换为admin’ order by 1 —+,其中admin后的单引号用于闭合原本sql语句中的前引号,—+用于注释sql语句中的后引号。—后的+号主要作用是提供一个空格,sql语句单行注释后需有空格,+会被解码为空格。

2.3.3 确定回显位置

主要用于定位后端sql字段在前端显示的位置,采用联合查询的方式确定。注意联合查询前后字段需一致,这也就是我们为什么做第二步的原因。

通过下图可知,后端查询并回显的字段位置为2,3位。

渗透攻防Web篇-深入浅出SQL注入

联合查询后的字段可以随意,本次采用的是数字1到4直观方便。

渗透攻防Web篇-深入浅出SQL注入

2.3.4 利用information_schema库实现注入

group_concat()函数用于将查询结果拼接为字符串。

  • 查看存在数据库

渗透攻防Web篇-深入浅出SQL注入

  • 查看当前数据库中的表

渗透攻防Web篇-深入浅出SQL注入

  • 查看指定表中字段

渗透攻防Web篇-深入浅出SQL注入

  • 利用以上获取信息读取users表中username和password

渗透攻防Web篇-深入浅出SQL注入

3 自动化检测

3.1 sqlmap 使用

sqlmap兼容python2和python3,可以自动化检测各类注入和几乎所有数据库类型。

3.1.1 常用命令

-u 可能存在注入的url链接  -r读取http数据包  --data 指定post数据  --cookie 指定cookie  --headers 指定http头 如采用token认证的情况下  --threads 指定线程数  --dbms 指定后端的数据库  --os 指定后端的操作系统类型  --current-user 当前用户  --users 所有用户  --is-dba 是否是dba  --sql-shell 交互式的sqlshell  -p指定可能存在注入点的参数  --dbs 穷举系统存在的数据库  -D指定数据库  --tables 穷举存在的表  -T指定表  --column 穷举字段  -C指定字段  --dump dump数据

直接检测
其中—cookie用于指定cookie,—batch 自动化执行,—dbms指定数据库类型

渗透攻防Web篇-深入浅出SQL注入

检测结果

渗透攻防Web篇-深入浅出SQL注入

读取系统中存在数据库
—dbs读取当前用户下的数据库

渗透攻防Web篇-深入浅出SQL注入

读取指定库下的表
-D java_sec_code —tables

渗透攻防Web篇-深入浅出SQL注入

dump users表数据
-D java_sec_code -T users —dump

渗透攻防Web篇-深入浅出SQL注入

4 进阶

4.1 Mybatis注入

1)$错误使用导致注入  

//采用#不会导致sql注入,mybatis会使用预编译执行  @Select("select * from users where username = #{username}")  User findByUserName(@Param("username") String username);  //采用$作为入参可导致sql注入  @Select("select * from users where username = '${username}'")  List<User> findByUserNameVuln01(@Param("username") String username);

2)模糊查询拼接

//错误写法  <select id="findByUserNameVuln02" parameterType="String" resultMap="User">  select * from users where username like '%${_parameter}%'  </select>    //正确写法  <select id="findByUserNameVuln02" parameterType="String" resultMap="User">  select * from users where username like concat(‘%’,#{_parameter}, ‘%’)  </select>

3)order by 注入

order by 后若使用#{}会导致报错,因为#{}默认添加引号会导致找不到字段从而报错。

//错误写法  <select id="findByUserNameVuln03" parameterType="String" resultMap="User">  select * from users  <if test="order != null">  order by ${order} asc  </if>  </select>  //正确写法 id指字段id 此表字段共四个 所以id为1-4  <select id="OrderByUsername" resultMap="User">  select * from users order by id asc limit 1  </select>

以上测试均在本地进行,请勿未授权进行渗透测试

5 文章及资料推荐

slqmap手册:https://octobug.gitbooks.io/sqlmap-wiki-zhcn/content/Users-manual/Introduction.html
sql注入详解:http://sqlwiki.radare.cn/#/

作者:罗宇(物流安全小分队)

本文来自网络,不代表技术学习分享_一航技术立场,转载请注明出处。

作者: 一航技术

上一篇
下一篇
广告位

发表回复

返回顶部